Meltdown／Spectreの情報公開プロセスから得られる教訓

　パネルディスカッションでは、マニオン氏がパネリストに対し、MeltdownとSpectreの経験に基づいて、ベンダーやセキュリティ研究者が学ぶべき教訓をアドバイスするよう促した。

　ドエル氏はベンダーに対し、対策や情報公開のプロセスには、脆弱性を発見した研究者に関わってもらうよう呼びかける。研究者は、脆弱性の評価と緩和策に関する方向性を打ち出すことができると同氏は言う。

　ロビンソン氏は、オープンソースコミュニティーの一員であるRed Hatには、オープンソースソフトウェアの脆弱性を発見したものの、誰に連絡していいのか分からないというセキュリティ研究者から質問が寄せられることがあると明かす。「多くの場合、われわれは仲介役を果たす。興味深い問題を発見しても、どこに連絡すればいいのか分からない場合、関係があると思う相手に話をすれば、その相手が正しい方向を指し示してくれるだろう」（同氏）

　リントン氏によれば、脆弱性情報の公開と対応に関して同氏が経験した問題の大部分は、コミュニケーションの改善によって解決できるという。例えば脆弱性のことを知らされていた他の関係者がいる場合、そのステークホルダーに告知するといった小さな事柄も助けになり得る。同氏はドエル氏の指摘と同様に、常に研究者に対して、例えば脆弱性情報を2カ月の間非公開としておく理由や、パッチが延期された理由を知ってもらうことにも言及する。

　加えてリントン氏はパネルディスカッションの聴衆に対し、脆弱性対応や緩和の取り組みを、ベンダー各社が自分たちの製品を売り込むのと同じような形で競争に持ち込んではいけないとくぎを刺した。MeltdownとSpectreではこの問題は生じなかったものの、いずれ問題になる可能性はあると、同氏は警告する。

　「『この脆弱性を誰よりもうまく解決した』と、自らの素晴さをアピールする人たちが、いずれは現れるだろう。事が終われば誰も陰口を言わないというのは、脆弱性情報の共有に関する複数の関係者の協力関係にまつわるルールの一部だ」（リントン氏）

　MeltdownとSpectreに対処した経験は、脆弱性研究や発見のプロセスにおいて、ベンダー間のコミュニケーション改善につながったとロビンソン氏は言う。パネリストが共有した経験や互いに築いた関係のおかげで、2018年に入って判明したMeltdownとSpectreに関係する新たな脆弱性への対処も容易になった。

　「私にとって2018年1月3日以前とそれ以後の経験は、夜と昼ほどの違いではないけれど、恐らく夕暮れと夜明けのようなものだ。今ではずっとうまく協力できるようになった」とロビンソン氏は話す。