Eclipse Adoptiumワーキンググループへの参加
2025年3月17日 初版
桐山 卓弥
富士通は、Eclipse Foundation（注1） 内の Adoptiumワーキンググループ（注2）（以下、Adoptium）に、2024年7月から参加しています。Adoptiumでは、高品質なOpenJDKバイナリの提供に必要となるセキュリティ技術とテストフレームワーク技術の開発に取り組んでいます。
OpenJDKを含むオープンソース・ソフトウェア（以下、OSS）は、現代のソフトウェア開発において欠かせない存在となっています。一方、OSSを利用する場合は、そのセキュリティリスクについても十分に理解し対策する必要があります。
本記事では、OSS利用におけるセキュリティリスクとAdoptiumのセキュリティへの取り組みについて説明します。
ソフトウェアサプライチェーンの複雑化とセキュリティリスクの増大
かつて、ソフトウェア開発はコーディングから、テスト・リリースまで、自社でコントロール可能なシンプルなモデルが主流でした。しかし、OSSをはじめとした現在のソフトウェア開発では、複数のサードパーティソフトウェアやOSSを組み合わせた開発が一般的になり、不特定の開発者が関与する複雑な依存関係を形成するようになりました。依存関係が深い場合、間接的に利用しているものも含めてすべてをセキュリティ管理することは困難です。近年、この複雑な依存関係を狙ったソフトウェアサプライチェーン攻撃が増加しています。ソフトウェアサプライチェーン攻撃による全世界の年間損害額は、2023年の460億ドルから、2031年には1380億ドルに増加すると予測されています。（注3）
ソフトウェアのソースコードの脆弱性を狙った従来の攻撃とは異なり、サプライチェーン攻撃の対象はより広範です。図1は、ソフトウェアがユーザに届くまでのプロセスを示していますが、サプライチェーン攻撃はビルドプロセスや依存関係も含めたすべてを対象としています。サプライチェーン攻撃を防ぐには、ソースコードそのものをセキュアにするだけでなく、このプロセス全体でセキュリティ対策を実施する必要があります。
また、サプライチェーンに対するセキュリティ要求は政治的にも高まっています。
米国における大統領発令 （注4）
国家のサイバーセキュリティの強化に関する大統領令 EO14028 Improving the Nation’s Cyber Securityが2021年に発行されました。EO14028では、ソフトウェアサプライチェーンのセキュリティ強化の必要性、具体的にはセキュアなソフトウェア開発環境やソフトウェア部品表（以降、SBOM）提供の要求などについて記載されています。
EUにおけるサイバーレジリエンス法（CRA） （注5）
デジタル要素を備えた製品を購入する消費者と企業を保護することを目的としたCRAが2024年に発効しました。CRAでは、EU内で取引されるソフトウェアのサプライチェーン全体でのセキュリティ基準が示されています。
Loading component...
OpenJDKとAdoptiumにおけるセキュリティ施策
OpenJDKプロジェクト（注6）では、セキュアなソースコードのために、厳格な開発プロセスに基づいてOpenJDKが開発されています。主な取り組みは以下の通りです。
コードレビュー
OpenJDKへの修正提案は、熟練の開発者、すなわちプロジェクトから特定の権限を与えられた開発者によるレビューを受けて、承認後にOpenJDKのソースコードに反映されます。
