Белый дом призвал разработчиков избегать C и C++, а также использовать "безопасные в плане памяти" языки
Правительство США предпочло бы, чтобы разработчики перестали программировать на C или C++. В новом докладе Управление национального кибердиректора при Белом доме призвало разработчиков использовать "языки программирования, безопасные в плане памяти", к которым не относятся популярные C и C++. Этот совет — часть киберстратегии президента Байдена по обеспечению безопасности киберпространства.
Безопасность памяти относится к защите от уязвимостей, связанных с доступом к памяти. Java считается безопасным языком из-за проверок ошибок. Однако C и C++ позволяют произвольные арифметические операции с указателями и адресами памяти без проверки.
В 2019 году инженеры безопасности Microsoft сообщили, что около 70% уязвимостей в системе безопасности вызваны проблемами безопасности памяти. Google в 2020 году озвучила те же данные по ошибкам, найденным в браузере Chromium.
Эксперты определили несколько языков программирования, которым недостает свойств, связанных с безопасностью памяти, и которые в то же время широко распространены в критически важных системах, такие как C и C++. Выбор безопасных в плане памяти языков на начальном этапе, как рекомендует CISA в Дорожной карте безопасности ПО с открытым исходным кодом — один из примеров разработки ПО методом защиты по умолчанию.
Цель 19-страничного доклада — разделить ответственность за кибербезопасность не только между физическими лицами и малым бизнесом. Вместо этого ответственность лежит на более крупных организациях, технологических компаниях и, в конечном счете, на правительстве.
ONCD призывает компании и инженеров внедрить передовые методы разработки ПО и использовать безопасное в плане памяти оборудование, чтобы снизить потенциальные атаки. В самом отчете не уточняется, какие языки считаются безопасными в плане памяти. Однако в ноябре 2022 года Агентство национальной безопасности США опубликовало информационный бюллетень по кибербезопасности с перечнем языков программирования, которые оно считает отвечающими этому критерию.
Языки программирования, рекомендованные АНБ как безопасные для памяти:
Rust
Go
C#
Java
Swift
JavaScript
Ruby
Насколько популярны предложенные языки программирования? Согласно индексу популярности TIOBE, на первом месте Python. Из вариантов АНБ C# занимает пятое место, Java — четвертое, JavaScript — шестое, а Go — восьмое. Замыкают список Swift на 16-м месте, Rust на 18-м и Ruby на 20-м. Так что выбранные АНБ языки входят в топ-20, но лишь четыре из семи действительно популярны у разработчиков.
В докладе также содержится призыв к разработке лучших метрик оценки безопасности ПО. ONCD полагает, что более точные показатели позволят технологическим компаниям лучше планировать, прогнозировать и смягчать уязвимости до того, как они станут проблемой.
- Intel вложила уже $30 млрд в американское производство микрочипов, но до сих пор не получила ни цента финансирования по закону CHIPS
- Искусственный интеллект Google поможет решить, получат ли безработные пособия в США
- США представили план по повышению безопасности на дорогах с помощью технологии коммуникации автомобилей друг с другом