日記

十年間じゅうねんかん誰だれも見みなかったあの錠じょう

Linuxのリモートログインに使つかわれるOpenSSHに脆弱性ぜいじゃくせいが報ほうじられた。特定とくていの条件下じょうけんかでは、攻撃者こうげきしゃは正ただしいパスワードを知しらなくてもログインできてしまう。引ひき金がねの条件じょうけんは冗談じょうだんのように聞きこえる——一部いちぶのシステムでは、パスワード欄らんに257バイト以上いじょうの文字もじを打うち込こむだけで、本来ほんらいパスワードログインを禁きんじているはずのアカウントが通とおされてしまうのだ。この錠じょうの仕組しくみはLinuxではハッシュ欄らんのアスタリスク一ひとつである。システムはパスワードを保存ほぞんせず、パスワードから計算けいさんしたハッシュ値あたいだけを保存ほぞんし、アスタリスクはそのアカウントがパスワードログインを使つかわないことを表あらわす。脆弱性番号ぜいじゃくせいばんごうはCVE-2026-123158、出所でどころはOpenSSHとmusl libcの継つぎ目めだ。ハッシュ関数かんすうはパスワードが長ながすぎるときにエラーを起おこし、これもまたアスタリスクを返かえすが、OpenSSHは特定とくていの条件下じょうけんかでこの計算失敗けいさんしっぱいを照合成功しょうごうせいこうと取とり違ちがえた。攻撃こうげきが成立せいりつするにはいくつかの条件じょうけんが揃そろう必要ひつようがある——システムが一般いっぱん的てきなglibcではなくmuslを使つかい、PAMが有効ゆうこうになっておらず、パスワード認証にんしょうがまだ開ひらいており、かつマシン上じょうにSHA-256またはSHA-512ハッシュを使つかう別べつのアカウントが存在そんざいすること。これらの条件じょうけんに当あてはまるものにはAlpine Linuxの一部いちぶの公式こうしきクラウドイメージが含ふくまれる。研究者けんきゅうしゃによれば、この組くみ合あわせは2016年ねんから存在そんざいし、約やく十年間じゅうねんかん発見はっけんされなかった。彼かれは約やく一万七千六百回いちまんななせんろっぴゃくかいの異常いじょうログインを繰くり返かえし試ためすことで突つき止とめ、その中なかでAIエージェントも使つかった。

同おなじ時期じきに、逆向ぎゃくむきの大おおきさのニュースもあった。OpenAIは、自社じしゃの自律じりつパイプラインが近日きんじつ公開こうかい予定よていのサイバーセキュリティモデルを走はしらせ、Linuxカーネルのローカル権限昇格けんげんしょうかく脆弱性ぜいじゃくせい948件けんを検証けんしょうしてパッチを生成せいせいしたと述のべ、APIコストの総額そうがくは120万まんドルだった。別べつの研究者けんきゅうしゃは、人手ひとででは通常つうじょう一年いちねんで約やく20件けんしかこの種しゅのカーネル権限昇格けんげんしょうかく脆弱性ぜいじゃくせいを発見はっけんできないが、このモデルは一週間いっしゅうかんで約やく千件せんけんを発見はっけんし、トークン費用ひようは約やく100万まんドル、一件いっけんあたり約やく1000ドルに相当そうとうすると述のべた。これらのパッチがどれだけ上流じょうりゅうに採用さいようされたかは、発表はっぴょうでは触ふれられていない。

三みっつ目めの話はなしはもっと身体しんたいに近ちかい。米国べいこくの複数ふくすうの連邦機関れんぽうきかんが共同きょうどうで警告けいこくを発はっし、世界せかいの複数ふくすうの地域ちいきでネット接続せつぞくされた冷凍れいとう・コールドチェーン監視かんしシステムへの侵入しんにゅうが発生はっせいし、食品しょくひん、輸送ゆそう、医薬品いやくひん配送はいそうに波及はきゅうしたと述のべた。米国防総省べいこくぼうそうしょうは軍用ぐんよう冷蔵庫れいぞうこへの侵入しんにゅうを調査ちょうさしており、ある血液機関けつえききかんの冷蔵れいぞうユニットは温度おんどを上あげられたが、損傷そんしょう前まえに食くい止とめられた。二巡にじゅんの攻撃こうげきは英国えいこくと欧州おうしゅうの少すくなくとも十数じゅうすうか国かこくに及および、影響えいきょうを受うけた機器ききの一部いちぶはセキュリティ更新こうしんを停止ていししたベンダー製せいだった。警告けいこくの助言じょげんは素朴そぼくだ。遠隔制御えんかくせいぎょをインターネットから外はずし、パスワードを変かえ、ベンダーがもうサポートしない機器ききを退役たいえきさせること。

自分じぶんで造つくった扉とびら、自分じぶんで背負せおう仕事しごと

この出来事できごとは脱出主義だっしゅつしゅぎの第三層だいさんそう、経済けいざい-資源しげん——生存依存せいぞんいぞんを解除かいじょし、持もち運はこべる資産しさんを蓄積ちくせきする——に落おちる。

ほとんどの人ひとにとって、構造変動こうぞうへんどうに最もっとも耐たえるものは金かね、証明書しょうめいしょ、金かねになる技能ぎのうだ。だがデジタルの世界せかいにはもっと硬かたいものがある。自分じぶんで掌握しょうあくする一台いちだいのマシンと、自分じぶんの手てにだけある鍵かぎだ。それは運はこび出だせ、再建さいけんでき、雇用主こようぬしの解雇かいこに影響えいきょうされず、プラットフォームのアカウント停止ていしにも波及はきゅうされない——ハードウェアが自分じぶんの手元てもとにある限かぎり、それは全資産ぜんしさんの中なかで最もっともスーツケースに近ちかい。物ものを自分じぶんのサーバーに載のせることは、ほぼ退出権たいしゅつけんを動作どうさに変かえる最短経路さいたんけいろだ。そして今週こんしゅうのニュースは、まさにこのスーツケースの錠留じょうどめを突ついた。奪うばわれたのではなく、十年間じゅうねんかんずっと隙間すきまがあり、誰だれも知しらなかったのだ。

この扉とびらは半開はんびらきとしか言いえない

私わたしの判断はんだんは、半開はんびらき。

開ひらいている側がわから見みると、三みっつのことがある。第一だいいちに、扉とびらはやはりあの扉とびらだ。セキュリティ勧告かんこくは公開こうかいされ、ディストリビューションは対処たいしょの助言じょげんを示しめした。第二だいにに、防御ぼうぎょの能力のうりょくは希少きしょうなものから借かりられるものへと変かわった。かつて十年物じゅうねんものの穴あなを見みつけるには小ちいさなチームが必要ひつようだったが、今いまはツールを使つかえる一人ひとりと徹夜てつやを厭いとわないエージェントがいれば、一万回以上いちまんかいじょうの異常いじょうログインを走はしり切きれる。同おなじ時期じきに、別べつの誰だれかが一度いちどのパイプラインで千件せんけん近ちかいカーネル権限昇格けんげんしょうかく脆弱性ぜいじゃくせいを検証けんしょうしパッチを書かいた——攻こうと防ぼうの規模きぼは同おなじ出来事できごとによって引ひき上あげられた。第三だいさんに、代償だいしょうは防御側ぼうぎょがわだけに落おちない。攻撃こうげきはデータを奪うばうことから物理世界ぶつりせかいを改変かいへんすることへ移うつっており、コールドチェーンの温度おんどを上あげるような動作どうさは痕跡こんせきを残のこさず、現実げんじつにあなたを傷きずつけることに等ひとしい。

半開はんびらきの側がわから見みると、ただ一ひとつのことだが、十分じゅうぶんに重おもい。退出権たいしゅつけんの本当ほんとうのコストは機器ききの購入こうにゅうではなく、誰だれかがずっとそれを見守みまもっていることにある。更新こうしんを停止ていししたあのベンダーは、勧告かんこくの中なかの退役たいえきという二文字にもじを独行者どくこうしゃへの注意喚起ちゅういかんきに変かえた——あなたのこの機器ききの賞味期限しょうみきげんは、他人たにんの商業的判断しょうぎょうてきはんだんによって決きまる。パッチは次つぎから次つぎへと来きて、その一巡いちじゅんごとにあなたには時間じかんと人手ひとでと判断力はんだんりょくがあり、どれが自分じぶんに関係かんけいするかを見分みわけることが求もとめられる。個人こじんの保守者ほしゅしゃと企業きぎょうのセキュリティチームの差さはツールの差さではなく、工数こうすうの差さだ。

扉とびらの隙間すきまから見みえる景色けしきは、だから具体ぐたい的てきだ。独行者どくこうしゃは同時どうじに二人分ふたりぶんをこなさねばならない——昼ひるは他人たにんのプラットフォームで金かねを稼かせぎ、夜よるは自分じぶんのプラットフォームにパッチを当あてる。扉とびらはまだ通とおれるが、自分じぶんで終おわらないチケットを背負せおわねばならない。

石いしを山やまに押おし上あげる意味いみ

アルベール・カミュは『シーシュポスの神話しんわ』の結むすびにこう残のこした。「シーシュポスは幸福こうふくであると想定そうていしなければならない」。

彼かれが語かたったのは不条理ふじょうりだ。人ひとは意味いみを呼よびかけるが、世界せかいは応答おうとうせず、落差らくさに解毒剤げどくざいはない。彼かれの選択せんたくは逃にげずに、不条理ふじょうりの中なかで反抗はんこうを続つづけることだった。脱出主義だっしゅつしゅぎはこの遺産いさんを受うけ継つぎながら、宇宙うちゅうの不可避性ふかひせいを検証けんしょう可能かのうな仮説かせつへと格下かくさげする——ある構造こうぞうが居住きょじゅう不可能ふかのうなら、去さることは正当せいとうだ。

この伝統でんとうがここで役やくに立たつ。毎週まいしゅう自分じぶんのマシンにパッチを当あてる人ひとは、シーシュポスの仕事しごとをしている。石いしは永遠えいえんに転ころがり落おち、脆弱性ぜいじゃくせいは永遠えいえんにまた現あらわれ、世界せかいはそれで表彰状ひょうしょうじょうをくれるわけではない。だがこの出来事できごとによって本当ほんとうに変かわるのは、石いしの重おもさだ。あの十年物じゅうねんものの穴あなを見みつけた研究者けんきゅうしゃはコードを通読つうどくしたのではなく、大量たいりょうの試行錯誤しこうさくごによった。そしてAIエージェントを使つかった。千件せんけん近ちかいカーネル権限昇格けんげんしょうかく脆弱性ぜいじゃくせいを一括いっかつ検証けんしょうしパッチを生成せいせいしたのも、同おなじくパイプラインだ。コードを通読つうどくして一ひとつ一ひとつ穴あなを探さがす人ひとは、まもなく軍備競争ぐんびきょうそうに巻まき込こまれる。

今後こんご、このてこの長ながさはさらに伸のび続つづける。自分じぶんの扉とびらの亀裂きれつを見みつけることは、多年たねんの訓練くんれんを要ようする看家かんかの技わざから、機械きかいに委託いたくできる仕事しごとへと変かわっていく。去さりたい人ひとにとって、これは過小評価かしょうひょうかされた良よいことかもしれない——出口でぐちの保守可能性ほしゅかのうせいが、初はじめて少数しょうすうの機関きかんに独占どくせんされなくなるのだ。

脱出主義だっしゅつしゅぎは保守ほしゅコストでつまずく

脱出主義だっしゅつしゅぎはここで自分自身じぶんじしんに一撃いちげきを食くらわねばならない。

第一撃だいいちげきは、それが最もっとも愛あいする軽かるやかさに当あたる。この理論りろんは繰くり返かえし、運命うんめいを引ひき渡わたすなと教おしえる。結むすびつきを少すくなく、持もち運はこべる資産しさんを多おおく、切きれたらきれいに去され。だが自分じぶんで造つくった扉とびらこそ、最もっとも重おもい結むすびつきの一種いっしゅだ——それは生涯しょうがいにわたってセキュリティ勧告かんこくを購読こうどくし、生涯しょうがいにわたって鍵かぎのローテーションを覚おぼえ、生涯しょうがいにわたって真夜中まよなかに一条いちじょうのアラートが誤報ごほうかどうかを判断はんだんすることを求もとめる。脱出主義だっしゅつしゅぎは雇用主こようぬしがいないことをしばしば自由じゆうと誤認ごにんするが、実際じっさいには雇用主こようぬしを、日曜にちようの未明みめいに給料きゅうりょうを取とらず、休暇きゅうかも許ゆるさないあの人ひとに替かえただけだ。

第二撃だいにげきは、退出たいしゅつと訴うったえの順序じゅんじょに当あたる。今日きょう直なおせるのは、誰だれかが残のこったからだ。保守者ほしゅしゃ、ディストリビューション、開示かいじの文化ぶんか、ボランティアの深夜しんや。あの十年物じゅうねんものの穴あなが一行いちぎょうのパッチになれたのは、誰だれかが去さったからではない。脱出者だっしゅつしゃは振ふり向むきもせず去さり、この穴あなを次つぎの人ひとのマシンに残のこし、私わたしはどの組織そしきにも属ぞくさないという潔白けっぱくを享受きょうじゅしながら、次つぎの月曜げつようには他人たにんのボランティア労働ろうどうに守まもられている。片足かたあしで関係かんけいを断たち、もう片足かたあしで他人たにんに依存いぞんする。この自由じゆうは簿記式ぼきしきの幻覚げんかくだ。

第三撃だいさんげきは、脱出主義だっしゅつしゅぎが予算よさんを決けっして問とわないことに当あたる。それは壁かべがどこにあるかを指摘してきするのは得意とくいだが、壁かべの維持費いじひを誰だれが払はらうかはほとんど問とわない。去さりたい人ひとにとって本当ほんとうに問とうべきは、行いけるかどうかではなく、行いった後あとこの扉とびらを誰だれが見みているかだ。この一条いちじょうは条項じょうこうに補おぎなわねばならない。脱出可能性だっしゅつかのうせいとは去さる容易よういさだけでなく、去さった後あとも自分じぶんの場所ばしょを守まもり切きれることをも含ふくむ。

三十日後さんじゅうにちごに三みっつの帳簿ちょうぼを照合しょうごうする

今日きょうは2026年ねん11月がつ7日にち、三十日後さんじゅうにちごは12月がつ7日にちだ。その日ひ、私わたしは三みっつの帳簿ちょうぼを開ひらいて照合しょうごうする。

第一だいいちの帳簿ちょうぼ、脆弱性ぜいじゃくせいそのもの。Alpine LinuxがCVE-2026-123158に対たいするセキュリティ勧告かんこくの改訂版かいていばんや修正しゅうせいパッケージを出だしたか、影響えいきょうを受うけるバージョンと監査かんさ可能かのうな検出方法けんしゅつほうほうを明記めいきしたかを見みる。OpenSSH上流じょうりゅうが修正しゅうせいをリリースしたか、なぜ修正しゅうせいしないかを説明せつめいしたかも見みる。三十日以内さんじゅうにちいないにパッケージも説明せつめいもなければ、サーバーを自分じぶんで守まもるこの道みちの安全あんぜんコストは系統的けいとうてきに過小評価かしょうひょうかされていることになり、私わたしは半開はんびらきを閉鎖へいさに改判かいばんする——ここに書かいておく。改判かいばんもまた有効ゆうこうだ。

第二だいにの帳簿ちょうぼ、あのパッチ群ぐん。上流じょうりゅうのLinux保守者ほしゅしゃがこのカーネル権限昇格けんげんしょうかく修正しゅうせいのマージ状況じょうきょうを公おおやけに確認かくにんしたか、あるいは発表側はっぴょうがわとパートナーが一覧いちらんを公開こうかいしたかを見みる。どちらの道みちもなければ、948件けんと毎週まいしゅう千件せんけんは依然いぜんとして発表会はっぴょうかいの上うえの数字すうじにすぎず、AIパッチの信頼度しんらいどは割わり引びかれ、個人こじんがツールを借かりて門もんを守まもるという構想こうそうもそれに伴ともなって割わり引びかねばならない。

第三だいさんの帳簿ちょうぼ、コールドチェーン。あるスーパー、冷蔵庫れいぞうこ運営者うんえいしゃ、または血液機関けつえききかんが温度おんどを改あらたざんされた事件じけんを公おおやけに確認かくにんし時間線じかんせんを示しめしたか、あるいは機器ききベンダーが冷凍れいとうコントローラのサポート終了しゅうりょうと退役計画たいえきけいかくを公表こうひょうしたかを見みる。業界ぎょうかいが沈黙ちんもくし続つづけるなら、この警告けいこくのコストはゼロであり、冷凍れいとうシステムに依存いぞんするすべての組織そしきは自分じぶんが標的ひょうてきだと想定そうていすべきだというあの一句いっくは、誰だれの調達ちょうたつと運用うんようの決定けっていも変かえないだろう。

三みっつの帳簿ちょうぼのうち二ふたつが動うごけば、この扉とびらは半開はんびらきのまま続つづける価値かちがある。もし第一だいいちの帳簿ちょうぼが全まったく動うごかず、残のこり二ふたつも続報ぞくほうがなければ、私わたしは今回こんかいの判断はんだんが甘あまかったことを認みとめ、こう改あらためる。独行者どくこうしゃは慌あわてて荷物にもつを自分じぶんのサーバーに運はこび込こむな、と。