Rust е включен в основните езици за разработка на платформата Android

Компания Google обяви, че езикът за програмиране Rust е включен в списъка с езици, разрешени за разработка на платформата Android. Компилаторът на Rust е включен в дървото с изходен код на Android още през 2019 година, но поддръжката на този език оставаше експериментална. Сред първите компоненти на Rust, които се планира да бъдат внедрени в Android, са новите реализации на механизма за междупроцесно взаимодействие Binder и стека на Bluetooth.

Внедряването на Rust е извършено в рамките на проект за увеличаване на сигурността, насърчаване на практиките за безопасно програмиране и повишаване на ефективността при откриване на проблеми с паметта в Android. Оценява се, че около 70% от всички опасни уязвимости, открити в Android, са причинени от грешки при работа с паметта. Използването на Rust, който е насочен към безопасната работа с паметта и предлага автоматично управление на паметта, ще намали риска от уязвимости, предизвикани от грешки с паметта, като например достъп до памет, след като е освободена, и излизане извън границите на буфера.

Безопасната работа с паметта в Rust се осигурява по време на компилация чрез проверка на референции, проследяване на собствеността на обектите и управление на времето на живот на обектите (области на видимост), както и чрез оценка на коректността на достъпа до паметта по време на изпълнение на кода. Rust също така предоставя средства за защита от целочислени препълнения, изисква задължителна инициализация на стойностите на променливите преди употреба, по-добре обработва грешките в стандартната библиотека, използва концепцията за неизменяемост (immutable) на референции и променливи по подразбиране и предлага силна статична типизация за минимизиране на логическите грешки.

В Android безопасната работа с паметта се осигурява от вече поддържаните езици Kotlin и Java, но те не са подходящи за разработка на системни компоненти поради високите накладни разходи. Rust позволява постигането на производителност, близка до тази на C и C++, което го прави подходящ за разработка на нискоуровневи части на платформата и компоненти за взаимодействие с хардуера.

За осигуряване на сигурността на кода на C и C++ в Android се прилагат sandbox-изолация, статичен анализ и fuzzing-тестове. Възможностите на sandbox-изолацията са ограничени и достигнаха пределите на своите способности (допълнителното разделяне на процеси не е целесъобразно от гледна точка на ресурсната консумация). Сред ограниченията на употребата на sandbox се споменават значителните накладни разходи и увеличеното потребление на памет, предизвикано от необходимостта от създаване на нови процеси, както и възникването на допълнителни забавяния, свързани с употребата на IPC.

Въпреки това, sandbox не елиминира уязвимостите в кода, а просто намалява рисковете и усложнява провеждането на атака, тъй като за експлоатацията е необходимо идентифициране не на една, а на няколко уязвимости. Методите, основани на тестването на кода, са ограничени от необходимостта за създаване на условия, при които проблемът може да се прояви. Невъзможно е да се покрият всички възможни варианти, поради което много грешки остават незабелязани.

За системните процеси в Android компанията Google спазва 'правилото на двете', съгласно което всеки добавен код трябва да отговаря на не повече от две от три условия: работа с ненадеждни входни данни, използване на небезопасен език за програмиране (C/C++) и изпълнение без стриктна sandbox-изолация (наличие на повишени привилегии). От това правило произлиза, че кодът за обработка на външни данни трябва или да бъде ограничен до минимални привилегии (изолиран), или да бъде написан на безопасен език за програмиране.

Google не си поставя за цел да пренапише съществуващия код на C/C++ на Rust, а планира да използва този език за разработка на нов код. Има смисъл да се използва Rust за нов код, тъй като статистиката показва, че повечето грешки се проявяват в нов или наскоро променен код. В частност, около 50% от откритите грешки в управлението на паметта в Android се установяват в код, написан преди по-малко от година.

Източник: opennet.ru