{"id":119948,"date":"2024-09-26T15:43:01","date_gmt":"2024-09-26T13:43:03","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/metody-bezopasnoj-raboty-s-pamyatyu-pozvolili-sushhestvenno-snizit-chislo-uyazvimostej-v-android"},"modified":"2024-09-26T15:43:01","modified_gmt":"2024-09-26T13:43:03","slug":"metody-bezopasnoj-raboty-s-pamyatyu-pozvolili-sushhestvenno-snizit-chislo-uyazvimostej-v-android","status":"publish","type":"post","link":"https:\/\/prohoster.info\/sk\/blog\/news\/metody-bezopasnoj-raboty-s-pamyatyu-pozvolili-sushhestvenno-snizit-chislo-uyazvimostej-v-android","title":{"rendered":"Met\u00f3dy bezpe\u010dnej pr\u00e1ce s pam\u00e4\u0165ou umo\u017enili v\u00fdrazne zn\u00ed\u017ei\u0165 po\u010det zranite\u013enost\u00ed v Androide.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Spolo\u010dnos\u0165 Google zhodnotila iniciat\u00edvu na implement\u00e1ciu bezpe\u010dn\u00fdch v\u00fdvojov\u00fdch met\u00f3d (Safe Coding) v syst\u00e9me Android, ako je vyu\u017e\u00edvanie programovac\u00edch jazykov, ktor\u00e9 zabezpe\u010duj\u00fa bezpe\u010dn\u00fa pr\u00e1cu s pam\u00e4\u0165ou, pou\u017eitie statick\u00fdch analyz\u00e1torov a navrhovanie API s oh\u013eadom na bezpe\u010dnos\u0165. Zmeny umo\u017enili zn\u00ed\u017ei\u0165 podiel zranite\u013enost\u00ed spojen\u00fdch s pam\u00e4\u0165ou v syst\u00e9me Android z 76% v roku 2019 na 24% v roku 2024, \u010do je v\u00fdrazne ni\u017e\u0161ie ako priemern\u00fd priemer v priemysle \u2014 70%. <\/p>\n
In\u017einieri Googlu taktie\u017e dospeli k z\u00e1veru, \u017ee hlavn\u00fdm zdrojom probl\u00e9mov so zabezpe\u010den\u00edm je nov\u00fd k\u00f3d, a preto by sa pozornos\u0165 mala s\u00fastredi\u0165 na moderniz\u00e1ciu met\u00f3d v\u00fdvoja nov\u00e9ho k\u00f3du. U\u017e existuj\u00faci k\u00f3d sa \u010dasom st\u00e1va spo\u013eahlivej\u0161\u00edm a bezpe\u010dnej\u0161\u00edm (pozoruje sa exponenci\u00e1lna z\u00e1vislos\u0165 bezpe\u010dnosti od \u010dasu), \u010do rob\u00ed invest\u00edcie do projektov prepisovania existuj\u00faceho k\u00f3du menej atrakt\u00edvnymi. Napr\u00edklad 5-ro\u010dn\u00fd k\u00f3d m\u00e1 v priemere 3,4-kr\u00e1t ni\u017e\u0161iu hustotu zranite\u013enost\u00ed ne\u017e nov\u00fd k\u00f3d. Pre projekty Android a Chromium sa v\u010faka zav\u00e1dzaniu met\u00f3d bezpe\u010dnej pr\u00e1ce s pam\u00e4\u0165ou rozdiel zvy\u0161uje na 7,4-kr\u00e1t.
<\/center> <\/p>\n
T\u00fdmto sp\u00f4sobom, ak sa podar\u00ed zabr\u00e1ni\u0165 vzniku ch\u00fdb pri pr\u00e1ci s pam\u00e4\u0165ou v novom k\u00f3de, s \u010dasom sa podobn\u00e9 chyby v starom k\u00f3de bud\u00fa zis\u0165ova\u0165 \u010doraz menej \u010dasto. Vo v\u0161eobecnosti Google odpor\u00fa\u010da neprep\u00edsa\u0165 star\u00fd k\u00f3d, ale s\u00fastredi\u0165 sa na p\u00edsanie nov\u00e9ho k\u00f3du v jazykoch, ktor\u00e9 bezpe\u010dne manipuluj\u00fa s pam\u00e4\u0165ou, a zabezpe\u010di\u0165 prenosnos\u0165 medzi nov\u00fdm a star\u00fdm k\u00f3dom. <\/p>\n
Okrem zn\u00ed\u017eenia po\u010dtu zranite\u013enost\u00ed pou\u017e\u00edvanie bezpe\u010dn\u00fdch met\u00f3d programovania zvy\u0161uje produktivitu v\u00fdvoja, umo\u017e\u0148uje dosiahnu\u0165 vy\u0161\u0161iu kvalitu k\u00f3du a pozit\u00edvne vpl\u00fdva na v\u00fdkon. Napr\u00edklad prepisovanie k\u00f3du na generovanie QR k\u00f3dov v Chromium v jazyku Rust umo\u017enilo dosiahnu\u0165 zv\u00fd\u0161enie jeho v\u00fdkonu o 95 % v\u010faka zbaveniu sa re\u017eijn\u00fdch n\u00e1kladov sp\u00f4soben\u00fdch potrebou aplik\u00e1cie dodato\u010dnej izol\u00e1cie sandbox. <\/p>\n
R\u00fdchlos\u0165 a kvalita v\u00fdvoja sa zvy\u0161uje v\u010faka zjednodu\u0161eniu testovania a posunu identifik\u00e1cie ch\u00fdb na ran\u00e9 \u0161t\u00e1di\u00e1 v\u00fdvoja, v ktor\u00fdch s\u00fa chyby vidite\u013en\u00e9 e\u0161te predt\u00fdm, ne\u017e sa v\u00fdvoj\u00e1r pust\u00ed do kontroly k\u00f3du. Ako pr\u00edklad s\u00fa uveden\u00e9 ukazovatele n\u00e1vratu zmien \u2014 pre k\u00f3d v jazyku Rust je po\u010det n\u00e1vratov zmien v d\u00f4sledku odhalenia nepredv\u00eddan\u00fdch ch\u00fdb dvakr\u00e1t ni\u017e\u0161\u00ed ako pre k\u00f3d v C++. <\/p>\n
Vo v\u0161eobecnosti sa aplikuje bezpe\u010dn\u00fdch met\u00f3d programovania, ktor\u00e9 predstavuj\u00fa naj\u00fa\u010dinnej\u0161iu paradigmou v\u00fdvoja v s\u00fa\u010dasnosti, ktor\u00e1 nahradila predt\u00fdm pou\u017e\u00edvan\u00e9 tri pr\u00edstupy: <\/p>\n
\n
Oprava zranite\u013enost\u00ed po ich zisten\u00ed. N\u00e1kladn\u00e9, vy\u017eaduje \u010dast\u00e9 uvo\u013e\u0148ovanie aktualiz\u00e1ci\u00ed a ich r\u00fdchle doru\u010dovanie pou\u017e\u00edvate\u013eom.\n
Predch\u00e1dzaj\u00faca ochrana, zameran\u00e1 na aplik\u00e1ciu techn\u00edk, ktor\u00e9 s\u0165a\u017euj\u00fa vyu\u017e\u00edvanie zranite\u013enost\u00ed. Cena takejto ochrany bola pokles v\u00fdkonu a neust\u00e1la hra s \u00fato\u010dn\u00edkmi.\n
Skor\u00e9 zistenie zranite\u013enost\u00ed pomocou fuzzing testovania a n\u00e1strojov ako AddressSanitizer a MemorySanitizer. Met\u00f3da iba odstra\u0148ovala sympt\u00f3my, nie pr\u00ed\u010dinu choroby, a vy\u017eadovala neust\u00e1lu pr\u00e1cu. <\/ul>\n
![\"Met\u00f3dy](\"\/wp-content\/uploads\/2024\/09\/54bbad224824c9d460e89279778c1f25.png\")
<\/center> <\/p>\n![\"Met\u00f3dy](\"\/wp-content\/uploads\/2024\/09\/c4fd262a07d59951d43ed36deaf37dde.png\")
<\/center> ![\"Met\u00f3dy](\"\/wp-content\/uploads\/2024\/09\/4f838def332f6cb8eded51169511a39a.png\")
<\/center>