オンラインセキュリティは絶え間ない攻防の場です。WhatsAppのように毎日30億人以上が利用するプラットフォームでは、画像や動画といったメディアファイルを介した悪意のある攻撃からユーザーを保護することが極めて重要です。2015年に発覚した「Stagefright」脆弱性は、OSライブラリのバグによってアプリケーション自体では直接パッチを当てられないリスクを浮き彫りにしました。この経験が、WhatsAppのエンジニアリングチームにメモリ安全言語であるRustの本格導入を決断させる契機となりました。本稿では、その背景、実施プロセス、および成果について詳しく考察します。なお、本内容はMeta Engineeringブログの公式記事に基づいています。
ソリューション：並行開発と大規模ロールアウト
WhatsAppは、既存のC++版メディア一貫性ライブラリ「wamedia」のリスクの高い逐次書き換えを避け、Rust版をC++版と並行して開発するアプローチを採用しました。両実装の互換性を保証するため、差分ファジング（Differential Fuzzing） と大規模な統合テスト・単体テストを実施しています。
導入における主な課題は以下の通りでした：
- バイナリサイズの増加: Rust標準ライブラリの導入に伴う初期サイズの増大。
- ビルドシステムのサポート構築: WhatsAppがサポートする多様なプラットフォーム（Android、iOS、Web、Wearables等）向けのインフラ整備。
チームはこれらのインフラ課題に対し、長期的な投資を行いました。その結果、テストを除く16万行のC++コードが、テストを含む9万行のRustコードに置き換えられ、パフォーマンスと実行時メモリ使用量においてC++版を上回る結果を得て、全ユーザーへのフルロールアウトに成功しました。
導入成果と拡張防御システム「Kaleidoscope」
Rustライブラリの成功は、より包括的な「Kaleidoscope」防御システムの構築へと発展しました。このシステムは、単純な検証を超える多層的なチェックを実現しています。
| チェック種類 | 説明 | 防御対象の例 |
|---|---|---|
| 非準拠構造チェック | 特定ファイル形式内の不正な構造を検出。 | パーサー差異を利用したエクスプロイト。 |
| リスク指標分析 | 構造的に正常でも内部の危険要素を検出。 | PDF内の埋め込みファイルやスクリプト要素。 |
| ファイル種別偽装検出 | 拡張子やMIMEタイプを偽装したファイルを検出。 | JPEGに偽装した実行ファイル。 |
| 危険ファイル種別フラグ付け | 既知の危険なファイル種別を一律にフラグ付け。 | 実行ファイル（.exe, .apk）、アプリケーション。 |
このRust製ライブラリは現在、WhatsApp、Messenger、Instagramを利用する何十億ものデバイスに毎月配布されており、クライアントサイドにおけるRustコードの最大規模の導入事例と考えられています。
まとめ：エンジニアリングチームへの示唆
WhatsAppの事例は、セキュリティがクリティカルな大規模クライアントアプリケーションにおいて、Rustがプロダクションレディであることを強く示しています。彼らのアプローチは単なる言語の切り替えではなく、包括的なリスク管理戦略の一環として位置付けられていました。
- リスクの特定と定量化: ファジング、静的解析、サプライチェーン監査を通じて脅威の表面を把握する。
- 3本柱のリスク低減戦略:
- 製品設計による不必要な攻撃表面の最小化。
- レガシーなC/C++コードに対するセキュリティ保証への投資（CFI、強化アロケータ等）。
- 新規コードではRustなどのメモリ安全言語をデフォルト選択とする。
この多層防御（Defense-in-Depth）の考え方は、セキュリティを優先する全てのチームの参考となるでしょう。WhatsAppの成功は、Rustのメモリ安全性保証が脆弱性の一大カテゴリを根底から排除する強力な手段となり得ることを実証しています。