Microsoft Security Response Centre (MSRC) har undersøgt hver eneste sårbarhed i Microsofts programmer siden 2004.
Konklusionen er klar: Langt de fleste fejl handler, som man nok ville forvente, om usikker håndtering af hukommelse i programmerne.
Men hvad hvis man helt kunne slippe for denne type fejl?
Det spørgsmål stiller Gavin Thomas, som er ledende sikkerhedschef i MSRC, i et blogindlæg.
Størstedelen af de sårbarheder, der rettes og får tildelt et CVE-sårbarhedsnummer, skyldes at programmørerne uforvarende kommer til at indsætte fejl i håndteringen af hukommelse i kode skrevet i C og C++.
Når Microsoft øger sin kodebase og benytter mere open source-software i sin kode, bliver dette problem ikke bedre, men værre. Andre producenter, der også arbejder med C og C++ oplever det samme.
Der findes hukommelsessikre sprog som C# og Java, men C og C++ kan nogle tricks, som de sikre sprog ikke kan tilbyde i helt samme omfang.
C++ har nemlig dyder, der gør det attraktivt og i visse tilfælde helt uomgåeligt.
Sproget er forrygende hurtigt, det kan køre med begrænset hukommelse og diskforbrug, det er et modent sprog, det har forudsigelig afvikling, og dets platform-uafhængighed er næsten uden sidestykke. Endelig kræver det ikke nødvendigvis installation af andre biblioteker eller komponenter.
En ideel løsning er efter Gavin Thomas' mening et sprog, der kombinerer de sikkerhedsgarantier, som et .Net-sprog som C# giver, med den effektivitet, som C++ kan byde på.
Og måske findes det sprog allerede, mener Microsoft-manden.
Et af de mest lovende nyere system-sprog, der opfylder disse krav, er Rust, et programmeringssprog oprindeligt opfundet af Mozilla, til at skabe en hurtigere og mere stabilt Firefox.
Sikker hukommelse med ejerskab på variable
Rust har en ambition om at være en slags sikker C ved hjælp af bestemte sprogkonstruktioner.
I Rust er der ejerskab på værdier. Man kan tænke på det, som om at man ejer eller udlåner værdier. Når man kalder en funktion med parametre, overfører man ejerskabet på en datastruktur. Efter funktionskaldet kan datastrukturen ikke længere bruges af kaldet, for ejerskabet er væk. Det er kompilerens såkaldte ‘borrow checker’ - 'låne-tjekker' - der holder øje med at reglerne overholdes.
En måde at tænke på det er, som at man rundsender ejerskabet til værdier, og det er meget anderledes end de fleste andre sprog, hvor man kan gøre, hvad man har lyst til, så længe variablen er i virkefeltet.
En anden operation i Rust er det at ‘låne’ en værdi. I stedet for at overføre ejerskab til en funktion kan programmøren overføre en reference, som kan være kun-læs eller læs-og-skriv (immutable og mutable). Hvis referencen kun kan læses, kan kaldet stadig få lov at læse. Og når funktionen er færdig med sit arbejde, har kaldet igen fuld kontrol over værdien.
Det hele betyder, at hukommelse kan frigives automatisk uden problemer, når en variabel falder ud af virkefeltet, altså når programudførslen rammer den sidste lokale tuborg-parentes i en kodeblok. Det betyder også, at samtidige tråde ikke uforvarende kommer til at ændre variablens værdi, med uforudsigelig opførsel til følge.
Og det er det, der gør koden mere sikker og stabil, samt nemmere at fejlsøge.
Moderne C++ har en facilitet der tilsvarer Rusts ejerskab, med navnet ‘smart pointers’, men til forskel fra Rust er det meget nemt at slippe for at anvende dem. I Rust skal der stå ‘unsafe’ i koden, før man kan slippe for de skrappe regler.
Det betyder dog også, at en simpel datastruktur som en 'linked list' ikke kan skabes i Rust uden 'unsafe', da cirkulære referencer er forbudt af låne-tjekkeren.
Masser af værktøjer - men problemet er et andet sted
Der findes masser af værktøjer, der kan hjælpe udviklere med at skrive sikker kode. Det drejer sig om statiske analyseværktøjer, som kan være komplekse og svære at lære at bruge, samt såkaldte 'fuzzing'-teknikker, der giver store stakke af program-crashes, der derefter skal analyseres.
Der findes også bunker af vejledninger og retningslinjer, der skal holde programmørerne fra fedtefadet. Men der er måske en bedre måde at komme frem til mere sikre programmer på, mener Gavin Thomas.
Kernen i en udviklers arbejde er ikke at bekymre sig om sikkerhed, men at skrive kode, der fører til ny funktionalitet i et program. Her kan et sikkert sprog som Rust bruges til noget. Det er et af de mest lovende nye sprog til systemprogrammering, lyder vurderingen:
»Måske er det tid til at smide de usikre gamle sprog ud og gå over til et moderne og mere sikkert system-programmeringssprog?« slutter Gavin Thomas, og lover at sikkerhedsbloggen i fremtiden vil kigge mere på den rolle, Rust kan spille i Microsofts verden.
