Google Web Search

Googleは6月20日(米国時間)、「ImperialViolet - BoringSSL」において、OpenSSLをベースとしたTLS/SSLの実装系として新しく「BoringSSL」を分岐させたと発表した。GoogleはこれまでOpenSSLにさらに独自のパッチを適用したものを活用してきたが、パッチを維持しつつさまざまなプロジェクトで採用することが困難になってきたと説明。OpenSSLから分岐させパッチを取り込んだバージョンを「BoringSSL」として作成し、パッチを維持するのではなく、パッチを取り込んだ「BoringSSL」へOpenSSL側の変更を取り込み続ける方向へ方針を転換したと発表した。

GoogleはこれまでOpenSSLで発見したバグをOpenSSLプロジェクトへ報告してきたが、いくつかのパッチは取り込まれたものの、それ以外のパッチは取り込まれずに放置されてきたという。取り込まれなかった理由はAPI互換性維持によるとされているが、GoogleとしてはAPIを変更してでもパッチを取り込むことに意味があると判断。今回の「BoringSSL」誕生につながった。

OpenSSLからの派生ではOpenBSDプロジェクトが「LibreSSL」を発表している。こちらはOpenSSLのAPIを維持しながら、内部を実装を作り替えてより安全なものにするという取り組みとなり、「BoringSSL」とは趣旨が異なる。GoogleはLibreSSLの活動も支援するとしており、LibreSSLにおいて実施された変更なども「BoringSSL」へ反映させていく姿勢を見せている。

OpenSSLのAPI互換性維持とセキュリティなどに関しては、OpenBSDやGoogleのみならずほかのオープンソースプロジェクトでも議論が活発になっている。OpenSSL、LibreSSL、BoringSSLなど複数のオープンソース版TLS/SSL実装系が存在する状況になり、今後どういった活用を実施すべきか、さまざまな団体が今後の取り組みを模索しはじめた段階にある。