セキュリティ上当然のことを、日本SELinuxユーザー会中村雄一氏コラム：国内代表者に聞くオープンソースの今

「アクセス制御をきちんと行う」というセキュリティ上当然のことを実践するSELinux。ハードルが高いと思われていた時代も今は昔、さまざまな障壁が取り払われてきつつあることで、今後、SELinuxの利用がますます広まることは間違いない。

[中村雄一，ITmedia]

　Linuxチャンネル連載「国内代表者に聞くオープンソースの今」。ここでは、折りしもこのコラムの掲載と同日に正式設立が発表された日本SELinuxユーザー会の中村雄一氏にSELinuxの現在について執筆いただいた。

---

SELinuxとは？

　SELinuxとは、アメリカのNSAを中心にして開発された、オープンソースのセキュアOSであり、Linuxカーネルの標準機能として広まりつつある。Fedora Core 3やTurboLinux10 Serverにはすでに取り込まれているほか、間もなくリリースされるRed Hat Enterprise Linux 4にも取り込まれる予定ということもあり、SELinuxへの関心が非常に高まっている。

　「誰がどんな情報にアクセスできるか」という「アクセス制御」は、セキュリティを考える上で基本中の基本である。しかし、現在主流のOSではこのアクセス制御をきちんと設定できていなかったため、一度侵入されると大きな被害が生じてしまう。このことは、例えばLinuxのroot権限はすべてのアクセス制御を回避可能であることなどを考えれば容易に理解できるだろう。

　それに対してSELinuxでは、「プロセス・ユーザーがどんな情報（ファイルなど）にアクセスできるか」というアクセス制御をOSレベルで厳格に行う。これは「強制アクセス制御」（Mandatory Access Control：MAC）と呼ばれる。この場合、ハッカーやウイルス、ワームなどの攻撃者に侵入を許してもその攻撃者は大きな権限を持てないため、被害を及ぼすのが困難になる。

　このように、SELinuxは特別なものではなく、「アクセス制御をきちんと行う」というセキュリティ上当然のことを行っているだけであるといえる。今まで、この当然のことが行われていないのが問題だったのだ。

　かつてSELinuxを使う際には、SELinuxの全機能が有効になっていたため、設定が大変であった。しかし現在では、利便性を高めるためSELinuxを部分的に有効にした設定である「targetedポリシー」というものが開発され、SELinux入門のためのハードルが非常に低くなっている。

国内の動向

　諸外国に比べ、日本国内では企業やコミュニティーによる活動が活発に行われている。企業によるSELinux関連ソリューションが、ディストリビューションがSELinuxをサポートする前から打ち出されているし、SELinuxの機能拡張や「SELinux/Aid」のように研究開発も活発である。

　しかし、本格的なSELinuxの活用事例となると、まだこれからというのが現状である。これは、ディストリビューションに取り込まれていない状態だとSELinuxを企業側がサポートしにくい、というのが大きな理由であろう。しかし、今後はこの障壁がなくなるため、SELinuxの利用がぐっと広まることが予想される。

　コミュニティーを見てみると、「日本SELinuxユーザ会」のような趣味的な集まりから、「日本オープンソース推進機構（JOSAO）SELinux専門委員会」のようにSELinuxのビジネス利用を推進する団体が存在し、SELinuxに関する議論は活発に行われている。

　しかし、SELinux本家への貢献を見てみると、まだまだ少ないといわざるを得ない。国内での技術開発は活発なのだが、言葉の壁などもあり、本家になかなか認知されていない。たとえ英語を操れたとしても、日本と本家両方へのプロモーションを行うリソースを確保するのは困難なことである。現在、筆者を含めた国内コミュニティー側では、本家へのアプローチを強めようと活動をしているところである。例えば、SELinux SymposiumというSELinux開発者が一堂に会すイベントが開催されるが、この場で日本からも発表をする予定である。逆に本家から、日本で行われるイベントに人を招くことも試みている。

SELinux普及の課題

　SELinuxの普及は、アクセス制御設定（ポリシーと呼ばれる）がどうなっていくかにかかっているだろう。SELinuxのアクセス制御設定項目は1万〜10万以上存在する。これを1つ1つ設定していては大変な時間と労力がかかってしまう。そこで、ディストリビューション側で、テンプレートとなる設定を用意するようになっている。例えば、Fedora Core 3では、このテンプレートが充実しており、多くの場合アクセス制御設定の必要はない。このような状況だと、設定の中が分からないまま使うという、設定のブラック・ボックス化が進んでいくことになるが、SELinuxの本家でも、ブラック・ボックス化を促進する方向にあるようだ。とはいえ、マニュアルでの設定が必要な部分は必ず残るし、また、どんな設定なのかを理解せずに使うことが本当にセキュリティ上大丈夫なのかという問題も残っている。

　これらを解決するには、設定を分かりやすく行うためのツールの整備や設定を理解できるエンジニアの育成が必要になってくるだろう。こちらについては、ターボリナックスが2005年4月からSELinuxの認定トレーニングコースを開始することや、筆者も講演を行った「セキュアOSカンファレンス」に見られるように、国内においても活発な動きが見られる。今後に期待したい。

日本SELinuxユーザー会について

　日本SELinuxユーザー会は、オープン・中立・非営利のSELinuxコミュニティーである。

　本ユーザー会は、同好会に近い性質のものになっており、国内SELinuxユーザーの交流の場を設けることが一番の活動となっている。交流の場を提供するために、メーリングリストの主催及び勉強会、オフ会の開催を行っている。現在、メーリングリストには約650人が登録しており、SELinuxに関する最新情報が流れている。勉強会では、「SELinux ナイト」というイベントを主催し、国内のSELinux技術者によるプレゼンテーションが行われた。資料もWebに公開されている。このような活動が、SELinuxを推進していく人々に刺激を与えることができればと思っている。

　その他の活動としては、ホームページへのドキュメントの公開や、開発活動、本家との連絡を有志が行っている。

　SELinuxを使い始めたら、まずは本ユーザー会のメーリングリストに加入していただきたい。そして、SELinux利用体験談を投稿して欲しい。最近の話題では、Fedora Core 3でのSELinuxのトラブル対処法が盛り上がった。SELinux以外にも、フリーのセキュアOSであるLIDSや、商用セキュアOSの話題になることもある。SELinuxのトラブル事例はあまり表に出てきていない。分からないことを投稿するだけでも、現時点では喜ばれると思われるので、気軽に投稿して欲しい。筆者もできる限り返事を出すように心がけている。