米ホワイトハウス「将来のソフトウェアはメモリ安全になるべき」と声明発表。ソフトウェアコミュニティに呼びかけ

今回は「米ホワイトハウス「将来のソフトウェアはメモリ安全になるべき」と声明発表。ソフトウェアコミュニティに呼びかけ」についてご紹介します。

関連ワード (セキュリティバグ、深刻、破壊等) についても参考にしながら、ぜひ本記事について議論していってくださいね。

本記事は、Publickey様で掲載されている内容を参考にしておりますので、より詳しく内容を知りたい方は、ページ下の元記事リンクより参照ください。


米ホワイトハウスの国家サイバー局長室(The White House Office of the National Cyber Director:ONCD)は、サイバー空間における攻撃対象領域を積極的に削減する目的で、テクノロジー関連企業に対してメモリ安全なプログラミング言語を採用するように呼びかけるプレスリリース「Future Software Should Be Memory Safe」(将来のソフトウェアはメモリ安全になるべき)を発表しました。

fig

プレスリリースの中で、国家サイバー局長Harry Coker氏は「私たちは国家として、サイバースペースにおける攻撃対象領域を減らし、あらゆる種類のセキュリティバグがデジタルエコシステムに侵入するのを防ぐための能力と責任を担っています。そしてそれは、メモリ安全なプログラミングへの移行という、難しい問題に取り組む必要があることを意味します」 とコメントし、テクノロジーコミュニティ全体としてメモリ安全なプログラミングへ取り組むべきという方向性を示しました。

その背景には、これまで多くの深刻な脆弱性が、メモリ安全ではないことを原因としてきたためです。

同じくプレスリリースの中で、技術セキュリティ担当国家サイバー ディレクター補佐のAnjana Rajan氏は次のように説明しています。

「歴史上最も悪名高いサイバー空間上での出来事のいくつか 〜 1988年のMorrisワーム、2003年のSlammerワーム、2014年のHeartbleed脆弱性、2016年のTridentエクスプロイト、2023年のBlastpassエクスプロイトなどはいずれも突出したサイバー攻撃であり、日々において社会が現実に依存しているシステムに対する世界的な被害が発生しました。そしてこれらすべての根底にはメモリ安全における脆弱性という共通の原因がありました」

このプレスリリースと合わせて、ONCDはメモリ安全への取り組みを促進するためにプログラミング言語とソフトウェアの安全性の指標に関するレポート「Back to The Building Blocks」(PDF)も公開しています。

メモリ安全における脆弱性とは

メモリ安全(Memory Safe)における脆弱性についての説明は、2023年12月に米国家安全保障局が発表したプレスリリース「U.S. and International Partners Issue Recommendations to Secure Software Products Through Memory Safety」の説明が分かりやすいので引用します。

Memory safety vulnerabilities are coding errors affecting software’s memory management code in which memory can be accessed, written, allocated, or deallocated in unintended ways. Types of memory-related coding errors mentioned in the CSI include buffer overflow, use after free, use of uninitialized memory, and double free. Exploiting these vulnerabilities could allow malicious actors to access or corrupt data, or run arbitrary malicious code with the same privilege as the system owner.

メモリ安全性の脆弱性とは、ソフトウェアのメモリ管理コードに影響するコーディングエラーのことで、メモリが意図しない方法でアクセス、書き込み、割り当て、または割り当てが解除される可能性があることを指す。CSIで言及されているメモリ関連のコーディングエラーの種類には、バッファオーバーフロー、メモリ解放後の使用、初期化されていないメモリの使用、二重のメモリ解放などがある。これらの脆弱性を悪用することで、悪意のある行為者がデータにアクセスしたり、データを破壊したり、システム所有者と同じ権限で任意の悪意のあるコードを実行したりすることが可能になる。

そしてメモリ安全な言語の例としてC#、Go、Java、Python、Rust、Swiftが挙げられています。

今後こうしたメモリ安全とされるプログラミング言語の利用が積極的に推奨されることになりそうです。

COMMENTS


Recommended

TITLE
CATEGORY
DATE
RSA Security、Fraud & Risk Intelligence事業をスピンアウト–独立企業Outseerに
IT関連
2021-06-10 19:18
セキュリティ管理者を悩ませる「脆弱性まつり」がもっと深刻になる理由
IT関連
2022-07-02 14:38
Uber、酒類宅配アプリのDrizlyを11億ドルで買収
企業・業界動向
2021-02-04 23:49
ESGが投資基準として重要な時代に–既存のESGファンドは玉石混交
IT関連
2021-04-20 09:03
AIプロジェクトを価値創出に結びつける–「ModelOps」とは
IT関連
2021-07-26 08:24
ドミノ・ピザ ジャパン、フィンテックプラットフォーム企業と連携でチャリティー活動
IT関連
2023-05-25 14:40
新型コロナワクチンの接種時期、年齢と居住地から予測 JX通信社のアプリに新機能
ロボット・AI
2021-02-16 13:31
UiPathの創業者が語る、生成AI時代における業務自動化の行方
IT関連
2024-10-05 08:28
グーグル、休眠アカウントの削除を開始へ–12月から
IT関連
2023-11-30 04:53
フェイスブックが音声SNS「Live Audio Rooms」とポッドキャスト向け新サービスの提供を米国で開始
ネットサービス
2021-06-30 21:40
AMD、fTPMが有効化された「Windows 11」での不具合を認める–回避策を提示
IT関連
2022-03-12 12:25
ソニーが試作EV「VISION-S」を3月28日に一般公開、2021年事業化予定のドローン「Airpeak」も展示
モビリティ
2021-03-10 13:08
AWSの「re:Invent 2022」開幕–3年ぶり通常開催
IT関連
2022-11-30 13:35
写真で探せる「有名人検索」 「Yahoo!ブラウザー」に新機能
ロボット・AI
2021-08-19 11:28