Umbes 21% Android 13-st kompileeritud uuest koodist on kirjutatud Rust keeles

Google'i insenerid on teinud esimesed järeldused Rusti programmeerimiskeele toe rakendamise kohta Android platvormil. Android 13-s on umbes 21% uue kompileeritava koodi kogumahust kirjutatud Rustis ja 79% C/C++-s. Android Open Source Projecti (AOSP) hoidlas, kus arendatakse Android platvormi lähtekode, on umbes 1,5 miljonit rida koodi Rustis, mis on seotud uute komponentidega nagu Keystore2 krüptograafiliste võtmete hoidla, UWB (Ultra-Wideband) kiipide protokolli, DNS-over-HTTP3 rakendamine, AVF (Android Virtualization Framework) virtualiseerimise raamistik ja eksperimentaalsed Bluetooth ja Wi-Fi protokollid.

Vastavalt varasemalt vastu võetud strateegiale, mis vähendab mäluhalduse vigade tõttu tekkida võivaid haavatavusi, kasutatakse Rusti seni peamiselt uue koodi arendamiseks ning kõige haavatavamate ja kriitilisemate tarkvarakomponentide turvalisuse järkjärguliseks tugevdamiseks. Tüübi muutmise üldine eesmärk, et kogu platvorm üle viidaks Rusti, ei ole seatud ning vana kood jääb C/C++-sse, samas kui selle vigade kõrvaldamine toimub fuzzing-testeerimise, statsiaalse analüüsi ja arendustehnikate, nagu MiraclePtr (raw-punktorite ümbritsemine, mis teostab täiendavaid kontrollimisi vabastatud mälu aladega tegelemisel), Scudo mälu jaotussüsteem (ohutu asendamine malloc/free) ning mälu haldamise vigade avastamise mehhanismide, nagu HWAsan (Hardware-assisted AddressSanitizer), GWP-ASAN ja KFENCE, abil.

Mis puudutab Android platvormi haavatavuste statistikat, siis on täheldatud, et uue mäluhaldusega mitteturvalise koodi osakaalu vähenedes on vähenenud ka mäluhalduse vigade tõttu tekkivate haavatavuste arv. Näiteks vähenes mäluprobleemide tekitatud haavatavuste osakaal 76% võrra 2019. aastal 35% -ni 2022. aastal. Aastatel 2019 ja 2020 tuvastati vastavalt 223 ja 150 mäluhaldusega seotud haavatavust, 2021. aastal 100 ning 2022. aastal 85 (kõik tuvastatud haavatavused on koodis C/C++-s, Rusti koodis pole selliseid probleeme seni leitud). 2022. aasta oli esimene aasta, kus mäluhaldusega seotud haavatavusi ei esinenud enam domineerivalt.

Kuna mäluhaldusega seotud haavatavused on tavaliselt kõige ohtlikumad, on üldstatistikast näha ka kriitiliste probleemide ja kaugtöötlemiseks kasutatavate probleemide arvu vähenemine. Samuti on viimase nelja aasta jooksul mäluhaldusega mitteseotud haavatavate leidmise dünaamika püsinud ligikaudu samal tasemel - 20 haavatavust kuus. Ohtlike probleemide osakaal mäluhalduse vigade tõttu tekkinud haavatavuste hulgas püsib samuti (kuid kuna selliste haavatavuste arv väheneb, väheneb ka ohtlike probleemide arv).

Statistikast selgub ka korrelatsioon uue koodi mahu, mis ei ole mäluga turvaliselt seotud, ja mäluga seotud haavatavuste arvu (puuduste ülevool, juurdepääs juba vabastatud mälule jne.) vahel. See nähtus kinnitab oletust, et tähelepanu tuleks keskendada uue koodi rakendamisele, mitte olemasoleva ümberkirjutamisele, kuna enamik täheldatud haavatavustest tuleneb uuest koodist.

Allikas: opennet.ru