来源：互联网 时间：2020-05-27 11:00:28
Chrome工程师在本周的博客文章中(通过ZDNet)透露，Chrome代码库中将近70%的错误是与内存管理和安全相关的错误。这些错误中几乎有一半是释放后使用错误，这些错误在程序释放指针后使用指针时发生。这些是最常见的浏览器漏洞类别，黑客可以利用它们来攻击Chrome的内部组件。
Chrome工程师自2015年以来共分析了912个高危和严重的安全漏洞，发现这些漏洞中有近36.1%是“售后使用”漏洞，32.9%是内存不安全漏洞，而7.1%是与安全相关的漏洞。这些错误在我们的代码库中平均分布，并且很大一部分非安全稳定性错误具有相同的根本原因。这些漏洞不仅给我们的用户带来风险，而且还给我们修复和交付Chrome带来了实际成本。工程师在博客中指出。
有趣的是，这些数字与去年微软在安全会议上分享的数字相同。据ZDNet报道，去年一位Microsoft工程师透露，Microsoft产品中几乎70%的错误都是内存安全问题。
这两个平台之间的另一个相似之处是C和C ++的用法。这些是开发人员使用的旧编程语言。当他们犯内存分配错误并且通常被认为“不安全”时，它们不会警告或限制开发人员。这些早期错误如果未被发现，可能会在应用程序中创建漏洞，进而为黑客提供控制Chrome进程的网关。
谷歌表示，沙箱技术是工程师用来防止黑客接管主机的最常用技术之一。“在过去的几年中，架构得到了增强，以确保网站彼此隔离。巨大的努力使我们-仅-能够领先于攻击者。但是我们正在达到沙盒和网站隔离的极限。”
与内存管理相关的问题已经变得如此之大，以至于工程师现在正在使用Rule of 2编写代码。此规则表示工程师不能破坏以下三个规则中的两个：
-处理不当输入的代码
-用不安全的语言编写的代码(C / C ++)
-在没有沙箱的情况下运行的代码。
但是，使用2规则会阻止开发人员将功能交付给Chrome。
该公司通过“大规模修复错误类别，而不是仅仅包含它们”来解决此问题。它期望其新策略能够对C ++开发人员的体验带来重大改变。除此之外，Google还正在探索“一种为编译时安全检查而设计的编程语言，其对运行时性能的影响较小。”
相关推荐
猜你喜欢
