白宫发文,呼吁开发者放弃C、C++:Rust被「钦点」内存安全

机器之心报道

编辑:杜伟、小舟

近日,在一份 19 页的报告《回归基础构件:通往安全软件之路》中,白宫国家网络主任办公室(ONCD)呼吁开发者使用「内存安全的编程语言」,比如 Rust 语言。报告指出,从一开始就选择内存安全的编程语言,是以安全设计方式开发软件的重要途径。

此外,ONCD 表示,报告中的建议是与包括科技公司、学术界和其他机构合作制定的,并收集了包括惠普、埃森哲和 Palantir 在内等多家科技公司支持报告的意见。

报告地址:https://www.whitehouse.gov/wp-content/uploads/2024/02/Final-ONCD-Technical-Report.pdf

其实,这并不是美国官方机构第一次呼吁放弃使用 C 和 C++ 了。

去年 12 月,美国网络安全和基础设施局(CISA)联合其他机构颁发了一份《内存安全路线图指南》, 其中就指出了 C 和 C++ 是内存不安全的编程语言,并呼吁软件开发商采用 Rust、Java 等其他内存安全的编程语言。

来源:https://www.cisa.gov/sites/default/files/2023-12/The-Case-for-Memory-Safe-Roadmaps-508c.pdf

放弃 C、C++,转向 Rust,只为内存安全

既然强调了要使用内存安全的编程语言,那首先来了解一下什么是内存安全。所谓内存安全是指防止处理内存访问时出现 bug 和漏洞,比如缓冲区溢出和悬空指针。

内存不安全的危害有多大呢?2019 年,微软安全工程师报告的数据是:大约 70% 的安全问题是由内存安全问题引起的。2020 年,谷歌针对在 Chromium 浏览器发现的 bug 也报告了类似的数据。

对于编程语言而言,C 和 C++ 都允许使用直接内存地址来进行任意指针运算,并且没有边界检查。报告中指出,专家发现了一些编程语言既缺乏与内存安全相关的特征,又在一些关键系统中具有高度扩散性,以 C 和 C++ 为代表。因此,C 和 C++ 被认为是「不安全的」编程语言。

与 C 和 C++ 相对应,Rust 被认为是内存安全编程语言的典型示例。Rust 是一门系统编程语言,专注于安全,尤其是并发安全。它支持函数式和命令式以及泛型等编程范式的多范式语言,且 TensorFlow 等深度学习框架也把它作为一个优秀的前端语言。

在程序员问答网站 Stack Overflow 2021 年度开发者调查报告中,Rust 语言成为最受开发者喜爱的编程语言。Rust 在系统编程领域很受欢迎,原因之一就是它可以帮助消除与内存相关的安全漏洞。

Rust 内存安全的特性早已得到业内验证。2021 年 4 月,谷歌就宣布 Android 加入对 Rust 语言支持。原因是 C 和 C++ 中的内存安全 bug 是最难解决的错误源,谷歌已经投入了大量的精力和资源来检测、修复和缓解这类 bug,并有效地防止了大量 bug 进入 Android 版本。

然而,尽管做出了这些努力,内存安全 bug 仍然是稳定性问题的主要原因,它在 Android 严重安全漏洞中长期占据大约 70% 的比例。因此,谷歌为操作系统开发者增加了第 3 个选择 Rust。

华盛顿大学计算机科学教授 Dan Grossman 表示,几十年来,大家都了解 C 和 C++ 的危险,现在终于迎来了推动内存安全编程语言的好时机,毕竟已经有了实用且成熟的替代方案。

他也认为,摆脱 C 和 C++ 并不是一朝一夕就能完成的,尤其是在嵌入系统中。不过,随着 Rust 等其他编程语言在系统软件中的更广泛应用, 这一进程预计会加快。

对于官方对 C 和 C++ 的态度,更多的人似乎并不买账。

有人认为现代 C++ 是内存安全的,所有操作系统都使用 C 或者 C++ 进行编程。也有人认为,即使 C++ 不能算是内存安全,但现代 C++ 拥有更多的「护栏」,并且成本低甚至不用花钱。

对于被「钦点」内存安全的 Rust,有人觉得它的支持程度没有那么高,也不值得集成到政府系统中。

除了 Rust,内存安全编程语言还有哪些

2022 年 11 月,美国国家安全局 (NSA) 发布了一份网络安全信息表,详细介绍了它认为内存安全的编程语言

以上这些编程语言的流行度如何呢?2024 年 2 月的编程语言流行度指标 TIOBE 显示,在编程方面,Python 排名第一,C# 排名第五,Java 排名第四,JavaScript 排名第六,Go 排名第八,Delphi/Object Pascal 排名第 12,Swift 排名第 16,Rust 排名第 18,Ruby 勉强排名第 20。

可以看到,大多数 NSA 选择的语言都在前 20 名中,只有 Ada 不在,但前十名只有 5 种。

来源:https://www.tiobe.com/tiobe-index/

该报告还呼吁更好地衡量软件安全性。ONCD 认为:更好的衡量标准使技术提供商能够在漏洞成为问题之前更好地规划、预测和缓解漏洞。

这份报告还回顾了阿波罗 13 号任务,NASA 将这次任务归类为「成功的失败」。该任务本身遭遇了灾难性的失败,三名宇航员临时进行维修并缓解了一些问题,以便安全返回家园。该报告指出:内存安全代码对于太空计划来说是非常重要的。人类探索太空应该使用一种内存安全语言,一种尽可能接近内核的语言,以免将来发生事故。

随着世界上越来越多的地方变得数字化,更好的编码变得越来越重要,不良代码可能会被恶意使用。

Rust 语言

Rust 语言是由 Mozilla 主导开发的通用、编译型编程语言。设计准则为「安全、并发、实用」,支持函数式、并发式、过程式以及面向对象的编程风格。

Rust 语言最突出的优势就是可以提供内存安全保证,而且没有额外的性能损失。在传统的系统级编程语言( C/C++) 的开发过程中,经常出现因各种内存错误引起的崩溃或 bug ,比如空指针、野指针、内存泄漏、内存越界、段错误、数据竞争、迭代器失效等等。

内存问题是影响程序稳定性和安全性的重大隐患,并且是影响开发效率的重大因素。谷歌和微软两大科技巨头曾表示:旗下重要产品程序安全问题 70% 由内存问题引发,并且这两个巨头都考虑利用 Rust 语言来解决内存安全问题。

此外,Rust 还具有优秀的跨平台性,支持交叉编译,对嵌入式环境同样友好。

然而,Rust 语言也有一些棘手的缺点。

首先,由于 Rust 存在一些特殊的语法,因此初学者入门稍显困难,例如「生命周期(lifetime)」。相比之下,Python、Java 等语言更加简单、易学。但如果你已经掌握了 C++ 语言,学习 Rust 语言就容易得多,因为借鉴了大量 C++ 的语法。

其次,Rust 语言的编译器检查非常严格,开发过程的大多数时间都是在解决编译问题。不过,一旦编译通过,开发人员就不需要关心内存安全,内存泄漏等头疼问题,只需关注业务逻辑。

https://www.tomshardware.com/software/security-software/white-house-urges-developers-to-avoid-c-and-c-use-memory-safe-programming-languages

https://www.whitehouse.gov/oncd/briefing-room/2024/02/26/memory-safety-statements-of-support/