美国推动软件开发人员采用内存安全语言 - 彭博社

摄影师：RossHelen/iStockphoto上个月底，联邦政府再次尝试推动软件开发人员远离C和C++编程语言。尽管这两种语言支撑着当今大部分技术，但微妙的编程错误可能会使网络安全和IT系统面临风险。

在一份19页的报告中，美国国家安全局和网络安全与基础设施安全局呼吁软件开发人员采用“内存安全语言”——如Java和Python——以减少计算机事故。

这涉及相当技术性的内容，但网络安全专家表示，内存管理缺陷已导致安全漏洞、系统崩溃和运营中断。这是因为C和C++编程语言让开发人员对计算机存储信息的方式和位置有更大的控制权。但这可能导致错误。例如，Chromium项目（谷歌主导的Chrome浏览器背后的项目）发现其70%的“严重”安全漏洞源于用这两种语言编写的代码中的内存安全问题。谷歌发言人引用了此前关于此问题的声明。“过去几十年来，内存损坏漏洞一直是攻击软件的标准手段，”谷歌在2022年的一份声明中表示。“攻击者至今仍以此得手。”

去年，谷歌在一份声明中表示，虽然公司管理着其他语言的大型代码库，但也维护着数亿行C++代码。然而，该公司称全面重写所有C++代码可能仍"不切实际"。

美国网络安全和基础设施安全局（CISA）与国家安全局（NSA）的报告指出，内存安全漏洞长期困扰着软件系统。例如，报告中提到2014年发现的"心脏滴血"漏洞就导致包括数百万份医院患者数据在内的敏感个人信息被盗。根据公民实验室（Citizen Lab）的调查，针对民间社会组织的间谍软件正是利用了内存安全漏洞。

美国联邦机构敦促软件开发人员使用"内存安全语言"编程，这类语言虽然降低了对计算机内存存储的控制权，但能显著减少风险。根据CISA的说法，这些语言"通过自动管理计算机内存，使程序员无法引入内存安全漏洞"。

CISA与NSA的报告强调：“内存安全的重要性怎么强调都不为过。”

即便所有人都愿意转型，过渡过程仍将面临阻力。

以C和C++编程谋生的软件开发者可能不愿切换语言。此外，这些传统语言通常比内存安全替代方案的运行速度更快。

麻省理工学院信息技术教授斯图尔特·马德尼克表示，随着计算机性能普遍提升且成本降低，许多应用场景中这类担忧已逐渐消退。

但他指出，某些计算机程序仍可能特别受益于C和C++的速度优势。例如部分国防技术依赖极速响应，而像某些人工智能模型等需要大量计算资源的程序，即使效率的微小提升也能节省巨额成本。政府报告认为，对机构而言逐步改进比彻底废弃所有C和C++代码更为可行。

加州大学伯克利分校网络安全专家、助理教授丹尼尔·阿兰基建议：“在维护现有代码库时，应尽可能逐步用内存安全语言重写部分模块。虽然这比暂停所有开发一次性重写耗时更长，但却是更实际可行的方案。”

本周要闻

两名民主党议员指出，网络安全与基础设施安全局(CISA)的选举安全工作人员"因害怕遭到报复，不敢与州和地方选举官员及供应商合作"。纽约州民主党众议员约瑟夫·D·莫雷尔与加州民主党参议员亚历克斯·帕迪利亚在周一联名信中表示，他们担忧资金和人员削减问题，要求CISA领导层紧急说明该机构此前支持的多个选举安全项目现状。这已是议员们第四次发出此类信函。

“CISA在重大调整机构人员与使命期间，屡次未能回应我们的信息请求，这是不可接受的，”议员们写道。“我们对CISA向国会监督委员会提供的信息匮乏以及对我们的问题缺乏实质性回应深感不安。”

“我们正让CISA重新专注于作为美国网络防御机构的使命，”CISA公共事务主任Marci McCarthy在回应议员质询时表示。——Patrick Howell O’Neill

今日阅读

• 马斯克的xAI公司正着手删除Grok的‘不当’帖子。
• 加巴德团队已寻求获取情报机构数据以推进特朗普议程。
• 这场AI数据抓取之争或将改变互联网未来格局。
• 伊朗勒索软件组织提高针对以色列和美国的攻击赏金。
• 美国司法部称，中国国家支持的合同制黑客应美方要求在意大利被捕。

**有新闻线索吗？**您可以通过以下方式联系Cameron Fozi：[email protected]。您还可以使用我们的SecureDrop安全匿名发送文件。

更多来自Bloomberg的内容

获取《科技深度解析》及更多Bloomberg科技通讯，直接发送至您的邮箱：

• 游戏进行时——深入探索电子游戏产业
• 开机启动——获取苹果独家新闻、消费科技资讯等
• 荧幕时光——前排围观好莱坞与硅谷的碰撞
• 声音片段——报道播客、音乐产业及音频趋势
• 问答AI——解答您关于人工智能的所有疑问