NoWayOSジャーナル

Reactで書き、Rustで届ける

2026-11-13T00:00:00Z

現代のインターフェースはReactで設計されます。そのため、制御盤から券売機まで、非常に多くの専用デバイスが、ブラウザエンジンを丸ごと載せています。世の中で最も大きく、最も攻撃されているプログラムのひとつを、いくつかのボタンと「Touch Start to begin」という言葉を描くために。

私たちは、ブラウザなしで現代的なデザインの進め方を使いたいと考えました。そこで作ったのがScreen Compilerです。

画面はReactで書く

デザイナーとフロントエンド開発者は、いつもの道具をそのまま使えます。コンポーネント、props、デザイントークン、使い慣れたエディタ。画面はTSXで書きます（これはScreen Compilerのテスト用画面のひとつを短くしたものです）。

<Column gap={SPACE_SM} padding={SPACE_LG}>
  <Text id="title">Welcome</Text>
  <Text>Touch Start to begin.</Text>
  <Spacer />
  <Button id="start" onPress={onStart}>Start</Button>
</Column>

届けるのは、ただのRust

ビルド時に、お手元のマシンまたはCIで、Screen CompilerはこれをNoWayOSのユーザーインターフェースランタイム向けのRustに変換します。

let n1 = b.text("Welcome")?; // welcome.tsx:17:9 <Text>
let n2 = b.text("Touch Start to begin.")?; // welcome.tsx:18:9 <Text>
let n4 = b.spacer(None)?; // welcome.tsx:20:9 <Spacer>
let n5 = b.button("Start", actions::START)?; // welcome.tsx:21:9 <Button>

どの行も、元になったTSXの位置を指しています。デバイスに届くのはこのコードだけです。JavaScriptエンジンも、ブラウザも、攻撃されるウェブページもありません。Screen Compiler自体がデバイスに載ることはありません。

正確に変換するか、何もしないか

推測で変換するコンバータは、信頼できません。Screen Compilerは、宣言されたTSXのサブセットを正確に変換し、それ以外はすべて、ファイル、行、列を示して拒否します。近似は決してしません。出力するRustには、unsafeもunwrapもpanicもありません。

そのうえで、変換された画面はすべてNoWayOSのレンダラーで描画され、承認済みの画像とピクセル単位で比較されます。1ピクセルでも動けば、ビルドがそう知らせます。

現在の状況

Screen Compilerは開発中です。最初のサブセットは完成しており、次のサブセットに取り組んでいます。MITライセンスのオープンソースで、GitHubでNoWayOSと並んで公開しています。Reactで設計し、重要なデバイスを作っているチームの方は、ぜひご連絡ください。

コピーではなかったバックアップ

2026-11-13T00:00:00Z

バックアップを持つべきだということは、誰でも知っています。けれども、その次の気まずい質問をする人は多くありません。それは、正確には何のバックアップなのか、という質問です。

五回のアラーム

1969年7月20日、アポロ11号の月着陸船が月面まであと数分というとき、誘導コンピュータがアラームを出しました。乗組員が管制センターに問い合わせなければならないものでした。続いて、もう一回。降下の最後の区間で、合わせて五回です。

コンピュータは過負荷に陥っていました。そこでコンピュータがしたことは、この物語の中でも屈指の工学的成果です。毎回、再起動し、後回しにできる仕事を捨て、後回しにできない仕事をすぐに引き継ぎました。着陸は続けられました。

ここまでは、誰もが語る部分です。次に語る価値のある出来事は、その翌日に起きました。

二つ目のシステム

月着陸船は二つ目の誘導システムを載せていました。そしてそれは、一つ目の予備のコピーではありませんでした。別の会社が、別の原理で作ったものです。主系は、ジンバルの上で自由に回るプラットフォームによって姿勢の基準を保っていました。二つ目にはジンバルがまったくありませんでした。センサーは機体に直接固定されていて、どちらが上かを計算で求めていました。

その役目は、主系が止まった場合に乗組員を軌道へ連れ戻すことでした。着陸のあいだ、出番はありませんでした。

そして、司令船とドッキングするために上昇して戻る途中、一連の操作によって、主系のプラットフォームは、ジンバル式のプラットフォームが対処できない唯一の姿勢に入り、姿勢の基準を失いました。乗組員は機体を安定させるために二つ目のシステムに切り替え、ドッキングしました。

二つ目のシステムが同じように故障することは、あり得ませんでした。その部品を持っていなかったからです。

同じものが二つ

次は、もう一つの物語です。1996年、アリアン5の初号機は、自分の向きを知るための慣性基準装置を二台載せて離昇しました。一台は稼働中、一台は待機中です。二台は、ソフトウェアに至るまで同一でした。

三十七秒後、そのソフトウェアの中のある数値が、割り当てられた領域に収まらないほど大きくなりました。待機中の装置が止まりました。同じ飛行で同じコードを動かしていた稼働中の装置も、同じように止まりました。調査委員会の報告書は公開されており、率直に述べています。切り替える先はありませんでした。バックアップがすでに同じ道をたどっていたからです。

二つのコピー。ひとつの障害。何も残りませんでした。

技術者はこれを何と呼ぶか

システムとその予備を一緒に止めてしまう障害を、共通原因故障と呼びます。それに対する備えが多様性冗長です。一つ目を止めるものが二つ目には入っていないほどに、違う作りにした二つ目のシステムのことです。

スペースシャトルは、この方法で飛んでいました。フライトコンピュータのうち4台は、ある会社のソフトウェアを動かしていました。5台目は、別の会社が別個に書いたソフトウェアを動かしていました。4つのコピーは、壊れるコンピュータには備えになります。間違っているプログラムには備えになりません。4台すべてが、それを動かしているからです。

ただでは手に入りません。シャトルの最初の打ち上げは、5台目のコンピュータとほかの4台が時刻について一致できず、中止されました。二つの設計は一つよりも手間がかかり、しかも両者をかみ合わせなければなりません。

NoWayOSの出番

現在、専用デバイスの大半は、ごく少数の汎用オペレーティングシステムのどれかで動いています。そのバックアップも同じです。ブラウザエンジンやデスクトップ、数千万行のカーネルに欠陥が見つかったとき、あるいは不具合のあるアップデートが配信されたとき、その影響は、そのソフトウェアが動いているあらゆる場所に、同じ日に現れます。

NoWayOSのデバイスは、中身が違います。カーネルはseL4で、約10,000行です。その上にある私たちのコードは、すべてRustで書かれています。ブラウザエンジンも、デスクトップも、シェルもないので、それらのどれかにある欠陥は、このデバイスにはありません。

つまりNoWayOSは、いまお使いのものを置き換えなくても役に立てます。その隣に立つことができます。欠かせないひとつの仕事をこなす、別の原理で作られた二つ目の方法としてです。

できないこと

多様性には限界があります。それは、私たちの口からお伝えしておきたいことです。

多様性がNoWayOSのデバイスに与えるのは、別の障害であって、障害がないことではありません。二つのシステムが共有するものには、何の効果もありません。電源、ネットワーク、その先のサービス、あるいは、その仕事が本来何であるべきだったかについての誤りです。そして、NoWayOSのオープンソースの部品の一部は、ほかのソフトウェアでも使われています。だからこそ、すべてのイメージは含まれるコンポーネントをすべて記載し、隣のシステムと何を共有しているかを読んで確かめられるようにしています。

NoWayOSは開発中です。ですからこれは、NoWayOSがそのために設計されている役割であって、すでに果たした役割ではありません。その土台は、セキュリティのページに書いてあります。

アポロの技術者たちが二つ目のシステムを載せたのは、一つ目が故障すると予想したからではありません。故障しないと証明できなかったからです。そして、一つ目を止めるものが、二つ目の中に見覚えのあるものを何ひとつ見つけられないようにしました。

変更のたびに、自分たちのビルドを攻撃しています

2026-11-13T00:00:00Z

どのセキュリティテストにも、居心地の悪い質問があります。そのテストは、失敗したことがありますか。一度も失敗したことのないテストが通っているのは、システムが健全だからかもしれませんし、テストに何も見えていないからかもしれません。外から見ると、この二つはまったく同じに見えます。

そこでNoWayOSは、セキュリティをテストするだけにとどめません。変更のたびに攻撃し、その攻撃が止められることを確かめます。

自分のものではないものに手を伸ばす

NoWayOSシステムの各部分は、seL4上の専用の区画で動き、付与されたものだけを持っています。隔離テストは、その境界を越えるプローブをわざと送り込みます。あるプローブは、与えられていないアドレスを読みます。あるプローブは、読み取りしか許されていないページに書き込みます。ユーザーインターフェースとまったく同じものを持つプローブは、インターフェースが読み取りしかできない、ディスプレイの制御ページに書き込もうとします。ネットワーククライアントとまったく同じものを持つ別のプローブは、ネットワークドライバのメモリに書き込もうとします。

seL4はそのすべてを止めなければならず、無関係な部分は影響を受けずに動き続けなければなりません。

失敗するように作ったテスト

ここからがひとひねりです。ユーザーインターフェースの隔離テストの横に、付与をひとつ、わざと広げた版を置いています。インターフェースの代役に、ディスプレイの非公開ページを与えるのです。この版のテストは失敗しなければなりません。もし通ってしまうなら、隔離テストには何も見えていないことになり、ビルドがそう知らせます。

同じ考え方が、ほかの検査にも通っています。部分どうしのメッセージのデコーダにはすべて、決してパニックせず、オーバーフローせず、境界外を読まないことを示す、モデル検査器Kaniによる有界証明があります。さらにミューテーション検査がデコーダをわざと壊し、証明がそれに気づくことを示します。外部からの入力のパーサーはすべて、敵対的なデータでファジングされます。

これらはすべて、あらゆる変更が通らなければならないゲート、make ciの一部です。隔離テストは毎回実行されます。証明やファジングは、対象のコードが変わるたびにやり直されます。

手の届かないゲート

ゲートの強さは、それを変更できる手の強さで決まります。そこで、NoWayOSへのすべてのコントリビューションが通らなければならない検査は、Defence Agentという独立した公開リポジトリで定義しています。ゲートに触れるプルリクエストは、メンテナーに向けて印が付けられます。

Defence Agentは、自分自身も同じ方法でテストします。仕込みのあるプルリクエストが二十件あり、それぞれにレビュアーが見落としかねないものが隠されています。コメントの中の、右から左へ書かれた隠しテキスト。そっくりなキリル文字に差し替えられた一文字。gitリポジトリから直接取得される依存関係。信頼できないコードを実行してしまうワークフロー。そのすべてが検出されなければならず、一方で、過去の実際の変更三件は通らなければなりません。

形容詞ではなく、根拠を

これらのどれも、デバイスを“ハッキング不可能”にするものではありません。そうするものは存在しませんし、私たちがそう言うこともありません。得られるのは根拠です。何が試され、何が止められたかの記録と、それを示すコマンドです。実際のイメージひとつ分の根拠、またはゲートそのものをご覧ください。

証明が約束できること

2026-11-13T00:00:00Z

ソフトウェアが信頼されるのは、たいていテストされたからです。誰かがうまくいかなくなりそうな場面を考え、試し、切り抜けるのを確かめました。この方法はよく機能します。誰も思いつかなかった場合に行き当たるまでは。

証明は反対側から始めます。場合を試すのではありません。ある命題がすべての場合に成り立つことを、数学によって示します。

試した場合ではなく、すべての場合

小さな約束を例にとりましょう。「このコードは、バッファの終わりを越えて読むことがない」。テストは千個の入力、あるいは十億個の入力を与えて、どれもコードを壊さなかったと報告できます。証明が述べるのは、種類の違うことです。コードを壊す入力は存在しない。見つからなかったのではなく、ないのです。

その代償は厳密さです。証明には、コードが何をすべきかを正確に述べたもの、つまり仕様と、コードの一行一行を仕様に結びつける論証が必要です。現実のソフトウェアでは、その論証は人が目で確かめるには長すぎます。そこで、コンピュータが検査します。

機械による検査

「機械検査された」とは、そういう意味です。証明は、証明支援系と呼ばれるプログラムが読める言語で、省略なしに書き下されます。そしてそのプログラムが、一つひとつのステップを論理の規則に照らして検査します。九百ページ目で疲れることはなく、誰の言葉も鵜呑みにしません。

seL4の証明は、Isabelle/HOLという証明支援系で、このように検査されています。証明は公開されており、誰でももう一度実行できます。

seL4の証明が述べていること

seL4は、すべてのNoWayOSシステムがその上で動くカーネルです。約10,000行のコードであり、デバイスを完全に制御できる唯一のコードです。要点はその小ささにあります。一万行についての論証は、最後までやり遂げられます。数千万行についての論証は、まだできません。

seL4 Foundationは、これらの証明を層に分けて説明しています。

コードは仕様のとおりに動作し、それ以上のことはしません。 そこから、カーネルにはできないことの一覧が導かれます。バッファをあふれさせること、ヌルポインタをたどること、メモリをリークすること、ゼロで割ること。
実際に動くプログラムは、証明されたコードと一致します。 両者の間にはコンパイラがあるので、その出力を別の証明が検査します。
カーネルは、システムの各部分を分離しておけます。 ある部分は、権利を付与されていないかぎり、別の部分のデータを変更することも、読むことも、必要とする資源を奪うこともできません。
システムは、設計されたとおりの状態で起動できます。 その記述に挙げられた付与と、ちょうど同じ付与を持って。

すべての層が、すべてのプロセッサ、すべての構成について完了しているわけではありません。これは重要な点で、後でもう一度触れます。

証明が前提とするもの

証明の広さは、その命題の広さとちょうど同じで、証明は前提の上に立っています。seL4は自らの前提を書き出しています。ハードウェアがそのモデルのとおりに振る舞うこと、最も低いレベルの数百行のコードが正しいこと、カーネルの起動前に動くコードが役目を果たしていること。機密性の証明は、タイミングを対象としていません。

証明は、仕様が正しいことを求めているかどうかについては何も述べず、カーネルより上のソフトウェアについても何も述べません。証明されたカーネルは、バグのあるプログラムも忠実に隔離します。バグはそこに残っています。ただ、ほかの何にも届かないだけです。

これは証明の弱点ではありません。証明に価値がある理由です。何を対象とするかを正確に述べるので、何が残っているかを正確に知ることができます。

NoWayOSの立ち位置

率直に申し上げます。NoWayOSはseL4の上で動きますが、現時点で、seL4の完了済みの証明の範囲に入るNoWayOSイメージはありません。NoWayOSが使うのはseL4の混合クリティカリティ構成で、私たちのプロセッサ向けの証明は進行中です。そして、seL4の証明がNoWayOS自身のコードを対象としたことは、一度もありません。ですから、私たちはNoWayOSを“形式検証済み”とは呼びませんし、これからも呼びません。

どのイメージも、自分の立ち位置を示します。イメージの横に置かれるファイルが、カーネルの構成を、seL4が証明した構成と並べて、オプションごとに記載します。セキュリティのページに、実物があります。

私たち自身の、小さな証明

NoWayOSのコードは、別の方法で保証を得ています。Rust、隔離、レビュー、テスト、そしてもっと控えめな種類の証明です。

システムの部分どうしがやり取りするメッセージのデコーダには、すべて有界証明があります。Kaniというモデル検査器で作ったものです。有界証明は、定められた大きさまでのすべての入力を対象とします。ここでは、デコーダが受け付ける最長のレコードまでです。その範囲の中では、本物の証明です。どんな入力も、デコーダをパニックさせず、オーバーフローさせず、境界外を読ませません。範囲の外については何も述べません。だからこそ、範囲を、ありうる最長の入力に合わせてあります。

そのうえで、私たちはデコーダをわざと壊し、証明がそれに気づくことを確かめます。失敗できない証明は、失敗できないテストより優れているわけではありません。

等身大の姿

証明は、何かを“ハッキング不可能”にするものではありません。証明は、一つの命題を、すべての場合に、読むことのできる前提のもとで、真にします。命題と前提を知れば、自分が何を手にしているかがわかります。

だからNoWayOSは、その証明を持つカーネルの上に作られています。そして、証明がどこまで届いているかを、イメージごとにお伝えします。

NoWayOSのデバイスにシェルがない理由

2026-11-13T00:00:00Z

専用デバイスへの攻撃の多くは、そのデバイスがこなす仕事を狙いません。狙うのは、それが動いているコンピューターの残りの部分です。保守用に残されたシェル、誰も止めなかったリモートアクセスのサービス、アプリケーションの裏にあるブラウザ、クラッシュひとつで現れるデスクトップ。

この「コンピューターの残りの部分」は、どこにでもあります。浄水場から計測値を運び出すゲートウェイ、電力網の制御室にある端末、病院が頼りにしている機器、機械の側面にあるパネル、駅のコンコースにある画面。その多くは汎用のオペレーティングシステムで動いていて、上にひとつの仕事があり、下にはほかのすべてが、設定で無効にされたまま残っています。キオスクモードは、そのいちばん単純な形です。侵害とはいつも、見落とされたひとつの設定を誰かが見つけることです。

無効にするのではなく、入れない

NoWayOSは反対側から始めます。NoWayOSのイメージに入っているのは、デバイスのアプリケーション、そのアプリケーションが使うドライバ、そしてseL4マイクロカーネルです。一覧はこれで全部です。

入り込めるシェルはありません。最初から組み込まれていないからです。パスワードを推測できるリモートログインもありません。抜け出す先のデスクトップもありません。悪意あるページを待っているブラウザエンジンもありません。存在しないソフトウェアの設定を、誤ることはできません。

ここまでは、すべてオペレーティングシステムの話です。その上で動くアプリケーションは別です。仕事に必要であれば、アプリケーションは利用者にサインインを求めることも、ほかのシステムにサインインすることもできます。ないのは、誰かがログインできるオペレーティングシステムです。

私たちはこれをSingle Purpose OSと呼んでいます。ほかにすることが何もないコンピューター。

そして、あるものは封じ込められている

入れないことは、半分にすぎません。残った各部分（ネットワーク、画面、入力、アプリケーション）は、それぞれ専用の区画、seL4の用語でいう保護ドメインの中で動き、付与されたものにしか届きません。ネットワークドライバはパケットを運びます。ディスプレイドライバは描画します。アプリケーションは、それぞれと固定サイズのメッセージでやり取りします。

すべての付与は、1行にひとつの事実としてファイルに書き出され、システムとファイルが食い違えばビルドは失敗します。ある部分のフォールトがその部分にとどまるように作られています。

「でも、シェルなしでどうやって直すのですか」

エンジニアが最初に尋ねることで、もっともな質問です。NoWayOSのデバイスのオペレーティングシステムにはログインしません。アカウントがなく、ログインするユーザーが存在しないからです。新しいイメージをビルドし、古いものと入れ替えます。現時点では、ビルドしてボードに書き込むという意味です。デバイスが検査し、安全にフォールバックできる署名付きアップデートは、設計が済んでおり、実装はこれからです。

その代わりに得られるのは、ひとつの仕事へまっすぐ起動し、パッチを当てるべきものも、攻撃されうるものもはるかに少ないデバイスです。国を支えるシステムにとっては、この引き換えこそが目的です。

ご自身で確かめてください

実際のNoWayOSイメージひとつ分の根拠、つまり付与ファイル、部品表、seL4構成の記録は、セキュリティのページにあります。登録もスクリプトもありません。あるのはファイルだけです。