谷歌安全博客上的一篇新文章指出，内存安全漏洞正在“侵蚀人们对技术的信任，造成数十亿美元的损失”，并补充道，“传统方法，如代码审计、模糊测试和漏洞利用缓解措施，虽然有帮助，但还不足以阻止这一趋势。”因此，该博客文章呼吁建立一个“通用框架”，用于“定义具体的、可衡量的标准，以实现不同级别的内存安全保证”。希望这为政策制定者提供“制定有效的政策举措和促进内存安全的激励措施的技术基础”，从而形成“一个激励供应商投资内存安全的市场”。 （“客户将有权认可、要求和奖励安全性。”）1 月份，谷歌安全研究人员帮助共同撰写了一篇文章，指出目前强大的内存安全“研究技术”已经足够成熟：内存安全语言（包括“更安全的语言子集，如 C++ 的安全缓冲区”）、数学上严格的形式验证、软件划分以及硬件和软件保护。 （通过硬件保护，包括 ARM 的内存标记扩展和（功能硬件增强型 RISC 指令，或“CHERI”架构）。）谷歌的安全研究人员现在呼吁“内存安全未来的蓝图”——尽管重要的是，这个想法是“定义期望的结果，而不是将我们自己锁定在特定的技术中。”他们本周的博客文章再次敦促建立一种普遍理解的实用/可操作的框架，但支持不同的方法（并允许针对特定的方法进行定制）需求），同时实现客观评估：在 Google，我们不仅倡导标准化和内存安全的未来，我们还积极致力于构建它，我们正在与行业和学术合作伙伴合作开发潜在的标准，而我们最近共同撰写的 CACM 号召性用语标志着这一过程中重要的第一步……我们正在优先考虑内存安全的语言，并且通过采用 Rust 等语言与现有的语言相结合，我们已经看到了漏洞的显着减少。在性能限制允许的情况下广泛使用 Java、Kotlin 和 Go。我们认识到完全过渡到这些语言需要时间。这就是为什么我们还投资于通过设计来提高现有 C++ 代码库安全性的技术，例如部署强化的 libc++。这项工作不是为了挑选赢家或规定解决方案。这是为了创造一个公平的竞争环境，赋予明智的决策权力，并推动安全改进的良性循环……迈向内存安全的旅程需要对标准化的集体承诺。我们需要构建一个内存安全不是事后诸葛亮而是基本原则的未来，一个让下一代继承一个设计安全的数字世界的未来。安全研究人员的帖子呼吁“集体承诺”消除内存安全漏洞，“以安全设计实践为基础……”博客文章的副标题之一？ “让我们共同构建一个内存安全的未来。”他们敦促变革“不仅是为了我们自己，也是为了子孙后代”。
在 Slashdot 上阅读这个故事的更多内容。