授業資料/06

OS 全体のアップデート
レポート
about Icons, ClipArts

OS 全体のアップデート †

カーネルからシステム, アプリケーションに至るまで一般の unix 系 OS では非常に多くのソフトウェアが含まれている.
これらのソフトウェアのセキュリティ上の脆弱性が日々発見および悪用されている昨今，脆弱性についての情報を半自動的に入手する方法や細かいシステムアップデートの仕方を知らないとセキュリティを固めることは不可能である.
(後日これから様々な daemon をインストールする前に)こうしたシステム更新について学んでおいた方がよい.

そこで，FreeBSD の場合*1のこうしたアップデートについて，ある程度一般的なことを学習する.

↑

FreeBSD のバージョンを確認する †

まず FreeBSD のバージョン違いにはどのような意味があるのかざっと知っておこう.

まず，

 uname -v

としてみよう. すると皆の今のマシンの状態では

FreeBSD 8.1-RELEASE #0: Mon Jul 19 02:55:53 UTC 2010 root@almeida.cse.buffalo.edu:/usr/obj/usr/src/sys/GENERIC

などと表示される. この第二項目の "8.1-RELEASE" がバージョンを表している.
ただし，uname コマンドの出力は古かったりウソをついたりする可能性があるので，より正しく /usr/src/sys/conf/newvers.sh の REVISION= という部分と BRANCH= という部分をチェックして確かめておこう*2.
以下は，newvers.sh のバージョンを表わす該当部分である．

TYPE="FreeBSD"

REVISION="8.1"

BRANCH="RELEASE"

さて，これらのバージョンは，FreeBSD が公式にサポートしているシステム群全体に対してどのような状態であるかを示している.
この "8.1-RELEASE" のうち，最初の数字二つがバージョン番号(revision)で，最初の一つがメジャー，二つ目がマイナー番号などと呼ばれる*3.
そして，最後のハイフン以降が branch と呼ばれ，そのバージョンの「現在の状況」を表している.
branch にはおおよそ次のようなものがある.

current: 開発中，最前線にあることを意味する. 最新の機能てんこもりではあるが，変更はしょっちゅうだし，バグも多い. コンパイルできないこともままある. 内容は「入手した日時で」ぜんぜん違う*4.
stable: 安定して使える状況であることを意味する. current でさんざん試験された機能が統合され，安定性とセキュリティ確保が目的の保守がされている. 内容は「入手した日時で」違う.
release: stable の中でも特に安定性とセキュリティのために注意深く試験, 保守されたもので，FreeBSD の利用には一般にこの版が推奨される(もちろん stable 版を常に更新しつつ使ってもよい). 内容は入手日時に関係なく基本的に「固定」されている.

また，release 版では特に「セキュリティのためだけに最小限の変更を行った」バージョン違いもきちんと記述される.
例えば "8.1-RELEASE-p1" などと表記され，これは 8.1-RELEASE にパッチが 1回適用されたバージョンであることを意味する.
現在はこの数字がいくつになっているべきなのかは， FreeBSD Security Advisories(http://www.freebsd.org/security/advisories.html) などをみて，セキュリティ勧告(FreeBSD-SA-* というやつ)がその Release が公開されてからいくつあるかを数えればよい(ちなみに，8.1-Release は 2010年7月23日にリリースされている)．

これらの branch の違いは(ある程度使ってみても実感できるが)後述のアップデート方法の違いからも推察されるので，よくわからないというものはその部分まで読み進めればよい.

↑

実習 †

現状の OS のバージョンをきちんと調べ，記録しておけ.
また，今現在は FreeBSD の release branch の最新のものはいくつであるはずか調べよ(FreeBSD Security Advisories(http://www.freebsd.org/security/advisories.html) を探して読んでみよということ)

↑

FreeBSD のシステムアップデートの方法 †

後の説明のために，FreeBSD のシステムのアップデートの方法を先に述べておこう.
これには主に以下のようなものがある.

再インストール: 要するに新規インストール. 他に手段がないときの最終手段. アップデートであまりにも変化が大きいときはこの方法が安全ではある. Windows 等と違って FreeBSD では設定ファイルのほとんどがテキストファイルなので，設定を引き継ぎやすいのがせめてものなぐさめか.
プログラムソースを更新し，コンパイルしてシステムを入れ替える: ソースからバイナリをその都度作るためかなり汎用性は高いが，時間も手間も結構かかる. 少し前までは発見された(セキュリティ)脆弱性に対応するには事実上この方法しかなかった*5. ソースの更新には "cvsup" を用いるのが一般的. ちなみに，この方法は，コンパイルに使うコマンドから俗に "make world" と言われる*6. なんだかんだ言ってもこの方法を使えないと困ることもあるかと思われる. 詳細はハンドブックを参照すべし.
sysinstall を用いる: 新しいバージョンのインストールディスクで起動してsysinstall を用いる方法. 隣り合った release 間でしか使えないと思っておいた方がよいが，簡単で楽.
特殊なツールを用いる: release バージョン間においては，公式/非公式に特別なアップデートツールが提供されることが多い. これを用いると非常に簡単にアップデートが可能だが，これも適用対象は非常に限定されており汎用性は低い.
freebsd-update を用いる: これは一種のバイナリアップデートで release 版を，同じ release 版の最新のセキュリティパッチが上がったものに修正してくれるものである.
日々のセキュリティ対策の負荷を大きく下げてくれる嬉しいシステムで，今一番のお奨めだ. ただし，主に release 版にしか使えない*7. ただし，ports 関係までは面倒見てくれないので，ports 関係については自分で考えないといけない.

参考のために，いくつかの資料を示しておこう.

↑

cvsup コマンド †

ソースからコンパイルする，という方法をとるばあい，準備に必要なコマンドだ.
何をしてくれるかというと，FreeBSD でシステムを再構築するために必要なソースを更新するコマンドである.
かつては良く使われたコマンドだが，portsnap と freebsd-udpate が使えるようになってからは通常の管理者はあまり使わなくなったのではないだろうか.
というわけで，以下の説明は読んでおくだけでよい.

使う場合は, ports からインストールしておく(インストールするのはGUI 不要な "cvsup-without-gui" にしておこう).
例えば，あとは 8.1-Release 内での最新に揃えるためならば /etc/cvsupfile を次のようにする. ちなみに，/usr/share/examples/cvsup に様々な状況に適した設定ファイルのサンプルがあるので参考になるだろう．

*default host=cvsup.jp.FreeBSD.org

*default base=/var/db

*default prefix=/usr

*default release=cvs tag=RELENG_8_1

*default delete use-rel-suffix

*default compress

src-all

こうしておいて，

 nohup /usr/local/bin/cvsup -g -L 2 /etc/cvsupfile

などとすれば，(上の場合は)システムソースとドキュメントが全て更新される.
cvsup で ports を更新することもできるが，ports に関しては portsnap の方が優秀なので(圧倒的に速い)，portsnap に任せてしまおう.

↑

make world 系について †

ソースからコンパイルする方法を一般にこうよぶ.
これも今となってはあまり頻繁に使わない方法だろうから，簡単に述べておこう.

まず，make world の手続きの詳細についてはハンドブックを見ればよいので，ポイントのみ書いておく.
管理者見習いにとって，システムをコンパイルして入れ替えるこの方法で一番問題になるのは，主に /etc 以下にある設定ファイルの引継ぎだろう*8.
理想を言えば「何を聞かれているか完全に分かって作業する」ことになるが，どうしても困った場合は，

自分で触った記憶のあるファイル … 新旧二つを比べて手で修正することにする
自分で触ったことのないファイル … 新しい方を採用

という方針でなんとかなるだろう.
なお，作業所用時間であるが(Pentium 4, 3GHz 程度の古めの PC で),

最も時間のかかる buildworld で1時間半程度
他はあわせて 1時間弱という程度か

という感じである.

↑

freebsd-update について(実習込み) †

簡単，スピーディ，半自動といいところが揃っていて今一番のお勧めである freebsd-update についてである.
これを半自動で使いこなせば，特に労せずにFreeBSD のコアシステムのセキュリティパッチを常にほぼ最新に保つことが可能だ.
以下，詳しく見ていこう.

なにはともあれ，まずはマニュアルを読んでみよう.
マニュアルによるとおおよそ5つの使い方がある*9.
簡単に説明しておくと，

freebsd-update fetch: 必要なバイナリ差分を取ってくる.
freebsd-update cron: cron を使って定期的に fetch を行うにはこのモードで.
freebsd-update install: 取ってきた差分をインストールする.
freebsd-update upgrade: OS の Release 間バージョンアップに使う. 例えば，8.1-Release から 7.3-Release にあげるなど.
freebsd-update rollback: freebsd-update した結果を元に戻す.

というところだ.
upgrade や rollback は普段は使わないだろうから，普段使う残り三つについて説明しよう.

まず，バイナリ差分を取ってくるには手動の fetch と，cron で自動的に行う cron の二通りがある.
試しに手動の

 freebsd-update fetch

を行ってみよう.
皆の今の状態だと，

Looking up update.FreeBSD.org mirrors... 4 mirrors found.

Fetching public key from update4.FreeBSD.org... done.

Fetching metadata signature for 8.1-RELEASE from update4.FreeBSD.org... done.

Fetching metadata index... done.

Fetching 2 metadata files... done.

Inspecting system...

Preparing to download files... done.

Fetching 8 patches..... done.

Applying patches... done.

　

The following files will be updated as part of updating to 8.1-RELEASE-p1:

/rescue/[

/rescue/atacontrol

/rescue/atmconfig

/rescue/badsect

/rescue/bsdlabel

…略…

/usr/lib/libbz2.so.4

/usr/lib/libbz2_p.a

/usr/lib/libstand.a

/usr/lib/libstand_p.a

/usr/src/sys/conf/newvers.sh

という感じで，システムをチェックした上で(皆の今の素の 8.1-Release から)8.1-Release patch1 までバージョンアップできるよ，その分は以下の通りで，取ってきたよ，という表示が出るだろう.

つぎに，この「バイナリ差分の取得」を自動化しておこう.
それにはマニュアルにも記述があるように，/etc/crontab に

0 3 * * * root /usr/sbin/freebsd-update cron

などと書きこんでおけばよい
crontab では項目間は原則として「タブ」で区切ることに注意せよ. ただし，最後の update と cron の間は項目間「ではない」ので，スペースで区切ること.

こうしておけば，上の場合は毎日午前3時に freebsd-update fetch と手動で作業したのと同じ効果が得られる上，「もし新しいパッチがあったら」root 宛にその旨のメールを出してくれるのだ.
つまり，こうしておけば「自分でチェックしなくても新しいパッチがあるかどうか，毎日の情報が分かる」のである*10.
上でみたように FreeBSD Security Advisories(http://www.freebsd.org/security/advisories.html) に日々目を通してチェックしようとすると大変なことを思えば，これがいかに楽かわかるだろう.

というわけでこの設定も実際にやっておこう.
(実際には，午前 3時 1分に cron で動く他のものがあるので，少し時間を空けて午前 3時30分などに設定しておくなど，工夫した方がよい)

そして，こうして取得したバイナリ差分の適用だが，(情報等を眺めて問題ないと思ったら)手動で

 freebsd-update install

とするだけである(この後念の為にリブートしておくとよい). お気楽だ.

なお，システムライブラリを静的にリンクしているなどの ports/package がある場合は，それらも更新しないと意味がない.

さて，バイナリ差分の適用作業も実際にやってみよう.
そして，(リブート後) FreeBSD のバージョンを再度確認して，変化を確認しておこう.

しかし，実際に作業後に uname -v の表記をみると，

FreeBSD 8.1-RELEASE #0: Mon Jul 19 02:55:53 UTC 2010 root@almeida.cse.buffalo.edu:/usr/obj/usr/src/sys/GENERIC

などとなり，"-p1" が加わっておらずうまくいったかどうかわからないだろう．
そこで先に教えたように newvers.h をみると，

TYPE="FreeBSD"

REVISION="8.1"

BRANCH="RELEASE-p1"

となっており確かに patch 1 になったことがわかる.

↑

FreeBSD システムアップデートの方法の主な構図 †

以上でバージョンとアップデートの関係がざっとわかっただろうから，
それらを大ざっぱな図として以下に示す(ただし，100% この図の通りだというわけではない. 特にアップデートの方法は「優れたツールが開発されて楽になっていく傾向が強い」ので，アップデートが必要なときに調べ直すと嬉しい発見も多いだろう).

これをみると分かるが，release branch に留まっていれば何かと楽である.
逆に，労をいとわなければ "make world" によってほとんどのケースで対応が可能なことも分かる.

↑

ports/packages のアップデートとセキュリティについて †

さて，OS のコアシステムについてセキュリティパッチの情報をほぼ最新にかつ自動的に得つつ，簡単にパッチ当てができるようになったので，今度は ports/packages で似たようなことができないか考えよう.
そのためには，

既にインストールした ports/packages の脆弱性情報を自動的に得る仕組み
ソフトのバージョンアップ時に必要になる ports 情報を常に最新に保つ仕組み
ソフトのバージョンアップを実際に簡単に行う仕組み

が必要だ*11.
これらで「簡単」とか「自動的に」という部分は，実際にはとても重要だ.
というのも，これらが難しかったり大変だったりすると作業が行われなくなりがちで，結局，脆弱性を放置したままということになりかねないからだ.

以下に，これらの仕組みについて具体的に記すと，

既にインストールしてある ports/packages の脆弱性情報は，portaudit で知ることができる(cron でも使えるので定期的にできる)
ports 情報は portsnap を cron で用いることで常に最新の状態にしておける
portupgrade を用いて，脆弱性のみつかった package/ports を更新して安全な最新バージョンに更新する

となる.
以下，少し詳しく述べよう.
(portsnap と portupgrade については既に簡単な説明がしてあるが，補足込みでここで再度説明しておく).

↑

portaudit †

脆弱性報告のあるインストール済み ports/package を見つけてくれるツールだ.
もう，絶対の必需品と思ってよい．
もし入っていなければいつものように，psearch と portinstall を使ってインストールしよう*12.

まず，手動での使い方は

 portaudit -adF

である．

実際にやってみよう.
意外に多くの脆弱性報告がある場合もあり，驚くだろう.
ただし，何回かダブって報告されるものもあるので，皆の今の状況だと実際には数個ほどのものだろう*13.

さて，portaudit の自動化だが，実は portaudit をインストールした時点ですでに自動化が完了している.
具体的には，インストール時に /usr/local/etc/periodic/security/410.portaudit という名前のファイルが作られ，これが cron で periodic daily が実行される度に実行されるようになっているのだ.
そして，その結果もやはり root 宛にメールで届くようになっている.
であるから，portaudit をインストールするだけで，ports/packages の脆弱性情報については OK だ.

そして，portaudit で報告のあったソフトについては，portupgrade で新しい版にアップグレードすればよい．
ただし，新しいバージョンにも脆弱性があると報告されている場合，portupgrade は途中で停まるようになっている．

この場合は，「脆弱性の内容からどうすべきか判断する」必要がある．
例えば，今の版も新しい版もリスクが大きいと思われる場合はしばらくそのソフトの使用をやめるのがよいだろうし，新しい版の脆弱性リスクは非常に小さいと判断できる場合は，強制的に新しい版にアップグレードして使うというのもありだろう．
ちなみに，脆弱性情報を無視して強制的に portupgrade を使うには，

 portupgrade -m DISABLE_VULNERABILITIES=yes ソフト名称

とすればよい．

確かに /usr/local/etc/periodic/security/410.portaudit というファイルがあることを確認しておこう.
余力のある者は，そのファイルの中身も見ておこう.

↑

portsnap †

既に何度も使っている ports ソースを更新するためのツール．
cvsup より速いのでお勧め*14.

既に学んだことだが，改めて書いておくと，利用し始め(つまり初回)の時のみ，

 portsnap fetch
 portsnap extract

とする. これによって，/usr/ports 以下は真新しくなる(だから，自分の重要なデータは置いておかないこと).
そして，二回目以降は

 portsnap fetch
 portsnap update

とすればよい．
手動でやるなら常にこの組み合わせ(fetch, update)で覚えておけばよい.

半自動化するには cron 化する.
具体的には，例えば

0 4 * * * root /usr/sbin/portsnap cron

などと /etc/crontab に書いておけば*15，一日一回，portsnap fetch をしたのと同じ効果がある.

マニュアルからもわかるように portsnap update の自動化についてはあまりお勧めされていないが*16，
どうしてもというならば portsnap -I update としておく.
(まあ，実際に何かのソフトを port でインストールするか udpate する時に手動で portsnap udpate すればよいので，これは大した手間ではない)

↑

実習 †

portsnap の fetch 作業相当を自動でやってくれる cron の設定(上記)をやっておこう．

↑

portupgrade †

既にインストールされている ports/packages をアップグレードするツール(とその仲間).
これ自身が便利な上，これをインストールするとついでに portinstall や portversionコマンドがインストールされて使えるようになるため，もし入っていなければインストールしておこう(8.1R はデフォルトで入っているはずだが).
これをインストールした後は，port のインストールは

 portinstall ソフト名称

とするだけでよいようになるし，アップグレードも

 portupgrade ソフト名称

だけでよいのでとても楽になる.

ちなみに，ここで称している「ソフト名称」というのは，
未インストールのものならば

 psearch

で，インストール済みのものならば

 pkg_info

で知ることができる．

↑

実習 †

(念の為の実習) portsnap, portupgrade, portaudit のうち，インストールされていないものがあればインストールせよ.

↑

おまけ †

時間が余って仕方がない，という学生は portaudit で脆弱性があると報告されているソフトウェアに対し， portupgrade を用いてバージョンアップして脆弱性をなるべく無くすよう努力してみよ.
要するに，該当するものを portupgrade でコツコツバージョンアップし，portaudit をかけたときに脆弱性報告リストに出ないようにするのだ.

きちんとこの作業をしておけば，

>portaudit -adF

auditfile.tbz 100% of 64 kB 84 kBps

New database installed.

Database created: 2010年 11月 9日火曜日 20時25分00秒 JST

0 problem(s) in your installed packages found.

という感じに，問題のあるパッケージがない状態にできて一安心だ.

上に書いたように，最新のものにも脆弱性が報告されている場合は，portupgrade はアップグレード作業を行ってくれない．
こうした場合はセキュリティ情報を良く調べて「何が危ないのか」「運用でどうカバーするか」「新しい版のほうがマシなのか」「なんならアンインストールしたほうが良いのか」の判断をしよう．

↑

ちなみに，システムも ports も全てをきちんと update することを考えると… †

全てというならば，まずはどれくらい「最新でないもの」があるかをリストアップしてみよう.
それには，portupgrade を「実際には何もするな」というオプション付きで実行して，対象数だけ見てみればよい.
具体的には，例えば全てをチェックするのであれば

portupgrade -na

とすればよい(-n が「実際には作業するな」 -a が「全て」という指定である).

実際に以下のようにして調べてみよう.

>portupgrade -na

---> Reading default options: -v -L /var/log/ports/%s::%s.log

---> Session started at: Tue, 09 Nov 2010 20:28:32 +0900

---> Upgrade of lang/perl5.10 started at: Tue, 09 Nov 2010 20:29:50 +0900

---> Upgrading 'perl-5.10.1_1' to 'perl-5.10.1_3' (lang/perl5.10)

…略…

Upgrading 'gnome2-2.30.1_1' to 'gnome2-2.30.2' (x11/gnome2)

OK? [no]

---> Upgrade of x11/gnome2 ended at: Tue, 09 Nov 2010 20:30:21 +0900 (consumed 00:00:00)

---> ** Upgrade tasks 187: 187 done, 0 ignored, 0 skipped and 0 failed

---> Listing the results (+:done / -:ignored / *:skipped / !:failed)

…略…

+ x11-toolkits/py-gnome-desktop (py26-gnome-desktop-2.30.0_2)

+ deskutils/hamster-applet (hamster-applet-2.30.1_2)

+ games/gnome-games (gnome-games-2.30.1_1)

+ x11/gnome-applets (gnome-applets-2.30.0_2)

+ accessibility/orca (orca-2.30.1_1)

+ x11/gnome2 (gnome2-2.30.1_1)

---> Packages processed: 187 done, 0 ignored, 0 skipped and 0 failed

---> Session ended at: Tue, 09 Nov 2010 20:30:21 +0900 (consumed 00:01:49)

などという表示になって，上の場合，187 個の package が「古い」ことがわかる*17.
これを全て新しくしようとすると数日以上時間がかかるだろう．

↑

レポート †

FreeBSD 9.0-Release が公開されたならば，今のシステムをそれにアップデートするにはどうしたらよいか，この資料だけでなくweb で調べるなどして，なるべく詳細に調べよ.
また，本日行った作業について報告せよ.
もちろん各自の

所属(学部，学科)
学籍番号
学年
氏名
日時
肝心のレポート内容(得た知見，作業について気づいたこと等)

を書くのを忘れないように.
レポートはこういう「形式」から外れると読んでもらえないこともある．書き漏らしのないように注意しよう．

↑

about Icons, ClipArts †

Some icons in this page are downloadable at ICONFINDER.

The "note" icon designed by Marco Martin is distributed with the LGPL licence,
the "warning" icon designed by Alexandre Moore with the GPL licence
and the "triangle" icon designed by Joseph North is distributed with the Creative Commons (Attribution-Noncommercial-Share Alike 3.0 Unported) licence.

Some clip arts used in this page are downloadable at Open Clip Art Library.
We deeply appreciate their superb works. With licence, they describe that "the actual clipart content on open clipart library is Public domain" in the web.

*1 残念ながら，unix 全体等で通用する汎用的な仕組みはまだない. なぜなら，セキュリティの問題がこんなに深刻になったのは実はつい近年のことであり，各種 OS が "分派" したのはそれよりも過去だからである. セキュリティ問題が深刻でなかった時代には OS/Software のアップデートやパッチ当てという作業の頻度は今よりも格段に低かったため，場当たり的な方法でもそう問題ではなかった.
*2 というのも，uname はコンパイルされないと更新されないし，しかも，その出力内容は更新時に管理者によって自由に設定できてしまうのだ.
*3 一般にメジャーが大きければそちらが，同じならマイナーの大きな方がより新しい
*4 よって，例えば同じ "8.1-current" と言っても入手した時により内容が違うので，内容の詳細に基づかないと人と話が通じない.
*5 面倒なんだこれが
*6 ただし，実際に "make world" としていたのは昔の話. 今は実際には "make buildworld; make buildkernel; make installkernel; make installworld" とする方法が推奨されている.
*7 最近のバージョンは stable 版にも適用可能ということになってはいるが必ずうまく行くわけではないようだ
*8 具体的には，mergemaster コマンドが「どうしますか」と全て聞いてくる
*9 他にも，セキュリティ対策の一環としてか，IDS という使い方もある
*10 もちろん，root 宛のメールを受け取った人だけだが
*11 結構沢山ある. /usr/ports/ports-mgmt/ 以下は基本的にこうしたツール類である
*12 そうそう，そういう作業の前には，念の為に portsnap を使って ports 情報を更新しておこう
*13 もちろんここから頑張って，脆弱性報告数ゼロを目指すのだ
*14 また，portsnap 「以外」のツールでの ports更新を行った際には Index更新のために portsdb -uU としておくことが(念の為にも)必要だが，これは 20分程度かかりかねない処理であり，苦痛である.しかし，portsdb で更新している限りにおいては Index も一緒に更新されるので(というか持ってくる)，portsdb -uU とする必要がないのも利点である.
*15 書き方はこれまで同様
*16 理由はマニュアルを読め
*17 "done"となっているが，実際には作業されていない

添付ファイル:

freebsd-update-figure.png 102件 [詳細]

授業資料/06

OS 全体のアップデート †

FreeBSD のバージョンを確認する †

実習 †

FreeBSD のシステムアップデートの方法 †

cvsup コマンド †

make world 系について †

freebsd-update について(実習込み) †

FreeBSD システムアップデートの方法の主な構図 †

ports/packages のアップデートとセキュリティについて †

portaudit †

portsnap †

実習 †

portupgrade †

実習 †

おまけ †

ちなみに，システムも ports も全てをきちんと update することを考えると… †

レポート †

about Icons, ClipArts †

Menu