백악관에 따르면, 개발자들이 선호하는 일부 프로그래밍 언어는 최대한의 안전이 요구되는 시스템에 가장 큰 보안 위험을 초래한다고 합니다.
정부가 승인한 ONCD(Office of the National Cyber Director)는 최근 개발자에게 다양한 "메모리 안전 프로그래밍 언어"를 사용할 것을 권장한다는 내용을 자세히 설명하는 보고서를 발표했습니다 . 이 목록에는 메모리 안전에 결함이 있어 보안 위험이 있는 것으로 간주되는 C 및 C++와 같은 인기 있는 언어는 제외되었습니다.
Tom's Hardware가 지적했듯이 메모리 안전은 버그와 취약점을 방지하는 메모리 액세스에 내재된 보호입니다. 이러한 예에는 메모리 안전 언어로 간주되는 Java의 런타임 오류 감지 검사가 포함됩니다. 그러나 C와 C++에는 안전 검사가 없으며 메모리에 직접 액세스할 수 있습니다.
Microsoft 및 Google을 포함한 여러 회사에서는 보안 취약성을 시스템의 메모리 안전 문제와 연결했습니다. 2019년에 Microsoft는 보안 취약점의 약 70%가 메모리 안전 문제로 인해 발생한다는 사실을 발견했습니다. Google은 Chromium 브라우저의 버그와 관련하여 2020년에도 동일한 수치를 보고했습니다. 특히 Microsoft는 최근에야 개발자가 C++와 같은 언어를 사용할 수 있도록 자체 App Store 의 호환성을 확장했습니다.
C와 C++는 안전 확인 기능이 내장되어 있지 않은 프로그래밍 언어 중 하나이기 때문에 ONCD는 대규모 조직, 기술 회사, 정부 기관 내에서는 C와 C++를 사용하지 말 것을 권장합니다. 이 조언은 “사이버 공간의 구성 요소를 확보”하려는 조 바이든 대통령의 사이버 보안 전략과 일치합니다.
그럼에도 불구하고 ONCD에는 승인된 프로그래밍 언어 목록이 없으며 단순히 회사에 소프트웨어에 대한 분별력을 사용하는 동시에 보안 문제를 최소화하기 위해 메모리 안전 하드웨어를 선택하도록 요청했습니다. 이것이 승인된 목록에 가장 가까운 것은 2022년 NSA(국가 안보국)가 고안한 목록입니다. 메모리 안전 언어는 다음과 같습니다.
- 녹
- 가다
- 씨#
- 자바
- 빠른
- 자바스크립트
- 루비
Tom's Hardware는 이러한 언어가 보안 측면에서 테스트를 통과할 수 있지만 그 중 다수가 개발자가 선호하는 언어는 아니라고 지적했습니다. 간행물은 해당 언어가 상위 20위 안에 있지만 그 중 C#, Java, Python 및 JavaScript 4개만이 개발자들에게 지속적으로 인기가 있다고 덧붙였습니다.
이 보고서는 권장 사항이 아니라 규칙입니다. 시간이 지남에 따라 회사와 개발자가 이를 어떻게 활용하는지 보는 것은 흥미로울 것입니다.