Évitez les langages de programmation non sécurisés en mémoire, recommande la NSA
lundi 5, décembre 2022
La National Security Agency (NSA) a publié des conseils pour aider les développeurs et les opérateurs de logiciels à prévenir et à atténuer les problèmes de sécurité de la mémoire logicielle, qui représentent une grande partie des vulnérabilités exploitables. La fiche d'information sur la cybersécurité, intitulée Sécurité de la mémoire logicielle, souligne comment les acteurs malveillants peuvent exploiter les problèmes de mauvaise gestion de la mémoire pour accéder à des informations sensibles, promulguer l'exécution de code non autorisé et causer d'autres impacts négatifs.
Bien que l'importance de la sécurité de la mémoire ne soit pas un nouveau sujet ― le débat date de plusieurs décennies, la note de la NSA vient ajouter une nouvelle couche à la discussion.
Jusqu’à présent, le choix du langage de programmation à utiliser pour créer un logiciel reposait sur des facteurs économiques (la disponibilité de développeurs en quantités suffisantes et à des salaires abordables qui maîtrisent le langage) et techniques (le langage est-il adapté pour résoudre le problème de la manière la plus efficiente possible). Avec cette note, la question du niveau de sécurité qu’offre le langage va donc devenir un élément clé.
Les entreprises doivent utiliser des langages de programmation sécurisés en mémoire afin de réduire le risque de vulnérabilités potentielles pouvant résulter d'un codage incorrect. Les langages de programmation sécurisés pour la mémoire utilisent un ensemble d'outils pour se protéger contre les débordements de mémoire tampon et autres erreurs de mémoire en imposant des limites à l'utilisation de la mémoire, en exigeant la vérification des limites de tous les accès au tableau et en effectuant une gestion automatique de la mémoire.
En utilisant des langages de programmation sécurisés en mémoire, les entreprises peuvent s'assurer que leur code est sécurisé et ne contient aucune faille de sécurité potentielle. Cela fournit une couche supplémentaire de protection contre les codes malveillants et les pirates.
La sécurité de la mémoire est également bénéfique pour l'expérience des développeurs qui codent dans le langage, car elle applique des règles strictes auxquelles tout code écrit doit se conformer. En utilisant un langage de programmation sécurisé pour la mémoire, les développeurs peuvent être sûrs que leur code est conforme, et les erreurs sont immédiatement mises en évidence et corrigées avant la publication. L'application de cette règle aide également les développeurs à créer des logiciels plus fiables, car les développeurs n'ont pas à se soucier des erreurs de codage causant des vulnérabilités de sécurité.
Les langages de programmation sécurisés pour la mémoire sont également bénéfiques pour les équipes de développement de logiciels, car ils évitent les problèmes de compatibilité potentiels entre plusieurs appareils et plates-formes. En garantissant le même niveau de sécurité et de performances de la mémoire, le code peut être plus facilement porté sur différents systèmes et plates-formes, tout en conservant son niveau de sécurité d'origine.
Les langages de programmation sécurisés pour la mémoire sont bénéfiques pour les entreprises, car ils réduisent le risque de vulnérabilités potentielles, améliorent l'expérience et la productivité des développeurs et permettent au code d'être plus portable. En utilisant des langages de programmation sécurisés en mémoire, les entreprises peuvent développer des logiciels sécurisés, fiables et facilement déployables.
L'accès mémoire non sécurisé est l'un des types de vulnérabilités les plus courants résultant de la programmation dans des langages non sécurisés en mémoire. Cela se produit lorsqu'un programme tente d'accéder à la mémoire au-delà de son adresse mémoire assignée, car cela peut entraîner une corruption des données ou des plantages.
Les débordements de tampon sont une autre vulnérabilité qui peut survenir lors du codage dans un langage non sécurisé. Ils se produisent lorsqu'un programme tente d'écrire plus de données que l'espace mémoire alloué, provoquant le blocage du système ou la corruption des données. De plus, des fuites de mémoire peuvent également se produire dans les langages de programmation non sécurisés en mémoire. Cela se produit lorsque la mémoire allouée à un programme n'est jamais libérée, ce qui entraîne une perte progressive de ressources au fil du temps et finit par provoquer le plantage du système.
L'un des exemples les plus connus d'atteinte à la sécurité liée aux vulnérabilités de sécurité de la mémoire est l'attaque sur le PlayStation Network de Sony en 2011. Dans cette attaque, les attaquants ont utilisé des dépassements de mémoire tampon et d'autres vulnérabilités liées à la mémoire pour accéder à des informations non autorisées et pénétrer dans le réseau.
Un autre exemple de vulnérabilité de sécurité de la mémoire entraînant une faille de sécurité est la vulnérabilité Heartbleed, qui a été découverte en 2014. Cette vulnérabilité a été causée par un bogue dans OpenSSL, une bibliothèque de chiffrement open source, qui permettait aux attaquants d'accéder à des informations sensibles telles que les noms d'utilisateur et mots de passe.
Enfin, en 2017, la violation de données d'Equifax était liée à une vulnérabilité dans Apache Struts, un framework de développement d'applications Web populaire. Cette vulnérabilité a permis aux attaquants d'exploiter un problème de désérialisation non sécurisé qui leur a permis d'obtenir un accès non autorisé aux données sensibles des clients.
Lors du développement de logiciels, il est important de se rappeler que certains langages de programmation peuvent parfois être plus sujets aux vulnérabilités de sécurité de la mémoire. Par exemple, C et C++ sont tous deux considérés comme dangereux pour la mémoire, car ils n'appliquent pas de protection stricte de la mémoire. De plus, Java est également connu pour être vulnérable face aux problèmes de désérialisation.
Heureusement, plusieurs alternatives sont disponibles pour écrire du code sécurisé. Python et Rust sont deux des langages de programmation sécurisés en mémoire les plus populaires. Python est réputé pour sa syntaxe facile à apprendre, tandis que Rust offre une combinaison unique de performances et de sécurité. Les autres langages sécurisés pour la mémoire incluent Go, Scala et JavaScript, qui offrent une gamme de fonctionnalités pour aider les développeurs à créer des logiciels sécurisés et fiables.
