改めて考えるOSSのあり方について

Transcript

1. 改めて考える OSSのあり方について ざっくりと学ぶWebの基礎
2. 自己紹介 • 名前 ◦ 松永勇太（@ufoo_yuta） • 出身学科 ◦ 大阪工業大学ロボット工学科 • 職業 ◦ Webエンジニア • すきなこと ◦ シンプルなものづくり
3. 議論に入る前に、
4. 改めてOSSとは何か Open Source Softwareのこと。 • ソースコードが入手可能 • 誰でも配布できる • 改変して配布できる 重要なのはOSSは無料で利用できるソフトではなく 、 ライセンスによって自由が保証されたソフトウェア ということ。
5. OSSとUNIXの思想 UNIXとは1970年に開発されたOSで、 その設計思想は後のOSS開発にかなり影響している。 • ソースコードを読んで改変する • 小さく単機能に作る • プログラムを組み合わせる ソフトウェア開発とは既存のOSSを組み合わせて作る ものである。 その上で足りない機能を自らが実装していく 。
6. ここまでで言いたいこと 世の中のソフトウェア開発の全ては、 OSSの上に成り立っていて、OSS無しでは成り立たない。 と言っても過言ではないということ
7. ここから本題
8. Log4Shell事件 これは2021年12月にLog4jというJavaライブラリで見つかった、 ログ機能をハックして任意のコードが実行できる という恐ろしい脆弱性。 • Apple • Amazon • Microsoft • Minecraft などの多数の大企業に影響した事件。
9. この事件が示した構造 これは単なるOSSの脆弱性の問題ではなく、 • 数多の企業のインフラになっていた • 保守は少人数のコミッター（ボランティア）によるもの という構造的問題が明るみになったことで、 OSSの責任問題がSNSでかなり議論された。
10. その後起こった事件 2022年初頭にあるOSS開発者による反乱が発生。 自身のJavaScriptのライブラリを意図的に破壊した • faker.js • color.js 無限ループコードを仕込んだり、空に近い状態に改変したりした。 これらを利用した多くのライブラリにも波及した（特にcolor.js）
11. 二つの事件から改めて認識したこと OSSとは • インフラである • 保守が個人に依存 している そして非対称性がある • OSSを利用する企業は利益を得る • OSSを開発する個人は無償でありながら責任を追及 される 反乱事件はこの非対称性に対する抗議 でもあった
12. 解決モデル
13. OSSの管理は大体こうなっている • ライブラリ ◦ ユーティリティレベルのもの ◦ これはまだ個人単位での管理が多い • フレームワーク ◦ ソフトウェアの構造レベルに影響するもの ◦ 企業単位での管理が主流 • プログラミング言語 ◦ 言うまでもなく全ての開発に影響するもの ◦ これに関しては中立的であることが必要なので財団管理が主流 あくまで傾向、もちろん例外はたくさんある
14. 企業が主体で管理する OSS例 フレームワークの例として、VercelとNext.js • Vercel ◦ フロントエンド特化のホスティングサービス ◦ 細かな設定なしでもデプロイ可能 ◦ GitHub連携をすればgit pushから自動化もできる • Next.js ◦ Vercelが開発したWebフレームワーク ◦ React.jsというライブラリを利用 ◦ VercelはNext.jsの利用に特化
15. 企業で管理するメリット • 利用者側 ◦ セキュリティ問題があった時の責任を負ってくれる ◦ 長期での運用サポートをしてくれやすい ◦ アップデートの意思決定が早い • 企業側 ◦ ソフトウェア開発の標準を作ることができる ◦ 自社サービスへの誘導がしやすい ◦ 自社の技術スタックに適合したエンジニアを採用しやすい
16. そのことによる問題点 • ベンダーロックイン ◦ フレームワークとクラウドが強く結びつくと他の環境に移行しにくい • 方向性が企業の利益に左右される ◦ 自社サービスに有利な機能が優先される可能性 • コミュニティの影響力が小さくなる ◦ 個人開発者の意見が通りにくい • UNIX哲学との剥離 ◦ 企業はオールインワンの OSS開発になりがち ◦ 小さな機能単位の提供にはなりにくい
17. まとめ OSSは、 • ソフトウェア開発の重要インフラである • 個人のボランティアに依存する構造的危うさを持つ • 企業主導もしくはスポンサーになるケースが主流になりつつある 理想としてはコミュニティベースで個人同士の自由参加 が良いとされるが、 ソフトウェアが経済インフラになってしまった昨今では難しくなっている。