{"id":119948,"date":"2024-09-26T15:43:01","date_gmt":"2024-09-26T13:43:03","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/metody-bezopasnoj-raboty-s-pamyatyu-pozvolili-sushhestvenno-snizit-chislo-uyazvimostej-v-android"},"modified":"2024-09-26T15:43:01","modified_gmt":"2024-09-26T13:43:03","slug":"metody-bezopasnoj-raboty-s-pamyatyu-pozvolili-sushhestvenno-snizit-chislo-uyazvimostej-v-android","status":"publish","type":"post","link":"https:\/\/prohoster.info\/fr\/blog\/news\/metody-bezopasnoj-raboty-s-pamyatyu-pozvolili-sushhestvenno-snizit-chislo-uyazvimostej-v-android","title":{"rendered":"Les m\u00e9thodes de travail s\u00e9curis\u00e9 avec la m\u00e9moire ont consid\u00e9rablement r\u00e9duit le nombre de vuln\u00e9rabilit\u00e9s sur Android.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
La soci\u00e9t\u00e9 Google a pr\u00e9sent\u00e9 les r\u00e9sultats de son initiative d'impl\u00e9mentation de m\u00e9thodes de d\u00e9veloppement s\u00e9curis\u00e9 (Safe Coding) dans Android, telles que l'utilisation de langages de programmation garantissant une gestion s\u00fbre de la m\u00e9moire, l'application d'analyses statiques et la conception d'API en tenant compte de la s\u00e9curit\u00e9. Ces changements ont permis de r\u00e9duire la proportion de vuln\u00e9rabilit\u00e9s li\u00e9es \u00e0 la m\u00e9moire dans Android, passant de 76 % en 2019 \u00e0 24 % en 2024, ce qui est nettement inf\u00e9rieur \u00e0 la moyenne de l'industrie \u2014 70 %. <\/p>\n
Les ing\u00e9nieurs de Google ont \u00e9galement tir\u00e9 la conclusion que la principale source de probl\u00e8mes de s\u00e9curit\u00e9 est le nouveau code, et qu'il convient donc de concentrer les efforts sur la modernisation des m\u00e9thodes de d\u00e9veloppement de ce dernier. Le code existant devient plus fiable et s\u00e9curis\u00e9 au fil du temps (une d\u00e9pendance exponentielle de la s\u00e9curit\u00e9 par rapport au temps est observ\u00e9e), ce qui rend les investissements dans des projets de r\u00e9\u00e9criture du code existant moins avantageux. Par exemple, un code de 5 ans pr\u00e9sente en moyenne une densit\u00e9 de vuln\u00e9rabilit\u00e9s 3,4 fois inf\u00e9rieure \u00e0 celle du nouveau code. Pour les projets Android et Chromium, gr\u00e2ce \u00e0 l'application de m\u00e9thodes de gestion s\u00e9curis\u00e9e de la m\u00e9moire, cette diff\u00e9rence est de 7,4 fois.
<\/center> <\/p>\n
Ainsi, si l'on parvient \u00e0 pr\u00e9venir les erreurs de gestion de la m\u00e9moire dans le nouveau code, les erreurs similaires dans le code ancien seront de moins en moins fr\u00e9quentes au fil du temps. En r\u00e9sum\u00e9, Google recommande de ne pas r\u00e9\u00e9crire le code ancien, mais de se concentrer sur l'\u00e9criture de nouveau code dans des langages qui g\u00e8rent la m\u00e9moire de mani\u00e8re s\u00e9curis\u00e9e et d'assurer la portabilit\u00e9 entre le nouveau et l'ancien code. <\/p>\n
En plus de r\u00e9duire le nombre de vuln\u00e9rabilit\u00e9s, l'utilisation de m\u00e9thodes de programmation s\u00e9curis\u00e9es am\u00e9liore la productivit\u00e9 du d\u00e9veloppement, permet d'atteindre une qualit\u00e9 de code sup\u00e9rieure et a un impact positif sur la performance. Par exemple, la r\u00e9\u00e9criture dans Chromium du code pour la g\u00e9n\u00e9ration de QR codes en Rust a permis d'augmenter sa performance de 95 % gr\u00e2ce \u00e0 l'\u00e9limination des frais g\u00e9n\u00e9raux caus\u00e9s par la n\u00e9cessit\u00e9 d'appliquer une isolation sandbox suppl\u00e9mentaire. <\/p>\n
La vitesse et la qualit\u00e9 du d\u00e9veloppement augmentent gr\u00e2ce \u00e0 la simplification des tests et au d\u00e9placement de la d\u00e9tection des erreurs vers les premi\u00e8res \u00e9tapes du d\u00e9veloppement, o\u00f9 les erreurs deviennent visibles avant m\u00eame que le d\u00e9veloppeur n'ait commenc\u00e9 \u00e0 v\u00e9rifier le code. Par exemple, les indicateurs de r\u00e9trogradation des modifications \u2014 pour le code en Rust, le nombre de r\u00e9trogradations dues \u00e0 des erreurs impr\u00e9vues est deux fois moins \u00e9lev\u00e9 que pour le code en C++. <\/p>\n
De mani\u00e8re g\u00e9n\u00e9rale, l'application de m\u00e9thodes de programmation s\u00e9curis\u00e9es est pr\u00e9sent\u00e9e comme la paradigme de d\u00e9veloppement la plus efficace \u00e0 ce jour, rempla\u00e7ant les trois approches pr\u00e9c\u00e9demment utilis\u00e9es : <\/p>\n
\n
Correction des vuln\u00e9rabilit\u00e9s apr\u00e8s leur d\u00e9couverte. Co\u00fbteux, cela n\u00e9cessite une publication fr\u00e9quente de mises \u00e0 jour et leur diffusion rapide aux utilisateurs.\n
Protection pr\u00e9ventive, ax\u00e9e sur l'utilisation de techniques compliquant l'exploitation des vuln\u00e9rabilit\u00e9s. Le prix de cette protection \u00e9tait une diminution des performances et un jeu constant de chat et souris avec les attaquants.\n
D\u00e9tection pr\u00e9coce des vuln\u00e9rabilit\u00e9s par l'utilisation de tests de fuzzing et d'outils tels qu'AddressSanitizer et MemorySanitizer. Cette m\u00e9thode ne faisait qu'\u00e9liminer les sympt\u00f4mes, sans s'attaquer \u00e0 la cause du probl\u00e8me, et n\u00e9cessitait un travail constant. <\/ul>\n
![\"Les](\"\/wp-content\/uploads\/2024\/09\/54bbad224824c9d460e89279778c1f25.png\")
<\/center> <\/p>\n![\"Les](\"\/wp-content\/uploads\/2024\/09\/c4fd262a07d59951d43ed36deaf37dde.png\")
<\/center> ![\"Les](\"\/wp-content\/uploads\/2024\/09\/4f838def332f6cb8eded51169511a39a.png\")
<\/center>