CISA ve NSA’den Yazılım Güvenliği için Kritik Uyarı: Hafıza Güvenliği Olan Dillere Geçiş Yapılmalı

ABD Ulusal Güvenlik Ajansı (NSA) ve Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), yazılım güvenliği alanında önemli bir çağrı yaptı. Kurumlar, geliştiricileri hafıza güvenli programlama dillerine yönlendirmek amacıyla kapsamlı bir rapor hazırladı.

Hafıza Güvenli Programlama Dilleri Güvenliği Artırıyor

Hafıza güvenliği, yazılımların belleği doğru kullanmasıyla doğrudan ilgilidir. Bu alanda yapılan hatalar, yıllardır siber saldırıların en sık kullanılan açıkları arasında yer alıyor. Buffer overflow, use-after-free gibi sorunlar, 2014’te yaşanan Heartbleed saldırısında ve 2021’deki BadAlloc açığında etkili olmuştu. Bu nedenle uzmanlar, yazılım projelerinde Rust, Go, Java ve Swift gibi hafıza güvenli programlama dillerinin tercih edilmesini öneriyor.

Raporda yer alan verilere göre, iOS 12 sürümüne ait güvenlik açıklarının üçte ikisi bellek güvenliği sorunlarından kaynaklandı. Google ve Microsoft’un geçmiş yıllardaki analizleri de benzer sonuçlara işaret ediyor. Microsoft’un 2016 yılında raporladığı açıkların yüzde 70’i hafıza güvenliği ile ilgiliydi. Bu oran, zaman içinde yüzde 50’ye kadar düşse de risk hâlâ devam ediyor.

Kurumlar, hafıza güvenli dillere geçişin her zaman mümkün olmadığını kabul ediyor. Özellikle eski yazılım altyapıları ve üçüncü taraf kütüphaneler nedeniyle bu geçiş zorlaşabiliyor. Raporda, öncelikle yeni projelerde hafıza güvenli dillerin kullanılmasına, mevcut kod tabanlarında ise riskli modüllerin bu dillere aktarılmasına öncelik verilmesi gerektiği vurgulanıyor. Ayrıca, hafıza güvenli dillerle yazılmış bileşenlerin geleneksel sistemlerle uyumlu çalışabilmesi için sağlam API yapılarının oluşturulması öneriliyor.

Rapor, geliştiricilerin yalnızca yeni dillere yönlendirilmesini değil, aynı zamanda eğitimlerinin de bu yönde güncellenmesini tavsiye ediyor. Yazılım mühendisliği programlarının ve özel eğitimlerin, güvenli kod yazımı konusunda daha fazla bilgi içermesi gerektiği belirtiliyor. Uzmanlar, hafıza güvenli dillerde yazılan kodların da yüzde yüz güvenli olmadığını, her dilin kendine özgü güvenlik açıklarına karşı dikkatli olunması gerektiğini hatırlatıyor.

Raporun dikkat çeken bölümlerinden biri de iş gücüyle ilgili. Şirketler, iş ilanlarında hafıza güvenli dillerde yetkinlik arayarak bu alandaki uzmanlara olan talebi artırmalı. Bu yaklaşım, eğitim kurumlarını ve sertifika programlarını da bu yönde teşvik edecek.