联邦政府：关键软件必须在2026年前放弃C/C++，否则面临风险
内容提要
美国政府加强对危险软件开发的警告，CISA与FBI联合发布报告，要求软件制造商在2026年1月前制定内存安全路线图，消除默认密码等安全隐患，提高透明度，确保关键基础设施安全。
关键要点
-
美国政府加强对危险软件开发的警告，CISA与FBI联合发布报告。
-
报告警告软件制造商避免使用不安全的编程语言，如C和C++。
-
不安全的编程语言会显著增加国家安全、经济安全和公共健康的风险。
-
报告将不良实践分为三类：产品属性、安全功能和组织流程与政策。
-
软件制造商需在2026年1月前制定内存安全路线图，消除安全隐患。
-
默认密码必须在同一日期前从管理账户中删除。
-
内存安全路线图应优先解决内存安全漏洞，特别是在网络代码和敏感功能代码中。
-
报告强调开源软件的安全性，建议维护软件材料清单（SBOMs）并负责任地参与开源项目。
-
公司需发布漏洞披露政策，提供安全问题的清晰文档，并维护六个月的安全日志。
-
CISA的建议将为行业提供更多时间，以确保关键软件资产的安全。
延伸解读
软件安全的重要性
美国政府对软件开发安全性的重视反映了国家安全、经济安全和公共健康的紧迫性。使用不安全的编程语言如C/C++可能导致严重的安全隐患，因此软件制造商必须采取措施，确保其产品的安全性，以保护关键基础设施。
内存安全路线图的必要性
软件制造商需在2026年前制定内存安全路线图，以应对内存安全漏洞。此举不仅是为了遵循政府的要求，更是为了降低潜在的安全风险，确保产品在市场上的竞争力和用户的信任。
开源软件的责任
报告强调了开源软件的安全性，建议公司维护软件材料清单（SBOMs）并负责任地参与开源项目。这不仅有助于提高软件的透明度，也能增强社区对安全问题的共同关注，促进更安全的开发实践。
延伸问答
美国政府对软件开发有哪些新的安全要求？
美国政府要求软件制造商在2026年1月前制定内存安全路线图，并消除默认密码等安全隐患。
为什么C/C++被认为是不安全的编程语言？
C/C++被认为是不安全的编程语言，因为它们显著增加了国家安全、经济安全和公共健康的风险。
软件制造商需要遵循哪些最佳实践？
软件制造商应避免不良实践，维护软件材料清单，发布漏洞披露政策，并提供安全问题的清晰文档。
内存安全路线图的主要内容是什么？
内存安全路线图应优先解决内存安全漏洞，特别是在网络代码和敏感功能代码中，并展示减少内存安全漏洞的努力。
报告中提到的三类不良实践是什么？
不良实践分为产品属性、安全功能和组织流程与政策三类。
软件制造商在2026年前需要完成哪些任务？
软件制造商需在2026年1月前制定内存安全路线图，并删除管理账户中的默认密码。
