Vita husets uppmaning till minnessäkerhet ger utmaningar, förändringar och kostnader

Vita husets uppmaning till minnessäkerhet ger utmaningar, förändringar och kostnader

Tidsstämpel: 5 april 2024 10:00
Vita husets uppmaning till minnessäkerhet ger utmaningar, förändringar och kostnader PlatoBlockchain Data Intelligence. Vertikal sökning. Ai.

KOMMENTAR

Den senaste publikationen "Tillbaka till byggstenarna: A Path Toward Secure and Measurable Software” av Vita husets kontor för National Cyber ​​Director (ONCD) ger ytterligare detaljer och strategisk riktning som stöder Nationell cybersäkerhetsstrategi släpptes i mars 2023. Strategin avser att flytta en mycket större del av ansvaret för cybersäkerhet till programvaruleverantörer, tjänsteleverantörer och andra enheter som utvecklar mjukvaruapplikationer. Denna senaste rapport ger en mer specifik riktning genom att betona en aggressiv övergång till minnessäkra programmeringsspråk med praxis för mjukvaruutveckling.

Minnessäkerhet imperativ

Traditionella programmeringsspråk är ofta den svaga länken i mjukvaruutveckling, med minnessäkerhetssårbarheter som leder till betydande incidenter. Trots omfattande kodgranskningar och andra säkerhetsåtgärder kvarstår dessa sårbarheter och står för upp till 70 % av säkerhetsproblemen på dessa språk. En förändring mot minnessäkra programmeringsspråk, enligt råd från Cybersecurity and Infrastructure Security Agency (CISA) färdkarta, är ett viktigt steg mot utveckling av mjukvara som är designad.

En av de mest skrämmande utmaningarna i detta strategiska skifte är att ta itu med de äldre systemen som utvecklats i C och C++. Dessa äldre system är inte bara många utan ofta avgörande för verksamheten i många organisationer. Att skriva om dessa system på moderna, minnessäkra språk kan vara dyrt och komplicerat, vilket resulterar i stilleståndstider för kritiska affärsprocesser.

Dessutom observeras minnessäkerhetssårbarheter främst på operativsystemnivå, vilket påverkar betydande plattformar som Microsoft och Linux. Denna kategorisering av frågor på runtime-nivå, snarare än applikationsnivå, understryker den bredare utmaningen inom cybersäkerhet: strävan efter avancerade säkerhetsåtgärder måste balanseras mot de praktiska detaljerna och kostnaderna för att implementera dessa förändringar, särskilt för etablerade system.

Ekonomiska och tekniska överväganden

Många organisationer står inför enorma kostnader i samband med översyn av äldre system. Att ändra kodningsprotokoll är inte bara ett tekniskt beslut utan också ett strategiskt beslut för att säkerställa säkerheten för framtidens digitala infrastruktur. Som ett resultat måste beslutsfattare som överväger när de ska genomföra övergången utvärdera de omedelbara ekonomiska och operativa effekterna kontra de långsiktiga fördelarna.

Lyckligtvis har tekniska innovationer redan utvecklats som kan minska kostnaderna och störningen av övergången till säkrare kod. Kodanalysverktyg kan till exempel analysera äldre applikationer och semi-autonomt identifiera instanser där C- eller Python-kod körs utan ordentlig isolering. Och på grund av de senaste framstegen inom kompilatortekniken kan även värsta fall osäkra kodningsmetoder skyddas om de är skrivna på ett äldre språk. Denna utveckling bör avsevärt minska hindren för att anta säkra kodningsmetoder för organisationer av alla storlekar.

Ett samarbete mot en säker framtid

Politiker och leverantörer måste samarbeta nära för att balansera ökad säkerhet med underhåll av viktiga programvarutjänster. Att ta till sig minnessäkra programmeringsspråk, som rekommenderas av ONCD, är ett avgörande steg i denna resa och är en viktig del för att främja vår kollektiva cybersäkerhet. 

Flera branschledare har redan gjort betydande investeringar i minnessäkra språk. Exempel inkluderar: 

  • Mozillas Rust programmeringsspråk: Med sin betoning på minnessäkerhet erbjuder Rust ett gediget alternativ till traditionella programmeringsspråk som förenar säkerhet och prestanda.

  • Microsofts investering i Rust: Microsoft inser att äldre språk har begränsningar och har anammat Rust och använt det i flera nya projekt där minnessäkerhet var ett problem.

  • Googles ansträngningar för minnessäkerhet: Google har investerat avsevärda resurser för att hitta och lindra sårbarheter i minnessäkerhet och har efterlyst användning av minnessäkra språk i nya utvecklingar. Förra veckan släppte Google en ny forskningsrapport, "Secure by Design: Google's Perspective on Memory Safety", som förespråkar en säker-by-design-strategi. Rapporten fokuserar på att använda språk med robusta minnessäkerhetsfunktioner och erkänner begränsningarna med att utveckla C++ för att möta dessa standarder.

Gå framåt: Praktiska steg för att uppfylla ONCD-rekommendationerna

Vägen i den senaste ONCD-rapporten är utmanande, men rik på möjligheter. Det kräver praktiska steg från alla aktörer inom mjukvaruutveckling och cybersäkerhets ekosystem, inklusive:

  • Utbildning och träning: Organisationer måste åta sig att lära sina team om minnessäkra språk och säkra utvecklingsmetoder, för att säkerställa att utvecklare kan göra de nödvändiga förändringarna.

  • Planer för gradvis övergång: Organisationer bör skapa planer för att överföra äldre system till minnessäkra och hanterbara språk. De bör ta itu med de mest kritiska områdena först och fasa in projektet långsamt för att minimera driftstörningar.

  • Utnyttja automationsverktyg: Organisationer bör använda moderna kodanalysverktyg och kompilatorer som automatiskt hittar och åtgärdar osäkra kodpraxis och samtidigt minskar bördan av manuella processer.

  • Policy och styrning: Organisationer måste utveckla explicita styrningskonstruktioner som bakar in minnessäkerhet och säkra utvecklingsmetoder under hela mjukvaruutvecklingens livscykel.

  • Gemenskap och samarbete: Viktigt är att organisationer bör nå utanför sina väggar och det bredare tekniska samhället i forum, partnerskap och projekt med öppen källkod för att dela kunskap, utmaningar och lösningar kring minnessäkerhet som kommer med denna resa.

Förbättra säkerhet i applikationerna som driver den digitala ekonomin är ett högt och komplext men nödvändigt åtagande som kräver pågående samarbete mellan den offentliga och privata sektorn. ONCD:s senaste rapport är ett solidt nästa steg i att formulera strategin; det behövs dock mer vilja för att förverkliga visionen. Övergången till minnessäkra kodningsspråk för nya applikationer och uppdatering av äldre kod är enorma utmaningar. Men framsteg görs med de senaste framstegen inom mjukvaruanalys och kompilatorteknologier och åtaganden som demonstrerats av många globala teknikledare.

Tidsstämpel:

Mer från Mörk läsning