Why the US Government Is Cracking Down on Unsafe Coding Practices

导读：这可能是美国政府迄今为止在软件安全问题上采取的最强硬立场，它向软件制造商发出警告：必须修复危险的编码做法，否则就有可能被贴上疏忽的标签。

美国联邦政府正在加强对危险软件开发行为的警告。美国网络安全和基础设施安全局（CISA）和联邦调查局（FBI）对持续困扰关键基础设施的基本安全漏洞发出严厉警告。

CISA 和 FBI 最近联合发布了一份关于产品安全不良实践的报告，警告软件制造商不要使用 C 和 C++ 等内存不安全的编程语言。

报告指出，在有内存安全语言可用的情况下，使用内存不安全语言开发关键基础设施产品是危险的，会显著增加国家安全、经济安全以及公共健康和安全的风险。

三大类别

产品属性：描述软件产品可观察的、与安全相关的质量。

安全特性：描述产品支持的安全功能。

组织流程和政策：描述软件制造商为确保安全方法透明度而采取的行动。

报告针对的是用于支持关键基础设施或国家关键功能（NCF）的软件开发产品和服务（包括本地软件、云服务和 SaaS）。

避免不良做法，遵循建议

报告鼓励所有软件制造商避免这些产品安全不良做法，并指出通过遵循指南中的建议，制造商将向客户表明对安全结果负责，这是安全设计的关键原则。

时间紧迫

软件制造商必须在 2026 年 1 月 1 日之前制定内存安全路线图。未在此日期前发布内存安全路线图的产品将被视为危险，显著增加国家安全、经济安全以及公共健康和安全的风险。

此外，必须在同一天之前取消管理员账户的默认密码，这标志着从建议转向强制标准。

内存安全路线图应概述制造商在优先代码组件（如网络代码或加密功能代码）中消除内存安全漏洞的优先方法，并证明其显著、优先地减少漏洞。

关键基础设施的极其危险做法

默认密码。

直接 SQL 注入漏洞。

缺乏基本的入侵检测。

缺少多因素身份验证。

开源软件要求

报告强调对开源软件的关注，要求公司维护软件物料清单（SBOM），缓存依赖项而非直接从公共源获取，并对所依赖的开源项目作出负责任的贡献。

公司必须发布漏洞披露政策。

需要为所有严重漏洞发布 CVE。

必须提供有关安全问题的清晰文档。

预计至少维护六个月的安全日志。

这是件好事

分析师 Brad Shimmin 表示，CISA 建议关键软件公司在 2026 年初之前制定明确的攻击计划，这为行业提供了更多时间来制定更巧妙的安全措施。

他还指出，虽然该指南是自愿的，但代表了迄今为止美国政府对基本安全实践的最强硬立场。

相关阅读

新的安全 C++ 提案都有啥？程序员需要了解哪些？

C++发布革命性提案！内存安全成标配、大量借鉴 Rust

Google 将用 Rust 替换 Android 中的 C++