「Google Chrome」が「OpenSSL」の使用を中止--「BoringSSL」に切り替え

　「Google Chrome」の（開発者向け）最新バージョンで、セキュリティプロトコルを実装するソフトウェア「OpenSSL」の使用が中止され、OpenSSLからフォークした独自の「BoringSSL」へと切り替えられた。切り替えに関する詳細な情報は、Chromium Code Reviewsで確認できる。

　OpenSSLについては、いわゆる「Heartbleed」脆弱性が4月に発覚し、大きな話題を呼んだ。この脆弱性を突かれると、HTTPSを介して行われたクレジットカード決済の情報などのセキュアなメッセージの中身だけでなく、プライマリおよびセカンダリSSLキー自体も盗み見されてしまう可能性があった。またその後、中間者（MitM）攻撃を可能にしてしまう別の脆弱性も見つかり、パッチが提供されていた。

　こうした状況の中、Googleは6月にOpenSSLのコードベースをフォークし、「BoringSSL」という名称のプロジェクトを新たに立ち上げたと発表。このとき、GoogleのシニアソフトウェアエンジニアAdam Langley氏はブログへの投稿で「われわれは何年にもわたってOpenSSLに対してパッチを適用してきた。それらの中にはOpenSSLのリポジトリに取り込まれたものもあるが、多くはOpenSSLが保証するAPIやABIの安定性に沿っておらず、また少し実験的過ぎるものも数多くあった」と述べ、複数のプラットフォームをまたがって70以上のパッチを維持していくという状況は、「Chrome」と「Android」のための作業としては手間がかかりすぎるものになったとしていた。

　Chromium Code Reviewsには今回の切り替えについて「今回の変更は、diffファイルの内容から判断できる以上に規模の大きなものだ。何か問題が出てきた場合、まずは以前の状態に戻し、その後で質問するようにしてほしい」と書かれている。