Curl创始人Daniel Stenberg谈如何确保18万行C代码的安全性
💡
原文英文，约1500词，阅读约需6分钟。
📝
内容提要
在FOSDEM大会上，Curl创始人Daniel Stenberg讨论了如何确保其C代码在200亿次安装中的安全性。他表示不会将Curl重写为Rust，而是通过禁止不安全函数、严格测试和审计来维护安全。此外，Curl项目与HackerOne合作，开展漏洞奖励计划，已支付超过85,000美元用于发现和修复漏洞。Stenberg强调项目的安全承诺至关重要。
🎯
关键要点
- Curl创始人Daniel Stenberg在FOSDEM大会上讨论了确保C代码安全性的方法。
- Curl的安装量可能超过200亿次，Stenberg认为这个数字是保守估计。
- Stenberg表示不会将Curl重写为Rust，而是通过禁止不安全函数和严格测试来维护安全。
- Curl项目与HackerOne合作，开展漏洞奖励计划，已支付超过85,000美元用于发现和修复漏洞。
- 项目进行多次审计，最近一次审计未发现任何CVE，显示出安全性改善的趋势。
- 开发团队使用严格的代码风格和文档检查工具，确保代码一致性和可读性。
- 所有提交都经过人工和机器的严格审查，确保代码质量。
- 项目团队使用双因素认证来保护GitHub上的源代码。
- Stenberg强调，许多开源项目在启动时并未考虑到安全性，Curl项目在开始时也存在许多问题。
❓
延伸问答
Curl项目如何确保其C代码的安全性？
Curl项目通过禁止不安全函数、严格测试和审计来确保C代码的安全性。
Daniel Stenberg在FOSDEM大会上提到的主要安全策略是什么？
他提到的主要安全策略包括禁止不安全函数、进行严格的测试和审计，以及与HackerOne合作开展漏洞奖励计划。
Curl项目的漏洞奖励计划有什么成就？
Curl项目的漏洞奖励计划自2019年启动以来，已支付超过85,000美元，处理了500个报告，其中76%导致了CVE的产生。
Curl项目在代码审计方面的表现如何？
最近一次审计未发现任何CVE，显示出安全性改善的趋势，表明项目在审计方面表现良好。
Curl项目为何不考虑将代码重写为Rust？
Stenberg表示，Curl项目不会重写为Rust，而是通过不断迭代和优化现有的C代码来维护安全性。
Curl项目如何进行代码质量控制？
Curl项目通过严格的代码风格、文档检查工具以及人工和机器的审查来确保代码质量。
➡️
