Josh Aas, CEO van de Internet Security Research Group (ISRG, moederorganisatie van het Let's Encrypt-project) maakte het bekend vorige week door te posten zijn bedoelingen om Miguel Ojeda . te steunen (Linux-kernelontwikkelaar en software-engineer), met als doel de inspanningen te coördineren om kritieke software-infrastructuur te verplaatsen naar geheugenveilige code.
En is dat de ISRG de prominente ontwikkelaar Miguel Ojeda een? een jaar contract om bij Rust op Linux te werken en andere fulltime beveiligingsinspanningen.
Volgens Miguel Ojeda, de voordelen van het introduceren van de taal Roest op de Linux-kernel opwegen tegen de kosten. Voor de ontwikkelaar, bij het gebruik van Rust op de Linux-kernel, nieuwe code geschreven in Rust heeft een verminderd risico op geheugenbeveiligingsfouten, dankzij de eigenschappen van de Rust-taal. De Rust-taal zou populair zijn vanwege zijn veiligheid.
Pogingen om Rust een levensvatbare taal te maken voor de ontwikkeling van Linux-kernels begonnen op de Linux Plumbers 2020-conferentie, met het idee van Linus Torvalds zelf.
Torvalds heeft specifiek verzocht om de beschikbaarheid van de Rust-compiler in de standaard kernel-buildomgeving om dergelijke inspanningen te ondersteunen, niet om alle Linux-kernelbroncode te vervangen door door Rust ontwikkelde equivalenten, maar om nieuwe ontwikkeling goed te laten functioneren.
Rust gebruiken voor nieuwe code in de kernel kan nieuwe hardwarestuurprogramma's betekenen of zelfs GNU Coreutils vervangt, vermindert mogelijk het aantal verborgen kernelbugs. Rust staat een ontwikkelaar eenvoudigweg niet toe om geheugen te lekken of de mogelijkheid te creëren van bufferoverloop, de belangrijkste bronnen van prestaties en beveiligingsproblemen in complexe C-taalcode.
Het nieuwe contract Onderzoeksgroep internetbeveiliging verleent Ojeda een voltijdsalaris om het geheugenbeveiligingswerk voort te zetten Ik deed al parttime. Josh Aas, CEO van ISRG, merkt op dat de groep nauw heeft samengewerkt met Google-ingenieur Dan Lorenc en dat de financiële steun van Google essentieel is om het lopende werk van Ojeda te sponsoren.
"Grote inspanningen om hele klassen van beveiligingsproblemen te elimineren zijn de beste investeringen op grote schaal", zei Lorenc, eraan toevoegend dat Google "verheugd is om ISRG te helpen het werk van Miguel Ojeda te ondersteunen om de geheugenbeveiliging te verbeteren. kernel voor iedereen ».
“ISRG's Prossimo-geheugenbeveiligingsproject heeft tot doel de inspanningen te coördineren om kritieke software-infrastructuur van het internet te verplaatsen om code in het geheugen te beschermen. Als we denken aan de meest kritieke code voor internet van vandaag, staat de Linux-kernel bovenaan de lijst. Geheugenbeveiliging naar de Linux-kernel brengen is een grote klus, maar het Rust voor Linux-project boekt grote vooruitgang. We zijn verheugd aan te kondigen dat we officieel zijn begonnen met het ondersteunen van dit werk in april 2021 door Miguel Ojeda een contract te geven om voor een jaar aan Rust voor Linux en andere fulltime beveiligingsinspanningen te werken. Dit werd mogelijk gemaakt door financiële steun van Google. Voordat Miguel bij ISRG werkte, deed hij dit werk als een nevenproject. We dragen graag ons steentje bij om de digitale infrastructuur te ondersteunen door je daar fulltime te laten werken.
“We hebben nauw samengewerkt met Dan Lorenc, Google software engineer om deze samenwerking mogelijk te maken.
Het werk van Ojeda is het eerste gesponsorde project onder de Prossimo-vlag van de ISRG, maar het is niet de eerste stap die de organisatie heeft gezet naar meer geheugenbeveiliging. De eerdere initiatieven omvatten een beveiligde TLS-module in-memory voor de Apache-webserver, een in-memory veilige versie van de curl en rustls-hulpprogramma voor gegevensoverdracht, een in-memory veilig alternatief voor de alomtegenwoordige OpenSSL-netwerkversleutelingsbibliotheek.
Zoals Josh Aas uitlegt,
"Hoewel dit de eerste inspanning op het gebied van geheugenbeveiliging is die we hebben aangekondigd onder onze nieuwe projectnaam Prossimo, begon ons werk voor geheugenbeveiliging in 2020 en de Apache HTTP-server, en om verbeteringen toe te voegen aan de Rustls TLS-bibliotheek." .
bron: https://www.memorysafety.org