　Reproducible Buildsプロジェクトは、フリーソフトウェア、オープンソースソフトウェアを支援するソフトウェア・フリーダム・コンサーバシー（Software Freedom Conservancy）配下で活動するプロジェクトであり、同じソースから同じバイナリが生成されることを担保することを目的として活動しています。これにより、ソースのコンパイルで脆弱性やバックドアが混入されていないことを検証することができ、オープンソースでの配布物のセキュア性を担保することができます。

　同じソースから同じバイナリが生成されることを担保するため、まず、ビルドシステムを決定論的にする必要があります。例えば、ビルド時の日付や時刻を記録してはならず、出力は常に同じ順序で書き込まれる必要があります。また、ビルドを実行するために使用するビルド環境を定義することで、ユーザーがその定義された内容でビルド環境を構築できるようにします。さらに、この環境でビルドプロセスを実行し、出力が元のバイナリと一致することを検証する方法を提供することも必要です。

　CIPは、Reproducible Buildsプロジェクトのスポンサーとなり、この活動を支援しています（図6）。この活動成果をCIPが提供するオープンソースベースレイヤー（OSBL）に取り込み、セキュリティリスクを低減しています。

図6　CIPとReproducible Buildsとの関係（クリックで拡大）出典：Open Source Summit Europe 2018での小林良岳氏、Urs Gleim氏講演「Two Years Experience of Industrial-grade Open Source Base Layer Development and its Future」に基づき作成

　本稿を含め、前編、中編、後編の3回にわたってCIPについてご紹介してまいりました。この「今さら聞けないCIP入門」シリーズが、少しでもCIPを活用しようとされる皆さまの役に立てば幸いです。また、CIPでの活動を広げ、さらに強化するためにも、CIPプロジェクトに参加いただける企業を募集しています。皆さまのご参加をお待ちしています。

CIP（Civil Infrastructure Platform）のWebサイト（クリックでWebサイト移動）

（連載完）

参考

hawkBit：https://www.eclipse.org/hawkbit/

SWUpdate：https://github.com/sbabic/swupdate

Software Freedom Conservancy：https://sfconservancy.org/

Reproducible Builds：https://reproducible-builds.org/

謝辞

“The author thanks the International Electrotechnical Commission (IEC) for permission to reproduce Information from its International Standards. All such extracts are copyright of IEC, Geneva, Switzerland. All rights reserved. Further information on the IEC is available from www.iec.ch. IEC has no responsibility for the placement and context in which the extracts and contents are reproduced by the author, nor is IEC in any way responsible for the other content or accuracy therein.”

筆者プロフィール

工藤雅司（くどうまさし）

国内電機メーカーで20年以上にわたりUNIXサーバOSや組み込みOSの開発、ネットワーク製品開発を主導するとともに、OSS活動にも携わる。現在は、サイバートラストに勤務し、Linuxを中心とした組み込みソフトウェア技術活動に従事。CIPへはサイバートラスト代表として参画し活動中。

・サイバートラスト
https://www.cybertrust.co.jp/

≫連載「いまさら聞けないCIP入門」バックナンバー
CIPではどのようにして長期サポートを実現するのか
CIP（Civil Infrastructure Platform）は、Linux FoundationのOSSプロジェクトであり、その目的の1つは産業グレード機器に対して長期的なサポートを達成することです。「いまさら聞けないCIP入門」の中編では、CIPが目指す長期サポートをどのように実現しようとしているかについて説明します。
持続可能な産業グレードのOSS基盤を実現する「CIP」とは何か
CIP（Civil Infrastructure Platform）は、Linux FoundationのOSSプロジェクトであり、その目的の1つは産業グレード機器に対して長期的なサポートを達成することです。「いまさら聞けないCIP入門」の前編では、CIPがどのような背景で発足したのか、現在どのような活動を行っているかについて説明します。
組み込みLinuxと「Yocto」の深イイ関係、そしてクラウドネイティブへ
ウインドリバーがIoT時代を迎えて需要が拡大する組み込みLinuxとその最新技術について説明。本稿では、同社の小宮山岳夫氏の説明内容に基づき、組み込み機器の定義や、リアルタイムOSと組み込みLinuxの使い分け、IT機器向けと組み込み機器向けのLinuxの違い、組み込みLinuxで存在感を増す「Yocto」、クラウドネイティブと関係性などについて解説する。
組み込みLinux開発入門
組み込みソフトウェアの開発は、PC用とは異なる要素や手順が必要となる。組み込み開発の全体像をおさらいし、実際にターゲットボードを用いた組み込みLinux開発の流れを詳しく解説する。
組み込みLinuxのメリットと弱点は何か？
携帯電話や情報家電市場の活況で、組み込み分野が面白くなっている。その中でLinuxはどのような存在なのだろうか？
組み込みLinuxの弱点は克服されたのか？
2004年11月に、組み込みLinuxが抱える弱点を指摘した。あれから約2年。果たして弱点は克服されたのか？