HeartbleedバグはOpenSSLに極めてポジティブな影響をもたらした：これからも派手なバグが登場するだろう
IT業界に大きな影響を及ぼしたOpenSSLのHeartbleedバグ。セキュリティ企業Rapid7のビアズリー氏は、これを「ポジティブな影響」と評価する。Heartbleedバグはどのような影響をもたらしたのだろうか？
2014年4月、「OpenSSL」の幾つかのバージョンの暗号化ライブラリに「Heartbleed」の脆弱（ぜいじゃく）性が見つかった。だが、セキュリティ企業の米Rapid7は、この発見の影響を肯定的に捉えている。
Computer Weekly日本語版 10月7日号無料ダウンロード
本記事は、プレミアムコンテンツ「Computer Weekly日本語版 10月7日号」（PDF）掲載記事の抄訳版です。本記事の全文は、同プレミアムコンテンツで読むことができます。
なお、同コンテンツのEPUB版およびKindle（MOBI）版も提供しています。
同社でセキュリティエンジニアリングマネジャーを務めるトッド・ビアズリー氏は「一流ブランドに大きなバグがあったということでOpenSSLに注目が集まるのなら、もっと早く発覚していればと思わずにはいられない」と話す。
同氏は、米ラスベガスで開催されたハッキングカンファレンス「DEF CON 23」でComputer Weeklyのインタビューに答えて、Heartbleedの影響を「極めてポジティブ」に捉えていると語った。
Rapid7でオープンソースソフトウェア（OSS）フレームワークの「Metasploit」に携わっているビアズリー氏によると、Heartbleedの発見以降、OpenSSLに少なくとも2つのフォークが誕生したという。1つは、米Googleが独自にリリースした「BoringSSL」。もう1つは、OpenBSDのプロジェクトメンバーが立ち上げた「LibreSSL」だ。
「個人的には、フォークの誕生を歓迎する。『真のバージョン』が分からなくなるという理由でソフトウェアのフォークには批判的な意見が多いが、ユーザーが使用しているもの全てが『真のバージョン』ではないだろうか」と同氏は話す。
Heartbleedの欠陥が発見されたことによってOSSのセキュリティが注目を集めるようになった。そのポジティブな影響の1つが、OpenSSLフォークの誕生だと同氏は考える。
「OpenSSLの標準ライブラリが商用製品で、実際には1人の開発者または単独のソフトウェア開発チームだけが管理していたとしたら、事態はもっと深刻だったはずだ」とビアズリー氏は言う。
「ある銀行はOpenSSLを使用していなかったのでHeartbleedの影響を受けなかったが、独自の暗号化システムを使用しているため、どのようなバグを誰が把握しているのか分からない」
続きはComputer Weekly日本語版 10月7日号にて
本記事は抄訳版です。全文は、以下でダウンロード（無料）できます。
■Computer Weekly日本語版 最近のバックナンバー
Computer Weekly日本語版 9月16日号：フラッシュストレージ セカンドシーズン
Computer Weekly日本語版 9月2日号：Windows Server 2003少しだけ延命策
Computer Weekly日本語版 8月19日号：64ビットARMチップ アリか？ ナシか？
Copyright © ITmedia, Inc. All Rights Reserved.