א פּרויעקט צו ינסטרומענט די סודאָ און סו יוטילאַטיז אין רוסט

Организация ISRG (Internet Security Research Group), которая является учредителем проекта Let’s Encrypt и способствует продвижению HTTPS и развитию технологий для повышения защищённости интернета, представила проект Sudo-rs по созданию написанных на языке Rust реализаций утилит sudo и su, позволяющих выполнять команды от имени других пользователей. Под лицензиями Apache 2.0 и MIT уже опубликована предварительная версия Sudo-rs, пока не готовая к повсеместному использованию. Проект, работа над которым началась в декабре 2022 года, планируют завершить в сентябре 2023 года.

В настоящее время работа сосредоточена на реализации в Sudo-rs функций, позволяющих использовать утилиту в качестве прозрачной замены sudo в типовых сценариях использования (конфигурации sudoers по умолчанию в Ubuntu, Fedora и Debian). В будущем планируется создать библиотеку, позволяющую встраивать функциональность sudo в другие программы, и предоставить альтернативный метод настройки, дающий возможность обойтись без разбора синтаксиса файла конфигурации sudoers. На базе реализованной функциональности sudo также будет подготовлен вариант утилиты su. Дополнительно в планах упоминается поддержка SELinux, AppArmor, LDAP, средств аудита, возможность аутентификации без использования PAM и реализация всех опций командной строки sudo.

По данным компаний Microsoft и Google около 70% уязвимостей вызваны небезопасной работой с памятью. Предполагается, что использование языка Rust для разработки su и sudo позволит снизить риск появления уязвимостей, вызванных небезопасной работой с памятью, и исключить появление таких ошибок, как обращение к области памяти после её освобождения и выход за границы буфера. Разработка Sudo-rs ведётся инженерами из Ferrous Systems и Tweede Golf на средства, предоставленные такими компаниями, как Google, Cisco, Amazon Web Services.

זשאַווער ענפאָרסיז זיקאָרן זיכערקייַט אין די קאַמפּיילינג צייט דורך רעפֿערענץ קאָנטראָלירונג, אָבדזשעקט אָונערשיפּ און אַבדזשעקץ לעבן טראַקינג (סקאָפּעס), און דורך יוואַליוייטינג די ריכטיק זיקאָרן אַקסעס אין רונטימע. זשאַווער אויך פּראָווידעס שוץ קעגן ינטאַדזשער אָוווערפלאָוז, ריקווייערז אַז די וועריאַבאַל וואַלועס זענען יניטיאַלייזד איידער נוצן, האט בעסער טעות האַנדלינג אין דער נאָרמאַל ביבליאָטעק, ניצט דעם באַגריף פון ימפּיואַטאַבאַל באַווייַזן און וועריאַבאַלז דורך פעליקייַט, און אָפפערס שטאַרק סטאַטיק טייפּינג צו מינאַמייז לאַדזשיקאַל ערראָרס.

מקור: opennet.ru