פרויקט להטמעת כלי העזר sudo ו-su ב- Rust

ISRG (Internet Security Research Group), המייסדת את פרויקט Let's Encrypt ומקדמת HTTPS ופיתוח טכנולוגיות להגברת אבטחת האינטרנט, הציגה את פרויקט Sudo-rs ליצירת הטמעות של כלי עזר sudo ו-su שנכתבו ב חלודה המאפשרת לך לבצע פקודות בשם משתמשים אחרים. תחת רישיונות Apache 2.0 ו-MIT, כבר פורסמה גרסה מוקדמת של Sudo-rs, שעדיין לא מוכנה לשימוש כללי. הפרויקט, שהחל לעבוד בדצמבר 2022, אמור להסתיים בספטמבר 2023.

העבודה מתמקדת כיום בהטמעת תכונות ב-Sudo-rs המאפשרות להשתמש בו כתחליף שקוף ל-sudo במקרים של שימוש טיפוסי (תצורות ברירת מחדל של sudoers באובונטו, פדורה ודביאן). בעתיד, ישנן תוכניות ליצור ספרייה המאפשרת הטמעת פונקציונליות sudo בתוכניות אחרות ולספק שיטת תצורה חלופית שנמנעת מניתוח התחביר של קובץ התצורה של sudoers. בהתבסס על פונקציונליות sudo המיושמת, תוכן גם גרסה של כלי השירות su. בנוסף, התוכניות מזכירות תמיכה ב-SELinux, AppArmor, LDAP, כלי ביקורת, יכולת אימות ללא שימוש ב-PAM ויישום כל אפשרויות שורת הפקודה sudo.

לפי מיקרוסופט וגוגל, כ-70% מהחולשות נגרמות מניהול זיכרון לא בטוח. צפוי ששימוש בשפת Rust לפיתוח su ו-sudo יקטין את הסיכון לפגיעויות הנגרמות מטיפול לא בטוח בזיכרון וימנע את התרחשותן של שגיאות כגון גישה לאזור זיכרון לאחר שחרורו וחריפת מאגר. Sudo-rs מפותחת על ידי מהנדסים מחברת Ferrous Systems ו- Tweede Golf עם כספים שמסופקים על ידי חברות כמו גוגל, סיסקו, אמזון ווב שירותי.

בטיחות זיכרון מסופקת ב-Rust בזמן הקומפילציה באמצעות בדיקת התייחסות, מעקב אחר בעלות על אובייקט ומשך חיי אובייקט (היקף), וכן באמצעות הערכה של נכונות הגישה לזיכרון במהלך ביצוע קוד. Rust מספקת גם הגנה מפני הצפת מספרים שלמים, דורשת אתחול חובה של ערכי משתנים לפני השימוש, מטפלת בשגיאות טוב יותר בספרייה הסטנדרטית, מיישמת את הרעיון של הפניות ומשתנים בלתי ניתנים לשינוי כברירת מחדל, מציעה הקלדה סטטית חזקה כדי למזער שגיאות לוגיות.

מקור: OpenNet.ru