Ежегодный технический отчет Rust: надежная публикация пакетов и стратегия взаимодействия C++/Rust

В четверг состоялся релиз Rust 1.89.0.

На этой неделе Rust Foundation также представила свой второй всеобъемлющий ежегодный технологический отчет.

В объявлении Rust Foundation представлены некоторые ключевые моменты:

• Полностью запущена Trusted Publishing [аутентификация GitHub Actions с использованием криптографически подписанных токенов] на crates.io, что повышает безопасность цепочки поставок и оптимизирует рабочие процессы для сопровождающих.
• Достигнут значительный прогресс в инфраструктуре подписи крейтов с использованием The Update Framework (TUF), включая три полные реализации репозиториев и достижение консенсуса заинтересованных сторон.
• Интеграция спецификации языка Ferrocene Language Specification (FLS) в проект Rust, что является важным шагом к формальной спецификации языка Rust [и "закладывает основу для более широкой сертификации безопасности и формальных инструментов"].
• Снижение затрат на CI-инфраструктуру на 75% при сохранении стабильности рабочих процессов для контрибьюторов. ["Все репозитории Rust теперь управляются с помощью Infrastructure-as-Code, что повышает удобство обслуживания и безопасность"].
• Расширение консорциума Safety-Critical Rust, включая несколько международных встреч и прогресс в разработке руководств по кодированию, соответствующих стандартам безопасности, таким как MISRA. ["Консорциум разрабатывает практические руководства по кодированию, сопутствующие инструменты и справочные материалы для поддержки регулируемых отраслей, включая автомобильную, аэрокосмическую и медицинскую, внедряющих Rust"].
• Непосредственное взаимодействие с организациями, устанавливающими стандарты ISO C++, и совместное изучение Rust и C++. Фонд завершил стратегическую дорожную карту, участвовал в заседаниях ISO WG21 и начал планирование инструментов и документации для взаимодействия между языками. Эти усилия направлены на расширение возможностей использования Rust в устаревших средах C++ без ущерба для безопасности.

Rust Foundation также отмечает продолжающееся финансирование от проекта Alpha-Omega OpenSSF и "щедрые пожертвования инфраструктуры от таких организаций, как AWS, GitHub и Mullvad VPN" в инициативу Фонда по безопасности, что позволило добиться таких успехов, как включение GitHub Secret Scanning и автоматизированного реагирования на инциденты в Trusted Publishing, а также интеграция возможностей обнаружения уязвимостей в crates.io.

На этой неделе было сделано еще одно объявление. В ноябре AWS и Rust Foundation инициировали "усилия по проверке стандартной библиотеки Rust", которые привели к созданию нового инструмента формальной верификации под названием "Efficient SMT-based Context-Bounded Model Checker" (или ESBMC).

Эта победившая разработка добавляет ESBMC — современный ограниченный проверяющий, основанный на SMT — в набор инструментов, используемых для анализа и проверки стандартной библиотеки Rust. Благодаря интеграции через Goto-Transcoder они обеспечили бесперебойную работу ESBMC в процессе верификации Rust, значительно расширив масштабы и гибкость усилий по верификации.

Это достижение основано на многолетнем сотрудничестве между сообществами Rust и формальной верификации. Сотрудничество расширилось. В дополнение к проверке стандартной библиотеки Rust команда изучает возможность использования формальных методов для проверки автоматизированных переводов с C на Rust при поддержке AWS. Это направление, отмеченное старшим научным сотрудником AWS Барисом Коскуном (Baris Coskun) и отмеченное командой ESBMC в недавнем посте в LinkedIn, представляет собой захватывающую новую границу для безопасности и инструментов верификации Rust.