OpenBSD から見て Heartbleed は氷山の一角に過ぎない

tamo 曰く、

既にコメントしましたが、 OpenBSD が OpenSSL を大掃除しています (本家記事)。 libssl/src/ssl だけを見ても、CVS に罵倒と修正がひっきりなしに記録されています。

Heatbleed 対策のパッチだけで満足しなかった理由は、彼らから見て Heartbleed が単なるバグでも単なる仕様の問題でもなく、セキュリティ意識の問題だからです。

何年も前から 「OpenSSL はサルが書いてるんだろう」と揶揄していたとおり、OpenSSL コードの品質が低いことを OpenBSD 開発者たちは知っていましたが、それが 意識や責任感の問題だという確信はまだなかったのかもしれません。 OpenBSD にはメモリ防護機構がありますので、Heartbleed 脆弱性があっても当初、 malloc.conf に J オプションを付ければ free 済みメモリはシュレッダーにかけられ秘密は漏れないだろうと思ったそうです。しかし実際には効きませんでした。OpenSSL は独自の freelist を管理することで、脆弱性緩和策を回避し、確実に脆弱になるように書かれていたのです (拙訳)。しかも、オプションで普通の malloc/free を使うようにすると動作しません。それは freelist に捨てたメモリを拾い直しても内容が同じであるという前提のコードだったからです。つまり OpenSSL は、速度のためにセキュリティを犠牲にするオプションを追加し、それをデフォルトにし、それを無効にした場合のテストをしていなかったということになります。こうした事情を考えた結果、それまでは上流とマージしやすい状態を保っていた OpenSSL を、今後は OpenBSD 独自にメンテナンスすることに決めたということのようです。

ちなみに OpenBSD は、「俺たちがいないと困るだろう。だったら続けられるように金をくれ」と言っています。今のままの OpenSSL で満足なら無視すればいいのですが、OpenBSD がこれまでどおり OpenSSH などを開発しつつ、それに加えて OpenSSL にも注力することを望む場合には、OpenBSD の CD 購入や寄付といった援助を増やすことができます。彼らは 「脆弱性をスポンサーに売って暮らしているような開発チームはバグを減らしたくないはずだ」と言って FreeBSD に敵意を向けています。そういった形態をとらずに開発を続けている OpenBSD が資金に苦労する日々はまだ続きそうですから、今回の件は、資金集めのための話題づくりという意図もあるのかもしれません。

情報元へのリンク