首次納入法律！美國國會倡導開發者使用內存安全編碼語言

上周五，美國國會通過的2023年撥款法案中包含了一項特別值得注意的倡導：鼓勵開發者使用內存安全編碼語言，以阻止網絡對手利用大部分軟件漏洞。關于編碼語言如何支持軟件開發人員管理內存的問題最近引起了美國國家安全委員會、網絡安全和基礎設施安全局以及國會的關注。

“這是美國有史以來第一次，國會將內存安全納入法律，要求國家網絡總監研究政府層面的內存安全，很自豪能在參議院為這項規定工作！” 安全研究員Jack Cable在推特上寫道。

美國網絡安全與基礎設施安全局CISA的高級技術顧問Bob Lord，在12月6日該機構網絡安全咨詢委員會的一次會議上表示：“我們年復一年、甚至是十年又十年地看到的漏洞之中，大約有三分之二都與內存管理問題有關。”

在11月的一份信息表中，美國國家安全局NSA說：“利用糟糕或粗心的內存管理，可以讓惡意黑客實施惡意行為，例如隨意使程序崩潰或更改執行程序的指令以為所欲為。”該機構表示，“軟件程序如何管理內存是防止諸多漏洞及確保程序健壯性的核心，建議盡可能使用內存安全語言。”

劃歸到內存安全語言的有Javascript、Ruby、Python等。美國國家安全局表示，與C和C++等更常用的內存不安全語言不同，內存安全語言可以“通過控制內存的分配，訪問和管理方式提供相當大的保護。”

當然，這其中也是需要權衡取舍的。完成內存安全語言固有的檢查可能會耗費大量時間和資源。NSA補充說，“對于固有保護程度極高的語言，由于檢查和保護，可能需要大量工作才能簡單地編譯程序，內存安全在性能和靈活性方面可能代價高昂。”但是，手動檢查內存管理錯誤的代碼也可能耗時耗力，成本還可能包括處理成功的網絡攻擊的后果。

CISA高級技術顧問Bob Lord總結說：“好消息是，有一些新的編程語言是內存安全的，而且相關的一些配套技術、硬件和其他元素正在陸續出現，所以我們已有可行解決方案在手。我們需要提高人們的意識，現在是組織采取行動的時候了。”