Verbeterde beveiligingsmaatregelen voor de taal Rust benadrukt door Rust Foundation

Verbeteringen in de richting van een veilige structuur van de programmeertaal Rust zijn benadrukt door de Rust Foundation. In hun recente Security Initiative Report benadrukte de organisatie hun zekerheid om nieuwe tools, functies en aanbevelingen te smeden op basis van beveiligingsonderzoek.

De beoordeling van de voortgang van Rust komt in het kielzog van het National Cybersecurity Strategy Implementation Plan van het Witte Huis. Dit plan voorziet in een aanzienlijke investering van de overheid in de ontwikkeling van veilige programmeertalen zoals Rust. Bestaande, populaire talen worden snel erkend als 'veilig', maar moeten snel vooruitgang boeken in het oplossen van veiligheidsleemtes in de ontluikende fase van bredere acceptatie.

Een van de hoofddoelen van deze strategie is om het gebruik van 'geheugenveilige programmeertalen' te stimuleren en tegelijkertijd de veiligheid van open-source software te bevorderen. Van deze talen heeft Rust snel terrein gewonnen en is het uitgegroeid tot een geheugenveilig alternatief waar veel mensen de voorkeur aan geven.

De Rust Foundation is een uitgebreid onderzoek gestart naar de beveiliging binnen het Rust ecosysteem. Het onderzoek is bedoeld om de Rust Foundation en het hele project in staat te stellen om potentiële risico's beter te voorspellen en tegelijkertijd te bepalen hoe de beveiliging kosteneffectief kan worden gehandhaafd over een lange periode.

Dit jaar heeft het Rust-team zich gericht op het vergroten van het inzicht in de beveiliging van kratten en het accentueren van gerelateerde informatie. Op dit moment richten ze zich op de beveiliging van de toeleveringsketen van software, waarvoor ze samenwerken met de teams van Rust Foundation en crates.io. Hun inspanningen omvatten het onthullen van individuele kratbeveiligingsgegevens, inclusief evaluaties van gelekte geheimen, het detecteren van schadelijke kratten en het opstellen van scoringsmodellen voor best practices op het gebied van beveiliging.

Tot nu toe is het team nog niet in aanraking gekomen met actief schadelijke kratten. Ze hebben echter wel meerdere gevallen van gelekte referenties ontdekt, waardoor proactieve stappen zijn ondernomen om in contact te komen met de betrokken krat-eigenaren om de problemen op te lossen, zoals in het rapport staat.

De Rust Foundation en het Rust Project hebben ook dreigingsmodellen opgesteld om dieper in te gaan op de risico's die tijdens de beveiligingsaudit aan het licht zijn gekomen. Bij het opstellen van vier afzonderlijke dreigingsmodellen werd samengewerkt met verschillende interne teams, zoals het crates.io Team, het Infrastructure Team, de Security Response Working Group en de Secure Code Working Group. Externe belanghebbenden maakten ook deel uit van dit initiatief. De details van al deze bedreigingsmodellen zullen naar verwachting binnenkort worden vrijgegeven aan de community.