セキュリティーの強化
先日 Ubuntu 25.10 がリリースされました。Ubuntu 25.10 で導入されたセキュリティーの強化を紹介します。
Ubuntu のリリース情報
Ubuntu 25.10 のリリース情報は、以下を参照してください。Ubuntu 25.10 のリリースノートは、以下を参照してください。
- リリースノート：ReleaseNotes
- リリースノート（日本語）：リリースノート
その他 Ubuntu 25.10 の新機能と変更点は、以下を参照してください。
LTS リリース前の最後の通常リリース
2026年4月に次期メジャーバージョンの Ubuntu 26.04 LTS がリリースされます。Ubuntu 26.04 LTS は名称の通り長期サポート版の LTS リリースです。
Ubuntu 25.10 はその Ubuntu 26.04 LTS の一つ前の通常リリースになります。
通常リリースの Ubuntu では次期 LTS リリースの Ubuntu に向け、様々な新機能が搭載されます。
Ubuntu 25.10 にも Ubuntu 26.04 LTS に向けた大きな変更が盛り込まれています。
この変更の中にはセキュリティーの改善や強化が含まれています。
というわけで Ubuntu 25.10 で導入されたセキュリティーの強化を見ていきましょう。
メモリーの安全性
昔からソフトウェアではメモリー周りに由来する脆弱性が数多く報告されてきました。メモリー周りに由来する脆弱性
メモリー周りに由来する脆弱性は、機密情報の漏洩や権限の昇格、任意コードの実行など、致命的な問題に繋がりかねない脆弱性です。ソフトウェアの脆弱性と修正の歴史は、このメモリー周りに由来する脆弱性との戦いであると表現しても過言ではないでしょう。
CVE-2021-3156 と sudo の脆弱性
2021年、sudo に権限昇格につながる重大な脆弱性が見つかりました。すでにこの脆弱性は対応済みです。
しかし問題はこの脆弱性が2011年から存在しており、しかもその脆弱性に誰も気づいていなかったという点です。
もしかしたら誰にも気づかれないまま、攻撃者がこの脆弱性を利用していたかもしれません。
言語やコンパイラーに任せよう
こういったメモリー周りに由来する脆弱性は、メモリーセーフティーな言語を採用することで、そのリスクを大きく軽減することができます。Rust はまさにそのメモリーセーフティーな言語であり、ソフトウェアを Rust で実装することでこのようなリスクに対抗しやすくなります。
残念ながらセキュリティーに絶対や100%などというものは存在しませんが、そこに向けた取り組みは必要です。
Rust で再実装
さて Ubuntu 25.10 では、Rust で再実装された sudo と coreutils が導入されました。これらのソフトウェアはシステムの土台の一部として幅広く活用されているソフトウェアであり、既存の実装を置き換える存在です。
Rust で再実装された sudo と coreutils を導入することで、メモリー周りに由来する脆弱性を大幅に抑えることができます。
Rust 版に完全な互換性はない
Rust で再実装するといっても、従来のソフトウェアと完全な互換性は確保されていません。多くのユースケースで問題になることは珍しいかと思いますが、もし問題があるなら以前の sudo と coreutils に戻すことも可能です。
もし以前から利用している自作のシェルスクリプトを実行するなら、事前に動作を確認しておきましょう。
TPM を活用したディスクの暗号化
TPM を活用したディスクの暗号化（TPM/FDE）は以前から登場しており、まだ実験段階の機能ですが、Ubuntu 25.10 でこの機能が大幅に改良されました。パスフレーズのサポート
TPM により暗号化されたディスクは、TPM により暗号化を解除できます。これにより PC 起動時にパスフレーズを入力しなくても、システムを起動することができます。
しかしよりセキュリティー強度を高めたいユーザーのために、TPM に加えパスフレーズによる暗号化解除機能が追加されました。
これにより TPM + パスフレーズの二段階の手順を踏むことになります。
回復キーの再生成機能
回復キー（リカバリーキー）は、TPM による暗号化の解除を行えなくなった時に使用するキーです。回復キーは最後の砦みたいな存在であり、ユーザーにとって回復キーは紛失及び漏洩してはならない非常に重要なキーです。
この回復キーを再生成する機能が追加されました。
ファームウェアアップデートとの連携機能改善
ファームウェアのアップデート時に、回復キーが求められるケースがあります。これはシステムの構成が変更された時に、不用意に暗号化を解除できないようにするためです。
システムが正規のシステムだったとしても、それを把握できないケースもあります。
その時に回復キーが求められますが、ユーザーが事前に回復キーを把握できるよう、ファームウェアのアップデート時に回復キーを確認する機能が組み込まれました。
互換性に関する問題
さて TPM を活用したディスクの暗号化（TPM/FDE）には、以下の互換性の問題があります。まず TPM/FDE は、Absolute（Computrace）のセキュリティーソフトウェアと互換性がありません。
Absolute を利用するなら TPM を活用したディスクの暗号化機能を利用できないため、どちらかの仕組みを選択する必要があります。
次に TPM/FDE を導入すると、この機能に対応した専用の Linux kernel がインストールされます。
この Linux kernel では利用できないカーネルモジュールがあり、GPU など特定のハードウェアに対応したドライバーを導入できないケースがあります。
そのため TPM/FDE を導入する前に、利用したいハードウェア構成で問題が発生しないか事前に十分に確認しておく必要があります。
Ubuntu 26.04 LTS で更なる改善
TPM を活用したディスクの暗号化機能は、Ubuntu 26.04 LTS で更なる改善が予定されています。具体的な内容は今後明らかになっていくでしょう。
Network Time Security の導入
Ubuntu には NTP サーバーと連携し、システムの現在時刻を調整する機能があります。Chrony の導入
今までこの時刻の同期に systemd-timesyncd が利用されてきました。Ubuntu 25.10 では時刻同期のセキュリティー強度を高めるため Chrony を導入し、NTS（Network Time Security）を活用するようになりました。
これにより時刻の改ざんに対して安全性を高められるようになり、証明書の検証や監査ログ、分散システムの安全性が向上します。
NTS
NTS では TLS ベースの認証を行います。NTS では NTP で UDP:123 を通じで時刻を取得する前に、TCP:4460 を使用して鍵を交換し認証を行います。
OpenSSH と OpenSSL
Ubuntu 25.10 では最新の OpenSSH と OpenSSL が導入されています。量子コンピューターの登場に備えた耐性が導入されました。
ハイブリッド・ポスト量子アルゴリズム
OpenSSH 10.0 では鍵交換時にデフォルトでハイブリッド・ポスト量子アルゴリズムを使用するようになりました。ユーザーは特別な設定を行うことなくこの機能を利用でき、SSH 接続時に自動的に量子コンピューターの脅威に耐性を得つつも、この機能を利用できないシステムとの後方互換性も確保されます。
アルゴリズムの追加サポート
OpenSSL 3.5.3 では、以下のアルゴリズムが新たにサポートされました。- ML-KEM
- ML-DSA
- SLH-DSA
デフォルトの TLS 設定では、ハイブリッド・ポスト量子 KEM グループを優先する設定になっています。
DSA のサポート廃止
OpenSSH 10.0 では DSA のサポートが廃止されています。DSA ベースの鍵を使用しているシステムで Ubuntu 25.10 を利用する場合は、別のセキュアなアルゴリズムに移行する必要があります。
Intel TDX と機密コンピューティング
Intel TDX と機密コンピューティングの安全性も向上しています。Ubuntu 25.10 では Intel TDX（Trust Domain Extensions）のホスト機能がサポートされました。
Intel TDX
Intel TDX はハードウェアレベルで隔離された安全な環境を提供し、その環境で仮想マシンの構築を可能にします。これによりクラウドで機密性の高いワークロードの安全性を向上させ、機密情報の漏洩に備えます。
Ubuntu 25.10 ではこのホスト機能がネイティブにサポートされてます。
