Jeter le C++ et faire confiance en Rust, les agences du Five Eyes exhortent

Les dirigeants d’entreprise et les spécialistes du secteur technique devraient se préparer à se concentrer sur la sécurité des mémoires dans le développement de logiciels, a exhorté mercredi l’Agence de la cybersécurité et des infrastructures des États-Unis (CISA). L’agence fédérale, qui fait partie du Département de la sécurité intérieure des États-Unis, a publié un document intitulé « The Case for Memory Safety Roadmaps » (« Le cas de la mise en place de cartes routières de sécurité des mémoires »), dans lequel elle soutient que les erreurs de sécurité des mémoires entraînent fréquemment des dommages importants et que les organisations doivent s’en débarrasser. Les erreurs de sécurité des mémoires font référence aux failles telles que les débordements de mémoires tampons, les mémoires non initialisées, les confusions de types et les utilisations après libération. Les attaquants qui exploitent ces vulnérabilités peuvent souvent prendre le contrôle des systèmes affectés et voler des données ou exécuter un code arbitraire. En collaboration avec l’Agence nationale de la sécurité des États-Unis (NSA), le FBI et les autorités de cybersécurité de l’Australie, du Canada, du Royaume-Uni et de la Nouvelle-Zélande, CISA a déclaré que son appel à une meilleure sécurité des mémoires faisait suite à ses recommandations « Secure By Design » (« Sécurisé par conception »), approuvées par toutes ces autorités de cybersécurité. « Avec cette orientation, les agences de rédaction exhortent les dirigeants supérieurs de chaque fabricant de logiciels à réduire le risque pour les clients en mettant l’accent sur les pratiques de conception et de développement qui mettent en œuvre des langages MSL », peut-on lire dans le rapport.