Отчет Фонда Rust о последних инициативах

Фонд Rust Foundation выпустил новый отчет о последних инициативах, включая Инициативу по безопасности. Фонд является некоммерческой организацией, занимающейся поддержкой и развитием языка программирования Rust, а Инициатива по безопасности направлена на улучшение состояния безопасности в экосистеме языка программирования Rust.

Фонд объявил об инициативе по безопасности в 2022 году при поддержке проекта Alpha-Omega от OpenSSF и платинового члена Rust Foundation, компании AWS.

В последнем отчете, опубликованном сегодня в день открытия RustConf 2024, который впервые проводится Rust Foundation в Монреале, говорится, что фонд добился «значительного прогресса» в проведении полного аудита безопасности экосистемы Rust. Было создано несколько моделей угроз, иллюстрирующих риски, выявленные в ходе аудита, и разработано несколько новых инструментов для улучшения рабочих процессов по обеспечению безопасности со стороны сопровождающих Rust.

Фонд изучает возможность разработки модели инфраструктуры открытых ключей (PKI) для языка Rust, включая проектирование и реализацию PKI CA и устойчивой модели кворума для реализации проекта, и в отчете говорится, что обновления языка, предложенные участниками проекта, почти готовы к реализации.

После уязвимости бэкдора XZ Security Initiative сосредоточилась на безопасности цепочек поставок, включая работу над отслеживанием происхождения, проверяя, действительно ли данный ящик связан с хранилищем, на которое он претендует. Были проверены и подтверждены 5 000 лучших ящиков по количеству загрузок.

В настоящее время завершено моделирование угроз для экосистемы Crates. Инфраструктура Rust, сайт crates.io и проект Rust.

Разработаны и выпущены два инструмента безопасности с открытым исходным кодом, Painter и Typomania. Painter можно использовать для построения базы данных графов зависимостей и вызовов между всеми критами в экосистеме crates.io, включая возможность получения «небезопасной» статистики, улучшения обрезки графов вызовов и отображения границ FFI. Typomania переносит typogard на Rust и может быть использована для обнаружения потенциальных опечаток как библиотека многократного использования, которую можно адаптировать к любому реестру.

Также были проведены работы по «сокращению технического долга crates.io и улучшению API-токенов». crates.io - это официальный реестр пакетов Rust, и улучшения включают более жесткое управление привилегиями администратора crates.io; повышение надежности и скорости загрузки crates; переход тестового набора crates.io на асинхронные тесты, чтобы упростить использование библиотек только для асинхронных тестов; и работа над остальными вызовами API для преодоления проблем производительности.

В дополнение к работе над Инициативой по безопасности, Фонд также работает над улучшением совместимости между Rust и C++, поддерживаемый взносом в 1 миллион долларов от Google. Фонд сообщает, что после «бесед с членами проекта Rust и существующими игроками в области Rust
интероперабельности», в настоящее время разрабатывается резюме и набросок этого первоначального исследования, включающий заявление о текущих проблемах с интероперабельностью Rust-C++ и список краткосрочных и долгосрочных целей инициативы.

Отчет уже доступен для скачивания.