Android 21에서 새로 컴파일된 코드의 약 13%가 Rust로 작성되었습니다.

Google의 엔지니어들은 Rust 언어 개발 지원을 Android 플랫폼에 도입한 첫 번째 결과를 요약했습니다. Android 13에서는 새로 추가된 컴파일 코드의 약 21%가 Rust로 작성되고, 79%는 C/C++로 작성되었습니다. Android 플랫폼의 소스 코드를 개발하는 AOSP(Android 오픈 소스 프로젝트) 저장소에는 UWB 칩(초광대역)용 스택인 Keystore1.5 암호화 키 저장소와 같은 새로운 구성 요소와 관련된 약 2만 줄의 Rust 코드가 포함되어 있습니다. , DNS-over-HTTP3 프로토콜 구현, AVF(Android Virtualization Framework) 가상화 프레임워크, Bluetooth 및 Wi-Fi용 실험 스택.

메모리 작업 오류로 인한 취약점 위험을 줄이기 위해 이전에 채택한 전략에 따라 Rust 언어는 현재 주로 새로운 코드 개발에 사용되고 가장 취약하고 중요한 소프트웨어 구성 요소의 보안을 점진적으로 강화합니다. 전체 플랫폼을 Rust로 이전하려는 일반적인 목표는 없으며 이전 코드는 C/C++에 남아 있으며 오류와의 싸움은 퍼징 테스트, 정적 분석 및 유사한 기술 개발 사용을 통해 수행됩니다. MiraclePtr 유형(원시 포인터에 대한 바인딩, 해제된 메모리 영역에 액세스하기 위한 추가 검사 수행), Scudo 메모리 할당 시스템(malloc/free의 안전한 대체) 및 메모리 HWAsan(하드웨어 지원 AddressSanitizer) 작업 시 오류 감지 메커니즘을 사용합니다. GWP-ASAN과 KFENCE.

안드로이드 플랫폼의 취약점 특성에 대한 통계를 보면, 메모리를 사용하여 안전하지 않게 작동하는 새로운 코드가 줄어들수록 메모리 작업 시 오류로 인해 발생하는 취약점의 수가 감소하는 것으로 나타났습니다. 예를 들어, 메모리 문제로 인한 취약점의 비율은 76년 2019%에서 35년 2022%로 감소했습니다. 절대적 숫자로 보면, 2019년에 223개의 메모리 관련 취약점이 식별되었고, 2020년에 150개, 2021년에 100개, 2022년에 85개가 식별되었습니다(알려진 모든 취약점은 C/C++ 코드에 있었으며 Rust 코드에서는 지금까지 비슷한 문제가 없었습니다). 설립하다). 2022년은 메모리 관련 취약점이 지배적이지 않은 첫 해였습니다.

일반적으로 메모리 관련 취약점이 가장 위험하기 때문에 전반적인 통계에 따르면 심각한 문제와 원격으로 악용할 수 있는 문제의 수가 감소한 것으로 나타났습니다. 동시에, 메모리 작업과 관련되지 않은 취약점을 식별하는 역학은 지난 4년 동안 거의 동일한 수준(월별 20개 취약점)으로 유지되었습니다. 메모리 작업 시 오류로 인해 발생하는 취약점 중 위험한 문제의 비중도 여전히 남아 있습니다(그러나 이러한 취약점의 수가 줄어들기 때문에 위험한 문제의 수도 감소합니다).

통계는 또한 메모리에서 안전하지 않게 작동하는 새로운 코드의 양과 메모리 관련 취약점(버퍼 오버플로, 이미 해제된 메모리에 대한 액세스 등)의 수 사이의 상관관계를 추적합니다. 이러한 관찰은 식별된 취약점의 대부분이 새 코드에 있기 때문에 보안 프로그래밍 기술을 구현할 때 기존 코드를 다시 작성하는 것보다 새 코드를 제거하는 데 초점을 맞춰야 한다는 가정을 확인시켜 줍니다.

출처 : opennet.ru