【ITニュース解説】Less is safer: How Obsidian reduces the risk of supply chain attacks

現代のソフトウェア開発では、新しい機能やシステムをゼロから全て作ることは少なく、多くの場合は既に作られている便利な部品、つまり「ライブラリ」や「フレームワーク」といった外部コンポーネントを組み合わせて開発を進める。これにより、開発のスピードは飛躍的に向上し、より少ない労力で高品質なソフトウェアを作れるようになった。しかし、この効率化の裏側には、セキュリティ上の新たなリスクも潜んでいる。その一つが「サプライチェーン攻撃」と呼ばれるものだ。

サプライチェーンとは、製品やサービスが作られ、最終的に利用者の手に届くまでの全工程や関係者の連鎖を指す。ソフトウェア開発におけるサプライチェーン攻撃とは、この開発プロセスの中で、悪意のあるコードが仕込まれてしまうことを意味する。例えば、あるソフトウェアを作る際に使っている外部のライブラリやツールが悪者に狙われ、こっそり改ざんされてしまうことがある。この改ざんされたライブラリを開発者が気づかずに使ってしまうと、最終的に完成したソフトウェアにも悪意のあるコードが含まれてしまい、そのソフトウェアを使う全てのユーザーが危険にさらされる。このような攻撃は、ソフトウェアの「供給元」や「部品」を介して行われるため、直接攻撃するよりも発見が難しく、広範囲に被害が及ぶ可能性があるのが特徴だ。

ノートアプリのObsidianの開発チームは、このサプライチェーン攻撃のリスクを最小限に抑えるために、「Less is safer（少ない方が安全）」という独自の哲学に基づいた開発手法を採用している。彼らは、ソフトウェアに組み込む外部の部品（依存関係）をできるだけ少なくすることが、セキュリティを向上させる最も効果的な方法だと考えている。外部の部品が少なければ少ないほど、悪意のあるコードが紛れ込む経路が減り、また、開発チームが一つ一つの部品の安全性について、より深く確認したり、コードの内容を詳細にレビューしたりする機会が増えるからだ。

この「Less is safer」の哲学は、具体的な開発戦略として様々な場面で実践されている。まず、Obsidianチームは、現代のWebアプリケーション開発で非常に広く使われているNode.jsやnpmといったJavaScriptのエコシステムから意図的に距離を置いている。Node.jsやnpmは、膨大な数のライブラリやツールを提供しており、開発を非常に便利にする一方で、その数の多さゆえに、どのライブラリが悪意のあるコードを含んでいるかを全てチェックするのは現実的に不可能に近い。そこでObsidianは、これらの巨大なエコシステムに深く依存しない道を選び、サプライチェーン攻撃のリスク要因を減らしている。

Obsidianはデスクトップアプリケーションだが、その中身にはWeb技術（HTML、CSS、JavaScript）が使われている。これはElectronというフレームワークを利用しているためだ。Electronは、Google ChromeのブラウザエンジンとNode.jsの実行環境を組み合わせて、Web技術を使ってデスクトップアプリを開発できるようにするものだ。これにより、ObsidianはWeb技術を使いつつ、ファイルの読み書きなどOS固有の機能にもアクセスできる。しかし、ObsidianチームはElectron自体の使い方においても、可能な限り最小限の機能しか使わないよう徹底している。Electronは便利だが、それ自体が巨大なコンポーネントであり、その内部にも多くの依存関係があるため、むやみに全ての機能を使うことは、Obsidianの哲学である「Less is safer」に反すると考えているからだ。

Obsidianの開発でJavaScriptやTypeScriptのコードを最終的なアプリの形にまとめたり（ビルドしたり）、一つに結合・圧縮したりする際には、Rust言語で作られた「esbuild」というツールを使っている。従来のWeb開発では、WebpackやRollupといったNode.jsベースのビルドツールが主流だった。これらは非常に強力だが、それ自体が多くの外部ライブラリに依存しているため、サプライチェーン攻撃のリリスクを高める可能性があった。しかし、esbuildはRustという別のプログラミング言語で書かれており、そのコードベース自体が非常に小さく、外部への依存関係がほとんどない。esbuildを使うことで、Obsidianのビルドプロセスは劇的に高速になり、同時にビルドツール自体が悪用されるリスクも最小限に抑えられている。これもまた、依存関係を減らすことによる安全性向上の一例だ。

このような「Less is safer」のアプローチは、Obsidianに多くのメリットをもたらしている。最も重要なのは、サプライチェーン攻撃からソフトウェアを守る能力が大幅に向上することだ。依存関係の数が少なければ、開発チームが各コンポーネントのコードをより詳細にレビューしたり、脆弱性がないかを確認したりする機会が増える。また、攻撃者が悪意のあるコードを仕込むことができる「攻撃対象領域」も格段に狭まるため、サプライチェーン攻撃が成功する可能性自体が低減される。結果として、Obsidianはより堅牢で、ユーザーが安心して使えるソフトウェアになっている。加えて、ビルド時間の短縮や、アプリケーションのファイルサイズが小さくなるという副次的なメリットも得られている。

Obsidianの「Less is safer」という考え方は、現代のソフトウェア開発におけるセキュリティの課題に対して、非常にシンプルかつ強力な解決策を提示している。多くの外部コンポーネントに頼ることが当たり前になった時代だからこそ、意識的に依存関係を減らし、自社の責任範囲を明確にすることで、サプライチェーン攻撃のリスクを効果的に低減できることを示している。システムエンジニアを目指す上で、このようなセキュリティ意識と、それを実現するための具体的な技術戦略を学ぶことは非常に重要だ。