【ITニュース解説】Hi DEV, I'm Rob building OSPulse at Fortitude Omnis

Rob氏がFortitude Omnis Group Ltdという小さなインディーズ企業で開発しているOSPulseは、ソフトウェア開発におけるサプライチェーンセキュリティという重要な分野に挑戦している。彼は大手競合他社とは異なり、ベンチャーキャピタルからの資金調達も営業チームも持たず、独自の理念と技術でこの分野に挑んでいる。OSPulseの目的は、一般的なセキュリティツールが既知の脆弱性（CVE）が報告されてから対応するのに対し、その手前の段階、つまり潜在的なリスクが顕在化する前にそれを発見することにある。

多くの依存関係ツールは、セキュリティ脆弱性データベースに登録された問題に対応するが、OSPulseが注目するのは、まだCVEとして認識されていない、開発環境における初期の兆候だ。例えば、オープンソースプロジェクトのパッケージ所有者が変更されたり、npmアカウントが不正に利用されたり、あるいはそのパッケージをメンテナンスしている開発者が疲弊して活動を停止したりするような事象は、将来の深刻なセキュリティ問題につながる可能性がある。Rob氏は、過去に広く影響を及ぼしたevent-stream、ua-parser-js、polyfill.io、xzといった事例でも、公式な脆弱性が発表される数週間、あるいは数ヶ月も前から、ソースコードの管理体制や開発者の状況に異常な兆候が見られたことを指摘している。

OSPulseは、単に脆弱性の数を数えるのではなく、プロジェクトの健全性、開発者の入れ替わりの頻度、コードのコミット速度の急激な低下、そしてパッケージの所有権の変更といった指標を継続的に評価する。この評価は、10種類以上の異なる情報源からデータを収集し、分析することで実現されている。Rob氏自身が、OSPulseがどのような種類の検出を見逃す可能性があるかについても正直に共有する姿勢を示しており、これはセキュリティツールの信頼性を高める上で非常に重要な透明性の表れだ。

OSPulseの技術の中でも特に注目すべきは、「PoisonBox」と呼ばれる研究開発の成果だ。これは、npmパッケージをインストールする際に、そのパッケージを「使い捨てのマイクロVM（仮想マシン）」内で実行するという革新的なアプローチを取っている。このマイクロVMは、ハードウェアレベルで完全に隔離されており、たとえパッケージが悪意のある動作を試みたとしても、その影響はマイクロVMの内部に限定され、ユーザー自身のコンピューターや認証キーなどの重要な情報には一切触れることができない。パッケージのインストールが完了すると、そのマイクロVMは直ちに消去され、システムに痕跡を残さないため、安全が保証される。

さらに、PoisonBoxの基盤には、Linuxカーネルレベルで動作するeBPFプローブという高度な技術が組み込まれている。eBPFは、一般的なアプリケーションコードがアクセスできない、システムの非常に低いレベルで動作を監視・制御する能力を持つ。これにより、PoisonBoxは、パッケージが実行するプロセス、アクセスするファイル、読み取ろうとする秘密情報、そして外部へのネットワーク接続など、あらゆる挙動を詳細なログとして記録できる。パッケージのコード自体がその悪意ある活動を隠蔽しようとしても、eBPFはコードの「下」でそれらの活動を捕捉し、可視化する。この詳細な監視によって、悪意のあるパッケージが例えばnpmトークンを盗み出し、それを外部のサーバーへ送信するまでの具体的な「因果関係の連鎖」を正確に追跡することが可能になる。悪意のあるソフトウェアの挙動を分析する上で最も困難なのは、「何が、どのような順序で発生したのか」を正確に特定することだが、PoisonBoxが提供するこのトレース情報がそれを実現する。

Rob氏はまた、セキュリティツールがそのマーケティングと区別される唯一の点は「正直さ」であると述べ、自身のサービスに関する正直な告白も共有している。OSPulseのウェブサイトでは月額249ポンドと表示されていた料金が、実際の決済サービスであるStripeでは、ウェブサイトには表示されない形で1回の支払いで2,988ポンドが請求される設定になっていたという問題だ。これは、ウェブサイトの表示情報と決済システムの内部設定との間で、支払いが行われる瞬間にのみ生じる不一致だった。幸いなことに、この問題は顧客が実際に支払いを行う前に発見され、迅速に修正されたため、誰一人として誤った金額を支払うことはなかった。この経験から、彼は料金表示がウェブサイトから消えたり、不正確になったりしないよう、システムに自動テストを組み込み、万一そのような問題が発生すればビルドが失敗する仕組みを導入した。このような透明性と誠実な対応は、ユーザーとの信頼関係を構築する上で不可欠な要素である。

OSPulseは、このように単なる既知の脆弱性対策にとどまらず、ソフトウェアサプライチェーンの根深い部分に潜むリスクを、独自の技術と徹底した透明性を持って早期に発見し、開発者を保護することを目指している。Rob氏とFortitude Omnisの挑戦は、セキュリティ分野における新しいアプローチと、信頼性の高いサービス提供の模範を示していると言えるだろう。