Bellek güvenliği gündemde: Rust neden her yerde konuşuluyor?

Ciddi güvenlik açıklarının önemli bir kısmı bellek hatalarından kaynaklanıyor. Bu yüzden Linux çekirdeğinden tarayıcılara kadar birçok proje bellek güvenli dillere yöneliyor. Rust'ın vaadini ve bedelini konuşalım.

Taha Bayar 2 dk okuma

Taşma hataları, serbest bırakılmış belleğin tekrar kullanılması, iki kez serbest bırakma... C ve C++ ile yazılmış yazılımlarda yıllardır en ciddi güvenlik açıkları bu sınıftan çıkıyor. Büyük yazılım şirketlerinin kendi raporları da ağır açıkların büyük bölümünün bellek güvenliğiyle ilgili olduğunu gösteriyor.

Gündem neden değişti?

Konu artık yalnızca mühendislik tartışması değil. ABD'deki CISA gibi siber güvenlik kurumları, üreticileri bellek güvenli dillere geçiş planı yapmaya çağıran rehberler yayımladı. Linux çekirdeği 6.1 sürümünden beri Rust ile sürücü yazmayı destekliyor; tarayıcılar ve işletim sistemleri de yeni bileşenlerde Rust kullanıyor.

Rust ne vaat ediyor?

  • Sahiplik ve ödünç alma: Her verinin tek bir sahibi var; derleyici, aynı veriye aynı anda hem yazılıp hem okunmasını derleme zamanında engelliyor.
  • Çöp toplayıcı yok: Bellek güvenliği çalışma zamanında değil derleyicide sağlanıyor; performans C/C++'a yakın.
  • Veri yarışlarına karşı koruma: İş parçacıkları arasında güvensiz paylaşım çoğunlukla derlenmiyor bile.
let s = String::from("merhaba");
let t = s;          // sahiplik t'ye geçti
println!("{}", s);  // derleme hatası: s artık kullanılamaz

Bedeli ne?

Öğrenme eğrisi gerçekten dik. Derleyiciyle "kavga etmek" ilk haftaların olağan deneyimi. Derleme süreleri uzun, bazı alanlarda kütüphane ekosistemi C/C++ kadar olgun değil. Mevcut büyük bir kod tabanını yeniden yazmak da çoğu zaman gerçekçi değil.

Gerçekçi yaklaşım

  • Var olan, çalışan kodu yeniden yazmak yerine yeni bileşenleri bellek güvenli bir dille yazmak.
  • Önceliği dışarıdan veri işleyen parçalara vermek: ayrıştırıcılar, ağ protokolleri, dosya biçimleri.
  • Web geliştiricileri için not: PHP, JavaScript, Python, Go ve Java zaten bellek güvenli diller. Bu gündem en çok sistem yazılımını ilgilendiriyor.

Sonuç

Rust bir moda değil, belirli bir hata sınıfını yapısal olarak ortadan kaldırma girişimi. Her projeye uygun değil; ama güvenliğin kritik olduğu sistem yazılımında önümüzdeki yılların varsayılanı olmaya aday.

İlgili Yazılar