कौन सी प्रोग्रामिंग लैंग्वेज सबसे कम सुरक्षित हैं?

व्हाइटसोर्स के एक समीक्षा से पता चला कि कौन सी प्रोग्रामिंग भाषाओं में सबसे बड़ा सुरक्षा छेद है। विरोधी रेटिंग का विजेता सी है। लेकिन यह केवल कहानी की शुरुआत है।

एक पूरे के रूप में प्रौद्योगिकी सुरक्षा कीड़े के साथ भरवां है। निम्न स्तर पर, ये हार्डवेयर में त्रुटियां हैं। तो यह इंटेल भेद्यता और स्पेक्टर त्रुटियों के साथ था। प्रोग्रामिंग भाषाओं की सुरक्षा में थोड़ा अधिक छेद हैं। और उनमें से एक बहुत हैं!

हाल ही में, एक सुरक्षा कंपनी, OpenSource WhiteSource ने पिछले दस वर्षों में सबसे आम प्रोग्रामिंग भाषाओं में से सात में भेद्यता अनुसंधान किया। त्रुटियों का पता लगाने के लिए कंपनी ने अपने भाषा सुरक्षा डेटाबेस का उपयोग किया। इसमें कई स्रोतों से ओपन सोर्स भेद्यताएं हैं, जैसे कि नेशनल वल्नेरेबिलिटी डेटाबेस (एनवीडी), सुरक्षा निर्देश, गिटहब `ट्रैकर्स और ओपन सोर्स प्रोजेक्ट।

कंपनी ने निम्नलिखित भाषाओं की पहचान की: सी, जावा, जावास्क्रिप्ट, पायथन, रूबी, पीएचपी और सी ++। और यह आश्चर्य की बात नहीं है। जैसे किस भाषा में सबसे अधिक सुरक्षा त्रुटियां हैं। एक विस्तृत मार्जिन से, यह एक्स है। 50% से अधिक ज्ञात कमजोरियां इसमें थीं।

जैसा कि "केस" कुक, Google में लिनक्स लिनक्स कर्नेल सुरक्षा इंजीनियर, ने हाल ही में नोट किया: "C एक बेहतर कोडांतरक है। लगभग एक मशीन कोड। " इसके अलावा, "सी परेशान करने वाले सामान, अस्पष्ट व्यवहार और अन्य कमजोरियों को वहन करता है जो सुरक्षा और बुनियादी ढांचे की क्षमताओं में अंतराल पैदा करते हैं।"

हालाँकि, व्हाइटसोर्स का दावा है कि "आप यह नहीं कह सकते कि सी अन्य भाषाओं की तुलना में कम सुरक्षित है। ओपन सोर्स सी कोड में बड़ी संख्या में कमजोरियों को कई कारकों द्वारा समझाया जा सकता है। शुरुआत के लिए, सी का उपयोग उन अन्य भाषाओं की तुलना में लंबे समय तक किया गया है जिन्हें हमने खोजा था। इसमें सबसे बड़ी मात्रा में कोड लिखा है। यह ओपनएसएसएल और लिनक्स कर्नेल जैसी महत्वपूर्ण अवसंरचनाओं के पीछे की भाषाओं में से एक है। वॉल्यूम और केंद्र की स्थिति का यह संयोजन बड़ी संख्या में ज्ञात ओपन-सोर्स कमजोरियों की व्याख्या करता है। "

व्हाइटसोर्स ने इस बिंदु को पकड़ा। लेकिन, दशकों की प्रोग्रामिंग और सी से निपटने के बावजूद, इस भाषा में वास्तव में भयानक सुरक्षा त्रुटियां बहुत आसानी से करने के तरीके हैं। उदाहरण के लिए, C में अपरिभाषित व्यवहार के उदाहरणों की एक बड़ी संख्या है, जो सभी प्रकार की परेशानियों के लिए अवसरों को खोलता है।

इसी समय, सी ++ पिछले पांच वर्षों में खतरे की उच्चतम डिग्री की कमजोरियों के लिए प्रसिद्ध हो गया। लंबे समय तक C से ग्रस्त होने वाली बफ़र त्रुटियों को अक्सर C ++ में पता लगाया जाता है।


आंकड़े पूरी तस्वीर को प्रतिबिंबित नहीं करते हैं, अगर हम बात करते हैं कि कौन सी भाषा सबसे अधिक या कम संरक्षित है।
(छवि श्वेत स्रोत)

कहा जा रहा है कि, जावास्क्रिप्ट शायद सबसे लोकप्रिय भाषा है। और केवल एक जिसने "पिछले 10 वर्षों में कमजोरियों की संख्या में निरंतर वृद्धि दिखाई।"

WhiteSource इस बात पर जोर देता है कि जावास्क्रिप्ट को ताना मारने से पहले, कृपया ध्यान दें कि ये परिणाम भ्रामक हैं। जावास्क्रिप्ट में अधिकांश सामान्य कमजोरी संलयन में निर्दिष्ट निर्देशिका से परे जाने और जावास्क्रिप्ट संकुल के क्रिप्टोग्राफिक संरक्षण में छेद होते हैं जो मुश्किल से उपयोग और समर्थित होते हैं।

फिर ये और अन्य भाषा समस्याएं दृष्टि में क्यों हैं? नए स्वचालित कार्यक्रम, जैसे कि सोर्स कोड एनालिसिस टूल्स, कमजोरियों की खोज कर रहे हैं जिन्हें अन्यथा अनदेखा किया जाएगा।

एकमात्र भाषा जिसने खुद को सुरक्षा छेद के बारे में अच्छी तरह से दिखाया है (ड्रम रोल!) - पायथन। हाँ, अच्छा बूढ़ा अक्सर पायथन का उपहास करता है।

लगभग सभी भाषाएं सामान्य भेद्यता सूची में योगदान करती हैं। सूची में से दो त्रुटियां प्रमुख थीं और 70% मामलों में रिपोर्ट की गईं: क्रॉसाइट स्क्रिप्टिंग (XSS), जिसे CWE-79 और अपर्याप्त इनपुट सत्यापन (CWE-20) के रूप में भी जाना जाता है।

अन्य सामान्य त्रुटियां: लीक / प्रकटीकरण (CWE-200), आउट ऑफ बाउंड्स डायरेक्टरी (CWE-22) और CWE-264 - अनुमतियां, विशेषाधिकार और अभिगम नियंत्रण। उत्तरार्द्ध को हाल ही में इसके अधिक विशिष्ट और करीबी रिश्तेदार - अनुचित पहुंच नियंत्रण (CWE-284) द्वारा दबा दिया गया है।

लेकिन क्या सी वास्तव में सबसे खराब है और पायथन सबसे अच्छा है? व्हाइटसोर्स का मानना ​​है कि यह बहुत आसान निष्कर्ष है: "हालांकि खेल" मेरी प्रोग्रामिंग भाषा आपकी तुलना में अधिक सुरक्षित है "निश्चित रूप से समय बिताने का एक मजेदार तरीका है ... जवाब आपको अधिक नवीन या सुरक्षित सॉफ़्टवेयर बनाने में मदद नहीं करता है।"

इसके विपरीत, आपको अधिक समय बिताना चाहिए "खुले स्रोत की कमजोरियों के काटने पर रहना, प्रोग्रामिंग भाषा की ताकत और कमजोरियों को समझना, जिसे आप और आपकी टीम उपयोग करती है।"

अंततः, सुरक्षा प्रोग्रामिंग भाषाओं के लिए नहीं, बल्कि आप उनका उपयोग कैसे करते हैं।

→ कार्रवाई: डेवलपर्स के लिए IaaS पर 40% की छूट।

लिनक्स और ओपन सोर्स के लिए स्टीवन जे। वॉन-निकोल्स

मूल लेख