近日，美国网络空间总监办公室（ONCD）发布了一份重磅网络安全报告，该报告响应美国总统拜登的网络安全战略，强调保护网络空间基石的重要性，并明确指出应摒弃易出现内存安全漏洞的编程语言，如C和C++，转而采用更为安全的内存安全编程语言进行开发。内存安全是程序设计中的核心问题，它确保程序在访问内存时能够有效避免诸如缓冲区溢出、悬空指针等常见错误和漏洞。Java凭借其内建的runtime错误检测机制，在这方面表现出色，被视作一种内存安全的语言。然而，C和C++由于允许直接操作内存地址且缺乏边界检查机制，常成为内存安全问题的重灾区。
报告引用了微软和谷歌的研究数据，揭示超过70%的安全漏洞与内存安全问题紧密相关。同时，报告还参考了美国网络安全和基础设施安全局(CISA)的开源软件安全路线图，强烈建议开发人员从项目初始阶段即采用内存安全编程语言，贯彻“安全设计”原则。
这份长达19页的报告不仅强调了网络安全是个体责任，更是大型组织、科技企业和政府部门的共同担当。报告并未指定特定编程语言替代C和C++，而是鼓励业界选取多种内存安全的编程语言，如Rust、C#、Java、Swift、JavaScript、Ruby等。此外，报告敦促企业和工程师采纳最佳软件开发实践，并搭配使用内存安全硬件以最大限度地降低恶意攻击风险。
值得注意的是，去年11月美国国家安全局(NSA)发布的网络安全信息文件中，推荐了若干安全编程语言，其中部分如C#、Java、JavaScript和Swift等已位列TIOBE指数流行排行榜前20位，但仍有大量开发者日常使用的语言未能覆盖，显示出内存安全语言普及的迫切性。
报告进一步突出了软件安全评估的关键作用，认为完善的评估标准有助于科技企业更好地预见、规划并减轻潜在漏洞风险。报告甚至以阿波罗13号登月任务为例，生动阐述了在太空探索等关键领域采用内存安全代码的必要性。
此份报告作为美国政府一系列网络安全行动的一部分，紧随2023年3月拜登总统签署的网络安全行政命令，旨在强化软件及硬件安全，并与科技行业携手共筑安全防线。随着数字化进程的加速推进，选择更安全的编程语言与开发方式显得至关重要，本报告正是对这一紧迫议题发出的最新倡议和行动号召。
