DockerやIoTの普及に伴い、オペレーティングシステムとしての軽量さをウリにするLinuxディストリビューションが注目される機会が増えているが、その中でもここ1年ほどの間に急激に人気が高まっているのがAlpine Linuxだ。「Small. Simple. Secure. ―小さく、シンプルに、そしてセキュアに」を開発方針に掲げるAlpine Linuxの最新バージョンは9月にリリースされたAlpine 3.4.4、そのサイズはわずか5Mバイトと、まさに"ミニマリストのためのOS"である。
そのAlpine Linuxが10月10日（米国時間）、ある大きな決断を発表した。これまで通信用ソフトウェアとして採用してきたOpenSSLをLibureSSLにリプレースすることにしたのだ。
- [alpine-devel] Alpine edge has switched to libressl
この変更により、Alpine LinuxのユーザはOpenSSLにひもづけられているパッケージをすべて再構築する必要が生じる。Alpine Linux開発者のNatanael Copaは「openssl-devパッケージを使っているなら、すべてlibressl-devにリプレースし、再構築してほしい」と呼びかけており、またOpenSSLとLibreSSLを混同して利用することも動作が不安定になるため、推奨しないとしている。
Alpine Linuxの開発者コミュニティでは、2016年2月ごろから完全にLibreSSLに移行するか、それともOpenSSLとの互換性を残しておくか、議論が重ねられてきた。その結果「（LibreSSLのほうが）良いライブラリであると我々は信じている。OpenSSLプロジェクトがブロークンコードの修正に追われている一方で、LibreSSLはただそれを取り除いているだけなのだから」というCopaの言葉が示すとおり、2014年のHeartbleed脆弱性発見以来、セキュリティに不安を残し続けるOpenSSLを完全に切り離す方向に舵を切ったのだ。たとえ再構築の手間をユーザに負担させることになっても、セキュリティの不安から解放されるメリットのほうがずっと大きいと判断したからにほかならない。
LibreSSLはOpenSSLからフォークする際、オリジナルのOpenSSLから10万行近いコードを削除し、その後も継続的にメンテナンスが続けられている。一方のOpenSSLはいまだに通信用ソフトウェアとして大きなシェアをもつが、その開発方針に疑問を呈する声も少なくない。今回のAlpine LinuxのLibreSSLへの移行が、他のLinuxディストリビューションの選択にどう影響するかが注目される。
