Microsoft、主要オープンソースプロジェクトの開発者アカウントを停止

 (bleepingcomputer.com)
2 ポイント 投稿者 GN⁺ 18 일 전 | 1件のコメント | WhatsAppで共有
  • MicrosoftがWireGuard、VeraCrypt、MemTest86、Windscribe VPNなど主要なオープンソースプロジェクトの開発者アカウントを事前通知なしに停止し、Windows向けビルドとセキュリティパッチの配布が中断
  • 停止されたアカウントはWindows Hardware Programのパートナーアカウントで、復旧手順や迅速な再有効化手段は提供されていない
  • VeraCryptとWireGuardの開発者は、警告やメールなしでアカウントがブロックされたとし、サポートチームへの連絡も自動応答にとどまったと説明
  • Microsoftは、必須のアカウント検証手続きが未実施だったため自動停止されたと説明し、その後一部アカウントの復旧支援とコミュニケーション改善を約束
  • コミュニティでは、異議申し立て手続きの非効率さと開発者支援の不足を批判し、重要なオープンソースプロジェクトが影響を受けた点を懸念

Microsoftのオープンソース開発者アカウント停止騒動

  • Microsoftが主要オープンソースプロジェクトの開発者アカウントを事前通知なしに停止し、その結果Windows向けの新しいビルドとセキュリティパッチの配布が中断している状況
    • 停止されたアカウントはWindows Hardware Programのパートナーアカウントで、復旧手順や迅速な再有効化手段は提供されていない
  • 影響を受けたプロジェクトにはWireGuard、VeraCrypt、MemTest86、Windscribe VPNなどが含まれる
    • これらのプロジェクトは、Windowsドライバー署名およびブートローダー署名にMicrosoftアカウントを利用してきた
  • VeraCrypt開発者のMounir Idrassiは、長年使用してきたアカウントが予告なく終了され、メールや警告なしに通知だけを受け、異議申し立ても不可能だったと述べた
    • Microsoftサポートチームに複数の経路で連絡したが、自動応答とボットしか返答せず、実際の担当者にはつながらなかったと説明
    • LinuxとmacOS向けの更新は可能だが、大多数のユーザーがWindowsを使っているため大きな打撃だと言及
  • WireGuardメンテナーのJason A. Donenfeldも、「警告や通知なしに、ログインした途端アカウントが停止された」とし、60日の異議申し立て手続きを進めていると明かした
    • 彼は「もしWireGuardに深刻なリモートコード実行(RCE)脆弱性が発生していたら、即座にパッチ配布は不可能だっただろう」として危険性を指摘
    • WindscribeとMemTest86の開発チームも、数週間にわたりMicrosoftサポートチームと連絡が取れなかったと報告

Microsoftの説明と後続対応

  • TechCrunchの報道後、Microsoft副社長のScott Hanselmanは、該当アカウントがWindows Hardware Programの必須アカウント検証手続きを完了していなかったため自動停止されたと説明
    • この検証手続きは、2024年4月以降に完了していないパートナーを対象としており、2025年10月からメールで告知されていたという
    • 2024年10月1日に掲載されたHardware Dev Centerのお知らせによれば、30日以内に検証を完了しない場合、自動停止が行われる
  • Microsoftは2026年3月30日の更新で、「検証を完了できなかったアカウントはWindows Hardware Programから停止され、提出は今後許可されない」と明記
    • BleepingComputerはMicrosoft報道担当者に追加の問い合わせを送ったが、まだ回答を得ていない
  • その後、HanselmanがVeraCrypt開発者Idrassiに直接連絡し、アカウント復旧を支援。Idrassiは、報道とソーシャルメディアでの拡散がMicrosoftの対応を促したと述べた
    • Microsoft Windows and Devices部門のEVPであるPavan Davuluriは、「パートナーがこの手続きを認識できるよう、メール、バナー、リマインダーで努力してきたが、一部は見落としていた」とし、コミュニケーション方法を改善すると述べた

コミュニティの反応

  • 一部ユーザーは、「Microsoft製品に組み込まれるソフトウェアを開発していても、問題が起きたときに人間と直接話せない現実が怖い」と指摘
  • 別の意見では、「異議申し立て手続きが過度に複雑で非効率であり、WireGuardのような重要プロジェクトが影響を受けるのは問題だ」と批判
  • 一部では、「Scott Hanselmanはそれでも信頼できる人物だ」として肯定的な反応もあった

関連記事

1件のコメント

 
GN⁺ 18 일 전
Hacker Newsの意見

  • 昨日議論された、MicrosoftがVeraCryptのアカウントを終了し、Windows Updateが停止した件についての話
    あわせて、開発者たちの意見とMicrosoftのその後の更新を含む以前のスレッドも参考になる

  • Microsoftは件名に「Action required」と付いたメールをあまりにも頻繁に送ってくる
    実際には何の対応も不要だったり、自分とは無関係だったりすることがほとんど
    こうしたメールを検索してみると、結局何もしなくてよかったものが大量に出てくる

    • こうして**『オオカミ少年』**のように警告を乱発するせいで、本当に重要なメッセージまで無視されるようになる
    • 以前Microsoftのスタートアッププログラムに参加していたが、Azureの料金は高すぎるうえ、インターフェースもひどかった
      サービスが自動で有効になり、後から請求書が来るまで見つけることすらできなかった
      プログラムをやめて2年経つのに、いまだに「Action required」メールが来る
      GitHub Desktopも似たようなもので、macOSで自動更新をオフにできず、毎日管理者権限を要求してくる
      こうしたユーザーへの嫌がらせは法律で止めるべきだと思う
    • 自分のスパムフォルダは「Action Required」メールで埋め尽くされている
      ほとんどがフィッシングメールなので、本物のMicrosoftメールだとしても開かない
    • 一度、そのメールがあまりに意味不明だったのでサポートチケットを切ったが、Microsoftの担当者ですらどのリソースに関するものか分かっていなかった
    • セキュリティ意識向上トレーニングでは、「Action required」という件名のメールはフィッシングだと教わった

  • Microsoftは「今回の件をきっかけにコミュニケーション改善を検討する」と言ったが、
    まるでVogonが地球を爆破したあとで「次はもっと上手くやろう」と言っているようなものだ

  • 技術業界では、**セキュリティはしばしば単なる『見せ物』**にすぎない
    実際の目的は、アクセス統制やプライバシー侵害のような不快な方針を押し通すための手段であることが多い
    署名手続きも結局は一方がすべての権限を握る形になり、その権限は必ず乱用される

    • 失敗を防ぐより、保険によって責任を転嫁するほうがよいと考える人もいる
    • 大半のセキュリティはひどい出来だが、だからといってセキュリティそのものが不要というわけではない
      ただし、Big Techへの権力集中は深刻な問題だ
    • 現実的な妥協のために原則を犠牲にすると、結局は両方を失うことになる

  • 今回のMicrosoftの判断はあまりにもばかげている
    Windowsの支持層が縮小している時期に、こうした行動は自分で自分を傷つけるようなものだ
    しかし、この件が中央集権化の危険性に気づくきっかけになるかもしれない

    • 今日Teamsへのログインだけで20分試したが、無限認証ループにはまって失敗した
      AI自動化の時代だというのに、ログインひとつまともにできない
    • Satya Nadellaが2014〜2022年のあいだに築いた好感度は完全に消え去った
      今ではAzureとAIしか見ていない企業になってしまった

  • 関連記事: TechCrunchのWireGuard VPN開発者アカウント停止事件
    HNスレッドでも議論されている

    • よりよい情報源によれば、単なるメール認証ではなく、政府発行の身分証明書のアップロードが必要だった
      しかも一部の開発者には、この手続きについて何の通知も届いていなかった

  • The Registerの記事でMicrosoftの公式見解が出た

    • 以前Microsoft Partnerとして働いていたが、パートナー資格を維持するには認定開発者資格が必要だった
      その資格が廃止されたことで、認定開発者のいないパートナーがまとめて整理されたようだ

  • 「Microslop」がまたしても自社ブランドを傷つけている
    これで人々がmacOSやLinuxへ移るかもしれない

    • 自分は1年以上Forgejoを運用しているが、動作は速く、主要機能は無料だ
      Raspberry Pi 4（1GB RAM）でも問題なく動く
      Docker ComposeとCaddyでHTTPSを設定し、cron + git pullでバックアップすれば十分だ
      RustやPythonのテストも無理なく回せる
    • ただ、AppleもApp Storeで似たようなことをしている
      独占的なアプリストア構造こそが問題の根本だ
    • ほとんどの人はただ会社から支給されたコンピューターを使うだけだ
      実際にOSを変えようとする人は多くない
    • Apple製デバイスは高価で、LinuxノートPCはいまだに店頭で見かけにくい
      そのため大衆的な移行は難しい
    • 会社支給のWindows 11 PCを使っているが、あまりに遅くて衝撃的だ
      2007年製のQ6600 + Windows XPよりも遅い

  • 自分のLinuxとMacではWireGuardは問題なく動いている
    Microsoftは、こうした中核ソフトウェアの遮断が自社により大きな損害を与えることを分かっていないようだ

    • 最近の大企業では、誰もまともに確認していない
      自動化ボットがアカウントを止め、解除しようとしても壁にぶつかるだけだ

  • Microsoft副社長Scott Hanselmanによれば、
    今回の停止は「2024年4月以降にアカウント認証を完了していないパートナー」を自動でブロックしたものだという
    だが実際には、**停止（suspension）というよりアカウント終了（termination）**に近い