Око 21% новог компајлираног кода у Android Број 13 је написан у језику Руст

Гуглови инжењери су сумирали прве резултате имплементације на платформу Android подршка за развој у Rust језику. Android 13 Приближно 21% новокомпилираног додатог кода је написано у Rust-у, а 79% у C/C++. У AOSP репозиторијуму (Android Пројекат отвореног кода), који развија изворни код платформе Android, у Русту постоји приближно 1.5 милиона линија кода које се односе на нове компоненте као што су складиште криптографских кључева Keystore2, стек за UWB чипове (Ultra-Wideband), имплементација DNS-over-HTTP3 протокола, AVF оквир за виртуелизацију (Android Оквир за виртуелизацију), експерименталне стекове за Bluetooth и Wi-Fi.

У складу са раније усвојеном стратегијом смањења ризика од рањивости изазваних грешкама у раду са меморијом, Руст језик се тренутно користи углавном у развоју новог кода и за постепено јачање безбедности најрањивијих и виталних софтверских компоненти. Не постоји општи циљ преношења целе платформе на Руст и стари код остаје у Ц/Ц++, а борба против грешака у њему се спроводи коришћењем фузинг тестирања, статичке анализе и употребом у развоју техника сличних користећи МирацлеПтр тип (везивање преко необрађених показивача, обављање додатних провера за приступ ослобођеним меморијским областима), Сцудо систем за доделу меморије (безбедна замена за маллоц/фрее) и механизме за откривање грешака при раду са меморијом ХВАсан (Хардвер-потпомогнут АддрессСанитизер), ГВП-АСАН и КФЕНЦЕ.

Што се тиче статистике о природи рањивости на платформи Android, примећује се да како се количина новог кода који небезбедно рукује меморијом смањује, опада и број рањивости узрокованих грешкама у меморији. На пример, удео рањивости узрокованих проблемима са меморијом смањен је са 76% у 2019. на 35% у 2022. години. У апсолутним бројевима, 223 рањивости повезане са меморијом идентификоване су у 2019. години, 150 у 2020. години, 100 у 2021. години и 85 у 2022. години (све пријављене рањивости биле су у C/C++ коду; слични проблеми још увек нису пронађени у Rust коду). 2022. година означава прву годину у којој су рањивости повезане са меморијом престале да буду доминантне.

Пошто су рањивости у вези са меморијом обично најопасније, укупна статистика такође показује смањење броја критичних проблема и проблема који се могу искористити на даљину. Истовремено, динамика идентификовања рањивости које се не односе на рад са меморијом остала је на приближно истом нивоу последње 4 године – 20 рањивости месечно. Остаје и удео опасних проблема међу рањивостима узрокованим грешкама у раду са меморијом (али како се број таквих рањивости смањује, смањује се и број опасних проблема).

Статистика такође прати корелацију између количине новог кода који небезбедно ради са меморијом и броја рањивости у вези са меморијом (препуне бафера, приступ већ ослобођеној меморији, итд.). Ово запажање потврђује претпоставку да би фокус приликом имплементације техника безбедног програмирања требало да буде на уклањању новог кода, а не на поновном писању постојећег кода, пошто је већина идентификованих рањивости у новом коду.

Извор: опеннет.ру