美國(guó)白宮國(guó)家網(wǎng)絡(luò)主任辦公室（ONCD）近日發(fā)布題為《回到基礎(chǔ)構(gòu)件：通往安全軟件之路》的報(bào)告，呼吁業(yè)界加大內(nèi)存安全投資，并鼓勵(lì)技術(shù)社區(qū)積極采用內(nèi)存安全編程語(yǔ)言，例如Rust、Python、Swift、C#、Java和Go等。

內(nèi)存安全漏洞是指編程語(yǔ)言中以意外的方式訪問(wèn)、寫(xiě)入、分配或釋放內(nèi)存的一類(lèi)漏洞。惡意行為者可能利用這類(lèi)漏洞非法訪問(wèn)、破壞數(shù)據(jù)或運(yùn)行任意惡意代碼。

過(guò)去幾十年，軟件開(kāi)發(fā)者通過(guò)各種方法不斷嘗試解決普遍存在的內(nèi)存安全漏洞問(wèn)題（例如開(kāi)發(fā)者培訓(xùn)、代碼覆蓋、安全編碼指南、模糊測(cè)試、靜態(tài)/動(dòng)態(tài)應(yīng)用安全測(cè)試），但收效甚微。

75%的漏洞與內(nèi)存安全有關(guān)

根據(jù)Horizon3.ai發(fā)布的2023年漏洞利用分析報(bào)告，內(nèi)存安全問(wèn)題是僅次于“注入”的第二大漏洞原因，75%的內(nèi)存安全漏洞被攻擊者作為零日漏洞利用。Horizon3.ai首席攻擊工程師ZachHanley表示，還有25%的漏洞起初由安全研究人員發(fā)現(xiàn)，之后才追溯到曾被用于零日漏洞攻擊。

美國(guó)國(guó)家網(wǎng)絡(luò)總監(jiān)助理Anjana Rajan列舉了1988年的Morris蠕蟲(chóng)、2003年的Slammer蠕蟲(chóng)、2014年的Heartbleed漏洞、2016年的Trident漏洞以及2023年的Blastpass漏洞，指出這些漏洞的根源均為內(nèi)存安全問(wèn)題。

Rajan表示，過(guò)去35年來(lái)，內(nèi)存安全漏洞一直困擾著數(shù)字生態(tài)系統(tǒng)，但并非無(wú)解。白宮的ONCD報(bào)告由工程師編寫(xiě)，旨在鼓勵(lì)開(kāi)發(fā)者在選擇構(gòu)建模塊時(shí)做出有利于安全性的決策，從而大幅縮小網(wǎng)絡(luò)攻擊面，保護(hù)數(shù)字生態(tài)系統(tǒng)乃至國(guó)家安全。

內(nèi)存安全語(yǔ)言與內(nèi)存安全硬件的價(jià)值

ONCD報(bào)告闡述了內(nèi)存安全編程語(yǔ)言和內(nèi)存安全硬件的形式化方法的重要性。這些方法可以幫助軟件開(kāi)發(fā)人員避免多種軟件漏洞（不僅僅是內(nèi)存安全漏洞）。

報(bào)告還強(qiáng)調(diào)了內(nèi)存安全硬件的重要性，因?yàn)閷?duì)于某些系統(tǒng)（例如太空系統(tǒng)），可能無(wú)法使用內(nèi)存安全語(yǔ)言，報(bào)告探討了如何通過(guò)硬件實(shí)現(xiàn)內(nèi)存安全的補(bǔ)充方法。例如，一些制造商已經(jīng)開(kāi)發(fā)了新的內(nèi)存標(biāo)簽擴(kuò)展（MTE）來(lái)檢查內(nèi)存位置的指針的有效性。

報(bào)告指出，內(nèi)存安全編程語(yǔ)言（MSL）是減少內(nèi)存安全漏洞的最高效方法。將不安全的代碼庫(kù)遷移到內(nèi)存安全語(yǔ)言的長(zhǎng)期收益遠(yuǎn)大于短期的遷移成本。

Trail of Bits首席執(zhí)行官Dan Guido指出，形式化方法結(jié)合內(nèi)存安全編程語(yǔ)言，能夠提供一種消除軟件漏洞的強(qiáng)大框架，其精準(zhǔn)度至今無(wú)出其右。

白宮強(qiáng)調(diào)，ONCD報(bào)告旨在將網(wǎng)絡(luò)安全責(zé)任從個(gè)人和小企業(yè)轉(zhuǎn)移到大型科技公司和聯(lián)邦政府等大型組織身上。報(bào)告指出，美國(guó)網(wǎng)絡(luò)安全和基礎(chǔ)設(shè)施安全局(CISA)、美國(guó)國(guó)家安全局(NSA)、聯(lián)邦調(diào)查局(FBI)等機(jī)構(gòu)聯(lián)合發(fā)布的《內(nèi)存安全路線圖指南》報(bào)告（鏈接在文末），為制造商提供了消除產(chǎn)品內(nèi)存安全漏洞的指導(dǎo)性步驟。

白宮報(bào)告還提及了軟件可測(cè)量性問(wèn)題，并呼吁學(xué)術(shù)界參與其中，共同開(kāi)發(fā)更好的診斷工具來(lái)評(píng)估網(wǎng)絡(luò)安全質(zhì)量。

行業(yè)專(zhuān)家觀點(diǎn)：從關(guān)鍵太空系統(tǒng)開(kāi)始

霍尼韋爾互聯(lián)企業(yè)首席技術(shù)官Jason Urso認(rèn)為，將內(nèi)存安全編程納入軟件設(shè)計(jì)流程，將成為網(wǎng)絡(luò)防御工具包的重要補(bǔ)充，該工具包中的其他工具還包括網(wǎng)絡(luò)隔離、高安全模型以及實(shí)時(shí)威脅和漏洞評(píng)估。

斯坦福大學(xué)計(jì)算機(jī)科學(xué)教授Dan Boneh則表示，如果能夠?qū)⑺鞋F(xiàn)有軟件“神奇地“轉(zhuǎn)換為內(nèi)存安全語(yǔ)言，軟件質(zhì)量將會(huì)得到極大提升，但遺憾的是，這種“魔法棒”目前并不存在。

Boneh認(rèn)為，白宮采取了務(wù)實(shí)的措施，建議從關(guān)鍵太空系統(tǒng)開(kāi)始實(shí)施內(nèi)存安全編程，這是一個(gè)很好的測(cè)試平臺(tái)。防止內(nèi)存安全漏洞只是邁向更安全軟件的第一步，形式化驗(yàn)證和限制技術(shù)也是重要的安全工具，很高興看到白宮呼吁加大對(duì)此類(lèi)技術(shù)的投資。