[번역] 백악관에서 C/C++ 사용을 지양할것을 촉구하다.

이 글은 백악관의 C/C++ 논의 기사의 일부 번역입니다.

백악관에서 C/ C++ 사용을 지양 해야 한다고 권했다.

Biden administration calls for developers to embrace memory-safe programing languages and move away from those that cause buffer overflows and other memory access vulnerabilities.

번역
바이든 행정부에서 개발자들로 하여금 메모리 안전 프로그래밍 언어를 채택하고 버퍼 오버플로 및 기타 메모리 엑세스 취약성을 유발하는 프로그래밍 언어에서 벗어날 것을 말했다.

ONCD(The White House Office of the National Cyber Director , 백악관 국가 사이버 책임자실)
에서 월요일에 발표한 보고서에서 개발자들에게 메모리 아전 취약점이 없는 프로그래밍 언어를 사용하여 사이버 공격의 위험을 줄일 것을 말했다. 백악관은 보도 자료에서 기술 회사들이 메모리 안전 프로그래밍 언어를 채택하여 "전체 계층의 취약점이 디지털 생태계로 들어오는것을 방지할 수 있다." 라고 말했다.

메모리 안전 언어는 버퍼 오버플로 , 경계를 벗어난 읽기, 메모리 유출을 포함하여 메모리 액세스와 관련된 소프트웨어 버그 및 취약점으로 보호되야한다. 마이크로소프트와 구글의 최근 연구에 따르면 모든 보안 취약점중 약 70% 정도가 메모리 안전 문제로 인해서 발생한다는 사실이 밝혀졌다.

미국 사이버 보안 및 인프라 보안국도 9월 블로그 게시물에서 개발자들에게 메모리 안전한 프로그래밍 언어를 사용할 것을 촉구했습니다. CISA, FBI, 미국 국가 보안국 및 동맹국 기관도 12월에 "메모리 안전 로드맵 사례"라는 보고서를 발표했습니다.

ONCD의 새로운 19페이지 분량의 보고서는 메모리 안전 취약점이 있는 프로그래밍 언어의 두 가지 예로 C와 C++를 제시했으며, Rust를 안전하다고 생각하는 프로그래밍 언어의 예로 명명했습니다. 또한 2022년 11월 NSA 사이버 보안 정보 시트에는 Rust 외에도 C#, Go, Java, Ruby, Swift가 메모리 안전하다고 생각하는 프로그래밍 언어로 나열되어 있습니다.

생각 🤔

C , C++ 은 여전히 임베디드 분야등 메모리가 제한되는 개발분야에서 여전히 사용되고 있는 언어인데 백악관 측에서 안전을 이유로 강한표현을 동반하여 메모리 안전 언어로 변경하길 권한다는건 상당히 고무적인 일인것 같다. 물론 해당기사와 보고서에 따르면 C,C++ 에서 완전히 벗어나는건 지금당장 그리고 후에도 어렵다고 명시되어있지만 완전히 대체하거나 메모리취약점 문제로 위협에서 벗어날만큼 줄어들려면 개인적으로도 많은 시간이 필요해보인다.

그럼 대안은 뭐지 ?

기사에서도 언급했듯이 메모리를 개발자가 직접관리 하지않고 메모리 타입 안전언어 (Java 등) 을 사용하는걸 권하고있다 C,C++ 진영에서는 최근 각광받는 언어인 RUST로 넘어가는것이 좋지않을까 생각한다 물론 RUST 가 C,C++ 에 비해 참고할만한 레퍼런스도 적고 (특히 한국에서는 더더욱이) C,C++ 언어로 작성된 프로그램 등을 모두 RUST 나 기타언어로 변경하는것은 쉽지않고 시간도 많이 걸릴것으로 보인다.

여전히 메모리 공격은 유효하다.

버퍼 오버플로우 , 메모리 오버플로우 공격기법은 전통적인 방법이지만 확실하고 또 위협적이기도하다.
C/C++ 에서도 메모리 공격이슈에 대응하고자 오래전부터 보안 코딩 가이드 ,코딩 표준 등을 권장하는 것으로 알고있다.

그럼에도 문제가 되는것은 개발자의 휴먼에러를 완벽히 막는것을 어렵고 비용도 많이 들기에 컴퓨터 자원을 더 쓰더라도 메모리 안전 언어로 넘어가는것이 좋지 않을까 ?

과거에는 컴퓨터 메모리 비용이 상대적으로 더욱 비싸기에 메모리 안전 언어가 비용이 컸지만 컴퓨터 성능 상승과 메모리 비용의 하락으로 이제는 비용이 크다 할 수 없을것 같다.

참조

• White House urges developers to dump C and C++
• The Case for Memory Safe Roadmaps
• The Urgent Need for Memory Safety in Software Products