不適切なデフォルト設定が教えること
本記事は、FreeBSDの初期設定に内在するセキュリティ上の問題を指摘しています。
特にOpenSSHのバンドル設定において、互換性維持やパフォーマンスを優先した結果、時代遅れのパッチ（HPN-SSHなど）や安全でない暗号スイートが無効化されずに残されている点が問題視されています。
これにより、他のOSでは影響を受けない脆弱性が生じています。
筆者は、セキュリティを重視するならば、ベースシステムではなくports版OpenSSHを使用し、すべての非標準オプションを無効にすることを推奨しています。
また、標準で同梱されているSendmailのセキュリティリスクについても言及しています。
サーバーOSの自由度が高いFreeBSD（フリーBSD）は、そのカスタマイズ性の高さから技術者に愛用されています。しかし、その開発体制やデフォルト設定には、セキュリティ上の「残念な選択」が散見されるという指摘がなされました。本記事では、その具体的な問題点と、OSの設計思想がもたらす影響について解説します。
OpenSSHにおけるセキュリティ上の課題
FreeBSDは、標準で同梱されるOpenSSHのバージョンに関して、互換性維持や体感的なパフォーマンス向上を優先し、アップストリーム（開発元）の推奨とは異なる独自の変更を加えてきた経緯があります。特に、HPN-SSHパッチセットを長期間デフォルトで維持していた点が指摘されています。このパッチセットは、高性能なネットワーク接続を可能にするものですが、現代の利用環境では過剰な複雑性となり、アップデートの遅れを招く原因ともなっていたとのことです。
互換性優先によるセキュリティ機能の低下
さらに、FreeBSDは、OpenSSHのアップストリームで廃止された機能や、セキュリティ上の脆弱性がある設定を意図的に復活させている事例が確認されています。具体的には、tcp_wrappersのサポート復活や、古いクライアントとの互換性確保のための弱いDSAホストキーの再有効化などです。これは、ユーザーのセキュリティよりもレガシーな互換性を優先した結果であり、OSの安全性を損なっていると見られています。これらの変更は、他プラットフォームでは問題ない状況下で、FreeBSDのユーザーだけを脆弱にしている状況を生み出しているとのことです。
OS設計とリスクの増大
このような「デフォルト設定の弱さ」は、単なる設定ミスではなく、OSの設計思想や開発プロセスの問題として捉えられています。セキュリティの重要性を謳っているにもかかわらず、互換性や既存のコード資産の維持を優先する姿勢が、結果的にシステム全体のセキュリティリスクを高めていると指摘されています。開発コミュニティ全体で、安全でない選択肢を段階的に廃止していくような、より強い変革の圧力が求められている状況です。
まとめ
FreeBSDは高いカスタマイズ性を持つ一方で、デフォルト設定におけるセキュリティ上のリスクを内包していることが明らかになりました。ユーザー自身が設定を細かく調整し、安全な構成を選択することが、このOSを安全に利用するための重要な課題だと言えそうです。
原文の冒頭を表示（英語・3段落のみ）
FreeBSD - a lesson in poor defaults
by @blakkheim
Last updated 04/05/2026. Send any feedback/corrections here.
※ 著作権に配慮し、引用は冒頭3段落までです。続きは元記事をご覧ください。