Le projet LLVM développe des outils pour travailler en toute sécurité avec les buffers en C++.

Les développeurs du projet LLVM ont proposé une série de modifications visant à renforcer la sécurité des projets critiques en C++ et à fournir des moyens d'exclure les erreurs causées par les débordements de mémoire. Le travail est concentré sur deux axes : la fourniture d'un modèle de développement permettant de travailler en toute sécurité avec des buffers, et l'amélioration de la protection de la bibliothèque standard des fonctions libc++.

Le modèle de programmation sécurisée proposé pour le C++ implique l'utilisation des classes fournies par la bibliothèque standard lors de la manipulation des buffers plutôt que de travailler avec des pointeurs nus. Par exemple, il est suggéré d'utiliser les classes std::array, std::vector et std::span, qui seront enrichies d'une vérification des débordements de mémoire réalisée au moment de l'exécution.

Pour lutter contre les pratiques de programmation dangereuses, clang propose d'émettre des avertissements du compilateur pour toutes les opérations arithmétiques avec des pointeurs, similaires aux avertissements du linter clang-tidy, qui sont générés lors de l'utilisation du drapeau « cppcoreguidelines-pro-bounds-pointer-arithmetic », dont le support sera ajouté dans la version LLVM 16. Un drapeau distinct sera ajouté à clang pour activer ces avertissements, celui-ci n'étant pas actif par défaut.

Dans libc++, un mode optionnel de protection renforcée est prévu, qui, une fois activé, interceptera certaines situations menant à un comportement indéfini lors de l'exécution. Par exemple, dans les classes std::span et std::vector, l'accès en dehors de la zone de mémoire allouée sera surveillé, et en cas de détection, le programme se terminera de manière inattendue. Les développeurs estiment que l'ajout de telles modifications préservera la conformité de libc++ aux normes C++, car le choix de la méthode de gestion des cas de comportement indéfini revient aux développeurs de la bibliothèque, qui peuvent également considérer le comportement indéfini comme une défaillance nécessitant l'arrêt du programme.

Les vérifications effectuées lors de l'exécution dans libc++ sont prévues pour être classées en catégories pouvant être activées individuellement. Certaines des vérifications proposées, qui ne compliquent pas les opérations ou ne modifient pas l'ABI, ont déjà été mises en œuvre dans le cadre du mode sécurisé de libc++ (safe mode).

De plus, il est prévu de préparer des outils pour modifier le code, permettant de remplacer les variables avec des pointeurs bruts par des conteneurs et d'appliquer des gestionnaires alternatifs dans les situations où le conteneur ne peut pas remplacer directement le pointeur (par exemple, la construction « if(array_pointer) » peut être transformée en « if(span.data()) »). Les ajustements peuvent s'appliquer non seulement aux variables locales, mais aussi aux paramètres de types avec des pointeurs.

Source : opennet.ru