mboost-dp1
Memory safe
Som bekendt kører CISA jo kampagne for skift fra memory unsafe sprog til memory safe sprog.
Seneste:
https://www.bleepingcomputer.com/news/security/cis...
Men jeg synes at der mangler et perspektiv.
Opdelingen er vel OK.
Safe: Rust, Go, Java, C#, Python.
Unsafe: C, C++, Objective-C, D.
Men så lister de nogle open source projekter som er meget udbredte og skrevet i unsafe sprog.
Linux kernel, Tor, Chromium, MySQL Server, glibc, Redis, SystemD, Electron.
Og så er det at jeg taber tråden. Det er blevet for generaliseret til at give mening.
Linux kernel og glibc er nødt til (ihvertfald delvist) at være native d.v.s. kun Rust og Go fra "Safe" gruppen er muligheder. Og jeg vil formode at en kernel i 100% Rust ville have mange unsafe blokke. Visse typer kode stiller altså nogle specielle krav.
Tor, Chromium, MySQL Server og Redis er derimod applikationer som principielt kune skrives i hvad som helst.
Og hvad laver Electron på listen. Der er ikke ret meget specifik Electron kode. Electron består mest af Chromium og node.js - og Chromium er allerede på listen.
Seneste:
https://www.bleepingcomputer.com/news/security/cis...
Men jeg synes at der mangler et perspektiv.
Opdelingen er vel OK.
Safe: Rust, Go, Java, C#, Python.
Unsafe: C, C++, Objective-C, D.
Men så lister de nogle open source projekter som er meget udbredte og skrevet i unsafe sprog.
Linux kernel, Tor, Chromium, MySQL Server, glibc, Redis, SystemD, Electron.
Og så er det at jeg taber tråden. Det er blevet for generaliseret til at give mening.
Linux kernel og glibc er nødt til (ihvertfald delvist) at være native d.v.s. kun Rust og Go fra "Safe" gruppen er muligheder. Og jeg vil formode at en kernel i 100% Rust ville have mange unsafe blokke. Visse typer kode stiller altså nogle specielle krav.
Tor, Chromium, MySQL Server og Redis er derimod applikationer som principielt kune skrives i hvad som helst.
Og hvad laver Electron på listen. Der er ikke ret meget specifik Electron kode. Electron består mest af Chromium og node.js - og Chromium er allerede på listen.
Men så lister de nogle open source projekter som er meget udbredte og skrevet i unsafe sprog.
Linux kernel, Tor, Chromium, MySQL Server, glibc, Redis, SystemD, Electron.
Er det ikke bare en liste af hyppigt anvendt software og en analyse af hvor stor en del af koden der er safe og unsafe? Som en form for case-in-point?
Jeg forstår ikke 100% hvilken magt og rolle CISA har, eller tror de har. Kan de sætte krav? Eller er det alene at lave retningslinier og diverse cerfitikationer?
Bør de ikke "bare" lave en "no unsafe code following best practices" certifikation, og så pushe den. Så må industrien tage opgaven på sig, og bruge den når det giver mening.
larsp (2) skrev:Men så lister de nogle open source projekter som er meget udbredte og skrevet i unsafe sprog.
Linux kernel, Tor, Chromium, MySQL Server, glibc, Redis, SystemD, Electron.
Er det ikke bare en liste af hyppigt anvendt software og en analyse af hvor stor en del af koden der er safe og unsafe? Som en form for case-in-point?
Jo.
Men der ligger vel en implicit p[stand om at de burde omskrives til memory safe.
Og skal man igang med det så er der stor forskel på projekterne.
larsp (2) skrev:
Jeg forstår ikke 100% hvilken magt og rolle CISA har, eller tror de har. Kan de sætte krav? Eller er det alene at lave retningslinier og diverse cerfitikationer?
Bør de ikke "bare" lave en "no unsafe code following best practices" certifikation, og så pushe den. Så må industrien tage opgaven på sig, og bruge den når det giver mening.
Det er et agentur under Homeland Security ministeriet med opgave at forbedre sikkerheden for samfundskritiske systemer.
Jeg deres rolle er at bringe problemer op og foreslå løsninger.
Opret dig som bruger i dag
Det er gratis, og du binder dig ikke til noget.
Når du er oprettet som bruger, får du adgang til en lang række af sidens andre muligheder, såsom at udforme siden efter eget ønske og deltage i diskussionerne.
- Forside
- ⟨
- Forum
- ⟨
- Tagwall
Gå til bund