Umbes 21% Android 13-s kompileeritavast uuest koodist on kirjutatud Rusti keeles

Google'i insenerid on teinud esimesed kokkuvõtted Rusti keele arenduse toetamise rakendamisest Androidi platvormile. Android 13-s on umbes 21% uuest kompileeritavast koodist kirjutatud Rustis ja 79% C/C++-s. AOSP (Android Open Source Project) hoidlas, kus Androidi platvormi allikaid arendatakse, on umbes 1,5 miljonit rida Rusti koodi, mis on seotud selliste uute komponentidega nagu krüptoõiguslike võtmete hoidla Keystore2, UWB-kiipide (Ultra-Wideband) tugi, DNS-over-HTTP3 protokolli rakendamine, AVF (Androidi virtualiseerimise raamistik) ning eksperimentaalsed Bluetooth'i ja Wi-Fi raamed.

Varem vastuvõetud riskimanageerimise strateegia kohaselt, et vähendada mäluhäirete põhjustatud haavatavuste tekkimise riski, kasutatakse Rusti praegu peamiselt uue koodi arendamiseks ning kõige haavatavamate ja kriitilisemate tarkvarakomponentide turvalisuse järk-järguliseks suurendamiseks. Terve platvormi üleviimise eesmärki Rustile ei seadeta ning vana kood jääb C/C++-ks, samas kui veaotsing vanas koodis toimub fuzzing-testeerimise, staatilise analüüsi ning arenduses kasutatavate tehnikate nagu MiraclePtr (raw-viidete kohalduse kattekiht, mis teostab lisakontrolle vabastatud mälu piirkondadele) kasutamise kaudu. Samuti kasutatakse Scudo mäluhalduse süsteemi (ohutu asendus malloc/free) ja mäluhäirete tuvastamisel HWAsan (Hardware-assisted AddressSanitizer), GWP-ASAN ja KFENCE mehhanisme.

Mis Androidi platvormi haavatavuste statistika näitab, et koos uue, mälu ohutult käsitleva koodi vähenemisega on vähenenud ka mälu töötlemise vigadest tingitud haavatavuste arv. Näiteks on mäluprobleemide tõttu tekkivate haavatavuste osakaal 2019. aastal vähenenud 76%-lt 2022. aastal 35%-le. Absoluutarvudes tuvastati 2019. aastal 223 mälu töötlemisega seotud haavatavust, 2020. aastal 150, 2021. aastal 100 ning 2022. aastal 85 (kõik esitatud haavatavused on C/C++ koodis, Rusti koodis ei ole sarnaseid probleeme seni tuvastatud). 2022. aasta oli esimene aasta, mil mäluhaavatavused enam ei domineerinud.

Kuna mälu kasutamisega seotud haavatavused on tavaliselt kõige ohtlikumad, märgitakse ka üldstatistikast kriitiliste probleemide ja probleemide arvu vähenemist, mida saab kaugelt ära kasutada. Samuti on viimase nelja aasta jooksul mälu kasutamisega mitteseotud haavatavuste tuvastamine püsinud umbes sama tasemel — 20 haavatavust kuus. Ohtlike probleemide osakaal mälu kasutamise vigu põhjustavate haavatavuste seas püsib samuti samana (kuid kuna selliste haavatavuste arv väheneb, väheneb ka ohtlike probleemide arv).

Statistikast jälgitakse ka korrelatsiooni uue koodi mahu, mis ei tööta ohutult mälu kasutamise osas, ja mäluhaavatavuste arvu (mälupuhangu, juba vabastatud mälu ligipääs jne). See vaatlus kinnitab oletust, et kõige rohkem tuleks tähelepanu pöörata uuele koodile, mitte olemasoleva kirjutamisele, kuna enamus tuvastatud haavatavustest on seotud uue koodiga.

Allikas: opennet.ru