Longhornのセキュリティ、鍵を握る「LUA」の行方は？（2/2 ページ）

[IDG Japan]

　これは、現在のWindowsのインストール手順とは違っていると同氏。現行の手順では、ほとんどの場合インストールの際に一般的なコンポーネントと管理者向けのコンポーネントが明確に区別されず、一緒くたにされてしまう。

　また同氏によると、MicrosoftはWindowsロゴプログラムと同様に、LUAの原則に従っているアプリケーションに特別なステータスを与えるロゴプログラムを検討している。

　「何らかのLUA準拠の条件があるのであれば、ロゴプログラムはデリバリー向けインストレーションの作成という重要な点でこれを施行するだろう」（コリガン氏）

　Microsoftはコメントを控えているが、情報筋は、コリガン氏が話したようなロゴプログラムに同社が取り組んでいることを認めている。

　同社は、LonghornにおけるLUAの役割についての説明を求める再三の要求を拒否した。しかし同社は、「階層型セキュリティ（defense in depth）」と呼ばれる多層型セキュリティビジョンの一環として、今後のリリース向けにLUAを検討していると、同社セキュリティビジネス・技術部門ディレクター、エイミー・ロバーツ氏のメールによる声明には記されている。

　Microsoftは水面下で、ISVにLUA計画の広範な概要を明かしているが、具体的なことはほとんど明らかになっていないとリマー氏は語る。

　「（最小権限の）設計上のコンセプトは以前からあった。だから私は（Microsoftから）豊富な情報が提供されることを求めている。『ユーザーがほかのユーザーの追加またはソフトのインストール、あるいはパフォーマンス情報の取得が可能』といったように、各（権限）レベルに実際にセキュリティの制約を設ける支援をもっと獲得したいと思っている」（リマー氏）

　ここ数カ月あまり情報が出てこないことから、Longhornチームが同OSのα版を準備するにあたって、LUAの一部コアコンポーネントが見直されているのではないかとの憶測が浮上している。

　「私の推測では、ロビー活動の時期なので、情報が少なくなっているのだろう。（Microsoftは）主要顧客からフィードバックを得て、これをどうやってLonghornのコンポーネントに変えるかを考えているところだ」とCybertrustの上級科学者で、NTBugtraqディスカッションリストの編集者ラス・クーパー氏。

　ペスカトーレ氏によると、LUAの一部は次世代Windowsファイルシステム（WinFS）と連結されるかもしれない。Microsoftは8月に、このファイルシステムは2006年末にLonghornの最初のバージョンに搭載されて出荷されることはないと明らかにした（8月30日の記事参照）。

　いずれにしても、LUAは多くのアプリケーション開発者にとって大きな変更となり、Microsoftはこの変更に向けた下地を整え始める必要があるという点で専門家の意見は一致している。

　「Microsoftは今この計画を確定して、ISVに1年半の対応期間を与えなくてはならない」とペスカトーレ氏。「（Windows XP）SP2と、そのファイアウォールをデフォルトでオンにしたことについては、同社は1年前から準備に乗り出し、アプリケーションに障害が起きるというISVからの不満を聞いていた」

　同社は、ロゴプログラムの一環としてLUAに準拠するようISV各社を説得しなければ、開発作業を追加するほどの優先順位を付けてもらえないだろうということが分かっているはずだとリマー氏。

　「LUAはISVにとって、そうした作業に匹敵する価値のない変更だ。だから反対に遭うだろう」（同氏）

　それでも同氏は、たとえMicrosoftの具体的な計画にいまだに疑問符がついていても、同社を「疑わしきは罰せず」としている。

　「Microsoftは非常に優秀なスタッフを雇っており、これ（最小権限）は既に存在する設計上の基礎だ。同社はアクティブディレクトリ導入のときのように、これを自社のプラットフォーム向けに強化するだろう」とリマー氏は、MicrosoftがLDAP（Lightweight Directory Access Protocol）を実装したときのことを挙げて語った。

　Microsoftには、LUAを独自のユーザーフレンドリーな機能・インタフェースとともにブランディングするチャンスもあるとGartnerのペスカトーレ氏。これはSun MicrosystemsのTrusted SolarisおよびUNIXなどのプラットフォームを大きく改善するだろうと同氏は語る。

　「これらのプラットフォームは非常に複雑で、誰も使えない。すべてのユーザーがセキュリティの専門家にならなくてはならない。そしてMicrosoftの得意分野はというと、セキュリティを実施する方法を発明することではなく、セキュリティ管理者にとってセキュリティを実装しやすくする方法を発明することだ」（同氏）