Programmeringsspråket Rust är nyckeln till att göra Android-operativsystemet säkrare, säger Googles ingenjörer.
I ett blogginlägg (öppnas i en ny flik) publicerat av Androids säkerhetsingenjör Jeffrey Vander Stoep, hävdar Googler att antalet allvarliga minnessårbarheter har minskat avsevärt under de senaste tre åren och antyder att allt detta beror på operativsystemet. flyttar sig bort från osäkert minne. programmeringsspråk, C och C++.
För tre år sedan var majoriteten (65 %) av Android-buggar kritiska eller höggradiga minnessäkerhetsbuggar (tänk till exempel läs- och skrivbuggar utanför gränserna). Sedan dess skriver Google regelbundet ny Rust-kod och lägger till den i Android (istället för att bara förbättra befintlig kod). Nu har antalet sådana fel drastiskt minskat och de är inte längre det största problemet som plågar det mobila operativsystemet.
Mindre allvarliga sårbarheter i en konstant
"Från 2019 till 2022 minskade det årliga antalet minnessäkerhetssårbarheter från 223 till 85", säger Vander Stoep.
Med Android 12 (släpptes i början av oktober 2021) blev operativsystemet en Rust-first-produkt, sa han. Och medan minnessäkerhetsbuggar har minskat tack vare användningen av det nya programmeringsspråket, har andra former av sårbarheter hållit sig stabila med omkring 20 nya brister som upptäckts varje månad. Dessa brister är dock inte lika allvarliga som minnessäkerhetsbuggar.
Men det betyder inte att Google helt överger C och C++. Företaget kommer att fortsätta att investera i verktyg för att skriva säkrare C- och C++-kod, sa Vander Stoep, med hänvisning till den härdade Scudo-mapparen, HWASAN, GWP-ASAN och KFENCE på Android-enheter (öppnas i en ny flik). Han sa också att Google har ökat sin användning av fuzzing.
Hittills har Rust varit ganska pålitlig, men Vander Stoep vet att det kan förändras i framtiden: Hittills har inga säkerhetsbrister i minnet upptäckts i Androids Rust-kod, avslutade han. "Vi förväntar oss inte att den här siffran ska stanna på noll för alltid, men med tanke på volymen av ny Rustkod i två versioner av Android och de säkerhetskänsliga komponenterna där den används är detta ett betydande resultat."
Via: registret (öppnas i en ny flik)