Bellek güvenliği sorunlarının neden olduğu Android güvenlik açıklarının yüzdesi, 2019'da% 76'dan 2024'te sadece% 24'e düştü ve beş yılda% 68'in üzerinde büyük bir düşüşü temsil etti.
Bu, Chromium'da daha önce bulunan% 70'inin çok altında, Android'i büyük bir projenin geriye dönük uyumluluğu kırmadan kademeli ve metodik olarak güvenli bir bölgeye nasıl geçebileceğinin mükemmel bir örneği haline getiriyor.
Google, bu sonucu Rust gibi bellek güvenli dillerde yazılacak yeni kodlara öncelik vererek ve yeni kusurların zamanla tanıtılmasını en aza indirerek elde ettiğini söylüyor.
Aynı zamanda, eski kod, birlikte çalışabilirliği zayıflatacak kapsamlı yeniden yazmalar yapmak yerine önemli güvenlik düzeltmelerine odaklanan minimal değişikliklerle korunmuştur.
Google'ın raporu, "Öğrendiklerimize dayanarak, mevcut tüm bellek-safe kodumuzu atmamız veya yeniden yazmamız gerekmediği açık hale geliyor."
"Bunun yerine, Android, hafıza güvenliği yolculuğumuzda birincil bir özellik olarak birlikte çalışabilirliği güvenli ve kullanışlı hale getirmeye odaklanıyor."
Bu strateji, eski kodu olgunlaştırır ve zamanla daha güvenli hale gelir, bu da hangi dilde yazıldığına bakılmaksızın, içindeki bellekle ilgili güvenlik açıklarının sayısını azaltır.
Android bina stratejisindeki bu iki sütun, dünyanın en yaygın kullanılan mobil platformunda bellek kusurlarının dramatik olarak azalmasına yönelik sinerjik bir etkiye sahipti.
Google, eski kodu değişmeden bırakmanın riskli görünse de ve yeni kodun daha iyi test edilmesi ve gözden geçirilmesi beklense de, ne kadar sezgisel görünmesine rağmen tam tersinin gerçekleştiğini açıklıyor.
Bunun nedeni, son kod değişikliklerinin çoğu kusuru tanıtmasıdır, bu nedenle yeni kod neredeyse her zaman güvenlik sorunları içerir. Aynı zamanda, geliştiriciler kapsamlı değişiklikler yapmadıkça, eski koddaki hatalar ütülenir.
Google, endüstrinin kendisi de dahil olmak üzere, aşağıdaki gibi özetlenen bellek güvenliği kusurlarıyla başa çıkmada dört ana aşamadan geçtiğini söylüyor:
Google, "Sektördeki ürünler bu yaklaşımlarla önemli ölçüde güçlendirildi ve güvenlik açıkları için yanıt vermeye, hafifletmeye ve proaktif olarak avlanmaya kararlıyız."
"Bunu söyledikten sonra, bu yaklaşımların sadece bellek güvenliği alanında kabul edilebilir bir risk seviyesine ulaşmak için yetersiz olduğu, aynı zamanda geliştiricilere, kullanıcılara, işletmelere ve ürünlere devam eden ve artan maliyetlere katıldığı giderek daha açık hale geldi.
"CISA da dahil olmak üzere çok sayıda devlet kurumunun vurgulandığı gibi, güvenli tasarım raporlarında," sadece tasarım uygulamaları ile güvenli bir şekilde dahil ederek, sürekli olarak düzeltme yaratma ve uygulama kısır döngüsünü bozacağız. "
Geçen Haziran ayında, ABD Siber Güvenlik ve Altyapı Güvenlik Ajansı (CISA), en çok kullanılan açık kaynaklı projelerin% 52'sinin bellek-safe dilleri kullandığı konusunda uyardı.
Bellek güvenli dillerde yazılan projeler bile genellikle bellek-safe dillerinde yazılmış bileşenlere bağlıdır, bu nedenle güvenlik riski ele alınması karmaşıktır.
CISA, yazılım geliştiricilerinin Rust, Java gibi bellek güvenli dillerde yeni kod yazmasını ve mevcut projeleri, özellikle kritik bileşenleri bu dillere geçmesini önerdi.
Google Backports Pixel EOP kusurunu diğer Android cihazlara düzeltme
Android kötü amaçlı yazılım 'Necro' Google Play aracılığıyla 11 milyon cihazı bulaştı
Yeni VO1D kötü amaçlı yazılım 1,3 milyon Android akış kutusuna bulaştı
Bilgisayar korsanları PWA uygulamaları aracılığıyla iOS, Android kullanıcılarından bankacılık kredileri çalıyor
Chrome, Android ekranını paylaştığınızda kredi kartlarını, şifreleri düzeltecektir.
Kaynak: Bleeping Computer