security

Security Incident on FreeBSD Infrastructure

2012年11月11日、FreeBSD.orgクラスタの2台のマシンに不正侵入の痕跡があることが明らかになりました。FreeBSDプロジェクトは不正侵入が確認されたマシンおよびそこからアクセス可能なマシンについて調査を実施するとともに、各種対策を実施したことが報告されました。詳細は次のドキュメントをご覧ください。

• FreeBSD.org intrusion announced November 17th 2012 : Security Incident on FreeBSD Infrastructure
• FreeBSD.org intrusion announced November 17th 2012 : FreeBSD の開発・配布マシン群への不正侵入発生について

日本語のドキュメントが提供されていますので、FreeBSDを運用しているすべての関係者に、このドキュメントを読んで対策を実施することをお勧めします。現在のところ何の問題もないと考えられていますが、大事をとって「現時点で推奨される対策」を実施しておいた方がよいでしょう。新しい情報は随時同ページにアップデートされますので、FreeBSD Daily Topicsでも随時報告します。

今回の不正侵入は、ソフトウェアではなく、ヒューマンエラーが原因であることが注目されます。同様のセキュリティ問題はFreeBSDプロジェクトに限らず発生する可能性があるので、sshによるログインを提供しているサーバを運用している場合、このタイミングでもう一度サーバの運用や鍵の管理などについてチェックするというのは、優れた対応であると思います。また、今回FreeBSDプロジェクトが取った行動は、同様の問題が発生した場合の対応モデルとして参考になります。

プロジェクトのマンパワーが今回の不正侵入対応と対策に費やされたことや、パッケージの再構築の必要に迫られたことでFreeBSD 9.1-RELEASEの提供が遅れましたが、このまま行けば今月中にFreeBSD 9.1-RELEASEのリリースが実施されるのではないかと思われます。ビッグショーストッパーはこれですべて排除されたとみられますので、少なくとも12月中にはFreeBSD 9.1-RELEASEという運びになりそうです。