Red Hot Cyber
Condividi la tua difesa. Incoraggia l'eccellenza. La vera forza della cybersecurity risiede nell'effetto moltiplicatore della conoscenza.
Redazione RHC : 28 Giugno 2025 20:07
Le principali agenzie statunitensi per la sicurezza informatica, CISA e NSA, hanno pubblicato un documento congiunto che raccomanda agli sviluppatori di software di optare per linguaggi di programmazione considerati “sicuri per la memoria”. Questi linguaggi sono progettati per fornire una protezione contro i crash critici causati da errori nella gestione della memoria, che rappresentano una delle tipologie di vulnerabilità più pericolose e frequenti.
Il documento sottolinea che gli errori di accesso non autorizzato alla memoria continuano a rappresentare una delle principali minacce sia per gli utenti standard che per i sistemi informativi critici. Tuttavia, linguaggi come Rust, Go, C#, Java, Swift, Python e JavaScript mitigano questo rischio grazie a controlli statici sull’allocazione della memoria già durante la fase di compilazione, riducendo in modo significativo la probabilità di vulnerabilità.
I sistemi più comunemente utilizzati, come C e C++, non includono di default funzionalità di protezione di questo tipo. In teoria, gli sviluppatori possono minimizzare i rischi utilizzando l’analisi statica del codice e seguendo rigorosamente gli standard di programmazione sicura. Tuttavia, nella pratica quotidiana, non tutti gli sviluppatori prestano sufficiente attenzione a questo aspetto.
 Vuoi diventare un esperto del Dark Web e della Cyber Threat Intelligence (CTI)? Stiamo per avviare il corso intermedio in modalità "Live Class" del corso "Dark Web & Cyber Threat Intelligence". A differenza dei corsi in e-learning, disponibili online sulla nostra piattaforma con lezioni pre-registrate, i corsi in Live Class offrono un’esperienza formativa interattiva e coinvolgente. Condotti dal professor Pietro Melillo, le lezioni si svolgono online in tempo reale, permettendo ai partecipanti di interagire direttamente con il docente e approfondire i contenuti in modo personalizzato. Questi corsi, ideali per aziende, consentono di sviluppare competenze mirate, affrontare casi pratici e personalizzare il percorso formativo in base alle esigenze specifiche del team, garantendo un apprendimento efficace e immediatamente applicabile. Guarda subito l'anteprima gratuita del corso su academy.redhotcyber.com Contattaci per ulteriori informazioni tramite WhatsApp al 375 593 1011 oppure scrivi a [email protected]
Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì. |
Sebbene il programma principale possa essere conforme agli standard odierni, l’integrazione di librerie C o C++ tramite l’Foreign Function Interface (FFI) può rappresentare un rischio per la sicurezza. Questo tipo di vulnerabilità è particolarmente allarmante in quanto potrebbe interessare progetti che inizialmente appaiono del tutto sicuri.
L’entità del problema è confermata dalle più grandi aziende IT. Secondo Google, nel 2018 il 90% di tutte le falle di sicurezza critiche in Android era correlato a un utilizzo non corretto della memoria. Nel browser Chromium, secondo i dati del 2021, è stato registrato oltre il 70% di tali vulnerabilità. È stata questa categoria a includere il famigerato errore Heartbleed nella libreria crittografica OpenSSL, che ha consentito agli aggressori di accedere ai dati al di fuori dell’area assegnata.
Anche la relativamente recente interruzione di Google Cloud, verificatasi a giugno di quest’anno, si è rivelata correlata a un problema classico: la mancanza di controllo dei puntatori nulli. Questa falla, nella pratica, causa crash o crea punti di ingresso per attacchi in sistemi in cui i controlli di storage non sono sufficientemente rigorosi.
Quindi ora i giganti stanno giustamente supportando sempre di più l’implementazione di linguaggi sicuri. Già nel 2022, Microsoft ha raccomandato ufficialmente lo sviluppo di nuove applicazioni su Rust o tecnologie simili . Nel 2023, anche le agenzie governative hanno aderito a queste iniziative. La direttrice del CISA, Jen Easterly, ha pubblicamente dichiarato la necessità che il settore passi a soluzioni più sicure.
Il processo di adattamento, tuttavia, non è facile. Nell’ultimo anno, la comunità del kernel Linux è stata in fermento per i dibattiti sull’integrazione dei driver Rust. I sostenitori di C e C++ hanno anche proposto alternative: sono emersi TrapC, FilC, Mini-C e Safe C, tutti volti a migliorare la sicurezza del codice senza abbandonare le tecnologie familiari. Allo stesso tempo, Google sta migliorando la protezione della memoria in C senza sacrificare le prestazioni.
Un recente rapporto pubblicato congiuntamente da CISA e NSA sottolinea che l’adozione completa di linguaggi di programmazione sicuri è un processo che richiede considerevoli investimenti, risorse umane e tempo. Le organizzazioni che hanno un’ampia base di codice legacy o che operano all’interno di infrastrutture critiche possono trovare questa transizione particolarmente impegnativa. Nonostante le difficoltà, i benefici associati all’adozione di tali linguaggi, tra cui la riduzione delle vulnerabilità potenziali e il miglioramento dell’affidabilità complessiva del software, rendono questo cambiamento non solo auspicabile, ma anche inevitabile.
Anche il governo statunitense sta promuovendo iniziative proprie per accelerare il processo. Il programma DARPA TRACTOR (Translating All C to Rust) è progettato per creare strumenti automatizzati per convertire progetti C esistenti in Rust, riducendo al minimo il lavoro manuale. I ricercatori di Princeton, UC Berkeley e UC San Diego stanno sviluppando il progetto Omniglot, che garantirà l’interazione sicura del codice Rust con librerie di terze parti tramite FFI.
Il governo, come sottolineato da CISA e NSA, non si affida esclusivamente ai propri programmi, ma anche alla collaborazione con aziende private. Una delle strategie previste include incentivare la creazione di posizioni lavorative che richiedano competenze nell’utilizzo di linguaggi di programmazione sicuri, con l’obiettivo di incrementare il numero di specialisti altamente qualificati e velocizzare l’adozione di nuovi standard.
RedazioneCloudflare ha registrato un’interruzione significativa nella mattina del 5 dicembre 2025, quando alle 08:47 UTC una parte della propria infrastruttura ha iniziato a generare errori interni. L’inci...
Una campagna sempre più aggressiva, che punta direttamente alle infrastrutture di accesso remoto, ha spinto gli autori delle minacce a tentare di sfruttare attivamente le vulnerabilità dei portali V...
Dietro molte delle applicazioni e servizi digitali che diamo per scontati ogni giorno si cela un gigante silenzioso: FreeBSD. Conosciuto soprattutto dagli addetti ai lavori, questo sistema operativo U...
Molto spesso parliamo su questo sito del fatto che la finestra tra la pubblicazione di un exploit e l’avvio di attacchi attivi si sta riducendo drasticamente. Per questo motivo diventa sempre più f...
Dal 1° luglio, Cloudflare ha bloccato 416 miliardi di richieste da parte di bot di intelligenza artificiale che tentavano di estrarre contenuti dai siti web dei suoi clienti. Secondo Matthew Prince, ...
