Google fördert sichere Speicheroperationen in Open-Source-Software

Google hat eine Initiative gestartet, um Probleme in der Open-Source-Software zu lösen, die durch unsicheren Umgang mit Speicher verursacht werden. Laut Google sind 70 % der Sicherheitsprobleme in Chromium auf Fehler im Umgang mit Speicher zurückzuführen, wie zum Beispiel der Zugriff auf einen Puffer nach der Freigabe des zugehörigen Speichers (use-after-free). Auch eine Studie von Microsoft kam zu dem Ergebnis, dass 70 % aller Schwachstellen, die in den untersuchten Software-Updates behoben wurden, auf unsicheren Speicherzugriff zurückzuführen sind. Eine weitere Studie zeigte, dass 53 von 95 Schwachstellen, die in dem Tool curl entdeckt wurden, vermieden werden könnten, wenn der Code in einer Sprache geschrieben worden wäre, die sicheren Speicherzugriff gewährleistet.

Als Beispiele für die ersten Initiativen, die von Google finanziert und in Zusammenarbeit mit der ISRG (Internet Security Research Group) durchgeführt wurden, sind die Schaffung eines alternativen HTTP-Backends für das Tool curl und die Entwicklung eines neuen TLS-Moduls für den Apache-Webserver zu nennen. Beide Projekte wurden in der Programmiersprache Rust realisiert, die sich auf sichere Speicherverwaltung konzentriert und automatisches Speichermanagement bietet. Bei ordnungsgemäßer Nutzung (Unterlassen unsicherer Zeigeroperationen im unsafe-Modus) können Probleme wie der Zugriff auf freigegebenen Speicher, Dereferenzierung nuller Zeiger und Pufferüberläufe vermieden werden.

Quelle: opennet.ru