Chromium માં 70% સુરક્ષા સમસ્યાઓ મેમરી બગ્સને કારણે થાય છે

ક્રોમિયમ પ્રોજેક્ટના વિકાસકર્તાઓ વિશ્લેષણ કર્યું 912 થી ક્રોમના સ્થિર પ્રકાશનમાં 2015 ઉચ્ચ-જોખમ અને નિર્ણાયક નબળાઈઓ ઓળખવામાં આવી હતી અને તારણ કાઢ્યું હતું કે તેમાંથી 70% મેમરી અસુરક્ષા (C/C++ કોડમાં પોઈન્ટર્સ સાથે કામ કરતી વખતે ભૂલો) ને કારણે થઈ હતી. આમાંથી અડધી સમસ્યાઓ (36.1%) તેની સાથે સંકળાયેલ મેમરીને મુક્ત કર્યા પછી બફરની ઍક્સેસને કારણે થાય છે (ઉપયોગ પછી-મુક્ત).

ક્રોમિયમ ડિઝાઇન કરતી વખતે તે શરૂઆતમાં હતું ઠરાવેલું, કે કોડમાં ભૂલો દેખાવાનું શક્ય છે, તેથી નબળાઈઓના પરિણામોને મર્યાદિત કરવા માટે સેન્ડબોક્સ આઇસોલેશનના ઉપયોગ પર મોટો ભાર મૂકવામાં આવ્યો હતો. હાલમાં, આ તકનીકનો ઉપયોગ કરવાની શક્યતાઓ તેમની ક્ષમતાઓની મર્યાદા સુધી પહોંચી ગઈ છે અને પ્રક્રિયાઓમાં વધુ વિભાજન સંસાધન વપરાશના દૃષ્ટિકોણથી અવ્યવહારુ છે.

કોડબેઝની સુરક્ષા જાળવવા માટે, Google પણ "બે નો નિયમ“, જે મુજબ કોઈપણ ઉમેરવામાં આવેલ કોડે ત્રણમાંથી બે કરતાં વધુ શરતો પૂરી કરવી જોઈએ નહીં: અમાન્ય ઇનપુટ ડેટા સાથે કામ કરવું, અસુરક્ષિત પ્રોગ્રામિંગ ભાષા (C/C++)નો ઉપયોગ કરવો અને એલિવેટેડ વિશેષાધિકારો સાથે ચાલવું. આ નિયમ સૂચવે છે કે બાહ્ય ડેટાની પ્રક્રિયા કરવા માટેનો કોડ કાં તો ન્યૂનતમ વિશેષાધિકારો (અલગ) સુધી ઘટાડવો જોઈએ અથવા સુરક્ષિત પ્રોગ્રામિંગ ભાષામાં લખાયેલ હોવો જોઈએ.

કોડ બેઝની સુરક્ષાને વધુ વધારવા માટે, કોડ બેઝમાં મેમરીની ભૂલો દેખાતી અટકાવવા માટે એક પ્રોજેક્ટ શરૂ કરવામાં આવ્યો છે. ત્યાં ત્રણ મુખ્ય અભિગમો છે: મેમરીના સુરક્ષિત સંચાલન માટે કાર્યો સાથે C++ લાઇબ્રેરીઓ બનાવવી અને હાર્ડવેર પ્રોટેક્શન મિકેનિઝમનો ઉપયોગ કરીને ગાર્બેજ કલેક્ટરના કાર્યક્ષેત્રને વિસ્તૃત કરવું એમટીઇ (મેમરી ટેગિંગ એક્સ્ટેંશન) અને ભાષાઓમાં લેખન ઘટકો જે મેમરી (જાવા, કોટલિન, જાવાસ્ક્રિપ્ટ, રસ્ટ, સ્વિફ્ટ) સાથે સલામત કાર્યની ખાતરી આપે છે.

એવી અપેક્ષા રાખવામાં આવે છે કે કાર્ય બે ક્ષેત્રોમાં કેન્દ્રિત હશે:

• C++ વિકાસ પ્રક્રિયામાં નોંધપાત્ર ફેરફાર, જે કામગીરી પર નકારાત્મક અસરને બાકાત રાખતું નથી (વધારાની સીમા તપાસો અને કચરો સંગ્રહ). કાચા પોઇન્ટરને બદલે, પ્રકારનો ઉપયોગ કરવાનો પ્રસ્તાવ છે MiraclePtr, જે તમને કાર્યક્ષમતા, મેમરી વપરાશ અને સ્થિરતા પર નોંધપાત્ર નકારાત્મક અસર કર્યા વિના, સલામતી માટે ખતરો ન ધરાવતા ક્રેશ્સમાં શોષણક્ષમ ઉપયોગ પછી-મુક્ત ભૂલોને ઘટાડવાની મંજૂરી આપે છે.
• કમ્પાઈલ સમયે મેમરી સેફ્ટી ચેક કરવા માટે રચાયેલ ભાષાઓનો ઉપયોગ (કોડ એક્ઝિક્યુશન દરમિયાન આવી તપાસમાં અંતર્ગત કામગીરી પરની નકારાત્મક અસરને દૂર કરશે, પરંતુ કોડ સાથે નવી ભાષામાં કોડની ક્રિયાપ્રતિક્રિયાને ગોઠવવા માટે વધારાના ખર્ચ તરફ દોરી જશે. C++).

મેમરી-સલામત પુસ્તકાલયોનો ઉપયોગ કરવો એ સૌથી સરળ, પણ ઓછી કાર્યક્ષમ રીત છે. રસ્ટમાં ફરીથી લખવાના કોડને સૌથી અસરકારક, પણ ખૂબ ખર્ચાળ રીત તરીકે રેટ કરવામાં આવે છે.

સોર્સ: opennet.ru