Mälu turvalise kasutamise meetodid on oluliselt vähendanud haavatavuste arvu Androidis.

Google on teinud kokkuleppe Androidi turvalise arendamise meetodite (Safe Coding) rakendamise osas, sealhulgas mäluga ohutult töötavate programmeerimiskeelte kasutamine, staatiliste analüsaatorite rakendamine ja API-de kavandamine turvalisus silmas pidades. Need muudatused on võimaldanud vähendada Androidi mäluga seotud haavatavuste osakaalu 76% 2019. aastal 24% 2024. aastaks, mis on oluliselt madalam kui tööstuse keskmine — 70%.

Google'i insenerid on samuti jõudnud järeldusele, et peamine turvaprobleemide allikas on uus kood, mistõttu tuleks keskenduda uue koodi arendamismeetodite moderniseerimisele. Olemasolev kood muutub aja jooksul järjest usaldusväärsemaks ja turvalisemaks (turvalisuse eksponentsiaalne sõltuvus ajast), mistõttu pole olemasoleva koodi ümberkirjutamise projektid enam nii tulusad. Näiteks on 5-aastase koodi keskmine haavatavuste tihedus 3,4 korda madalam kui uue koodi puhul. Androidi ja Chromiumi projektide puhul, tänu mäluga töötamise turvaliste meetodite rakendamisele, on erinevus 7,4 korda.

Seega, kui uues koodis vältida mäluga seotud vigu, tuvastatakse aja jooksul sarnaseid vigu vanas koodis järjest harvemini. Üldiselt soovitab Google mitte kirjutada vana koodi ümber, vaid keskenduda uue koodi loomisele, mis on mäluga ohutult töötav ja tagab ühilduvuse uue ja vana koodi vahel.

Lisaks haavatavuste arvu vähendamisele suurendab turvaliste programmeerimise meetodite kasutamine arenduse efektiivsust, tagab kõrgema koodi kvaliteedi ja toob kaasa parema jõudluse. Näiteks vajas QR-koodide genereerimise koodi ümberkirjutamine Chromimus Rusti keeles, et saavutada 95% suurenenud jõudlus, elimineerides kulusid, mis tekkisid täiendava liivakasti isolatsiooni rakendamisel.

Arenduse kiirus ja kvaliteet paranevad testimise lihtsustamise ja vigade avastamise edasilükkamisega varajastesse arendusetappidesse, kus vead muutuvad nähtavaks veel enne, kui arendaja koodi üle vaatama hakkab. Näiteks on Rusti koodi puhul muutuste tagasisidetide arv ootamatute vigade tõttu kaks korda madalam kui C++ koodi puhul.

Üldiselt esitatakse turvaliste programmeerimismeetodite rakendamine kui kõige tõhusam tänapäeva arendusparadigma, mis on asendanud varem kasutatud kolme lähenemist:

• Haavatavuste parandamine pärast nende avastamist. Aeganõudev, nõuab sagedaste värskenduste väljaandmist ja nende kiiret edastamist kasutajatele.
• Ennetav kaitse, mis keskendub tehnikate rakendamisele, et muuta haavatavuste ärakasutamine keerulisemaks. Sellise kaitse hind oli jõudluse vähenemine ja pidev mäng ründajatega.
• Ajava haavatavuste tuvastamine fuzzing-teste ja sarnaste tööriistade, nagu AddressSanitizer ja MemorySanitizer, abil. Meetod ainult kõrvaldaks sümptomid, mitte haiguse põhjuse, ja nõudis pidevat tööd.

Allikas: opennet.ru