Google Rust’a geçti Android’in güvenlik açıkları yüzde 52 azaldı

Google, güvenli tasarım yaklaşımının bir parçası olarak Rust gibi bellek güvenli dillerine geçişinin, Android’de keşfedilen bellek güvenli açıklarının oranını altı yıl içinde %76’dan %24’e düşürdüğünü açıkladı.

Teknoloji devi, yeni özellikler için Güvenli Kodlama’ya odaklanmanın sadece kod tabanının genel güvenlik riskini azaltmakla kalmayıp, aynı zamanda geçişi daha “ölçeklenebilir ve maliyet etkin” hale getirdiğini belirtti.

Google’ın Jeff Vander Stoep ve Alex Rebert, The Hacker News ile paylaştıkları bir gönderide, yeni bellek güvensiz geliştirmelerin belirli bir süre sonra yavaşlaması ve yeni bellek güvenli geliştirmelerin devralmasıyla bellek güvenliği açıklarının azalacağını ifade etti.

Google Güvenlik Blog’unda yayımlandı

Android ekibinden Jeff Vander Stoep ve Güvenlik Temelleri Alex Rebert’in kaleme aldığı blog yazısında –

“Bellek güvenliği açıkları, yazılım güvenliği için sürekli bir tehdit oluşturmaktadır. Google olarak, bu tür açıkları ölçekli olarak ortadan kaldırmanın ve yüksek güvence sağlayan yazılımlar oluşturmanın yolunun, bellek güvenli dillerine geçişi önceliklendiren Güvenli Kodlama yaklaşımında yattığına inanıyoruz” denildi.

Android’de pratik uygulama

Android ekibi, 2019 civarında yeni geliştirmeleri bellek güvenli dillerine geçirmeye öncelik vermeye başladı. Bu karar, bellek güvenliği açıklarını yönetmenin artan maliyeti ve karmaşıklığı nedeniyle alındı. Yapılacak çok şey var, ancak sonuçlar şimdiden olumlu. 2024’te genel tabloya baktığımızda:

Kodun çoğunluğu hala güvensiz olsa da (ancak, önemli olan, giderek daha eski hale geliyor), bellek güvenliği açıklarında büyük ve sürekli bir düşüş görüyoruz. Sonuçlar, yukarıda simüle ettiğimizle uyumlu ve hatta daha iyi, muhtemelen bellek güvensiz kodumuzun güvenliğini artırma çabalarımızın paralel bir sonucu olarak. Bu düşüşü ilk olarak 2022’de bildirdik ve bellek güvenliği açıklarının toplam sayısının düşmeye devam ettiğini görüyoruz. 2024 verilerinin tamamı için tahmin edilen veri (36 olarak temsil edilen, ancak Eylül güvenlik bülteninden sonra şu anda 27’de).

Bellek güvenliği sorunlarının neden olduğu açıkların yüzdesi, yeni kod için kullanılan geliştirme diliyle yakından ilişkilidir. 2019’da Android açıklarının %76’sını oluşturan bellek güvenliği sorunları, 2024’te %24’e düşmüş durumda, bu oran sektör normu olan %70’in oldukça altında ve düşmeye devam ediyor.

Önceki bir yazımızda belirttiğimiz gibi, bellek güvenliği açıkları genellikle diğer açık türlerine göre önemli ölçüde daha ciddi, uzaktan erişilebilir olma olasılığı daha yüksek, daha esnek ve kötü niyetli olarak kullanılma olasılığı daha yüksektir. Bellek güvenliği açıklarının sayısı azaldıkça, genel güvenlik riski de azalmıştır.