美國國家安全局發布「軟體記憶體安全須知」

  美國國家安全局(National Security Agency, NSA)於2022年11月10日發布「軟體記憶體安全須知」(“Software Memory Safety” Cybersecurity Information Sheet),說明目前近70%之漏洞係因記憶體安全問題所致,為協助開發者預防記憶體安全問題與提升安全性,NSA提出具體建議如下:

  1.使用可保障記憶體安全之程式語言(Memory safe languages):建議使用C#、Go、Java、Ruby、Rust與Swift等可自動管理記憶體之程式語言,以取代C與C++等無法保障記憶體安全之程式語言。

  2.進行安全測試強化應用程式安全:建議使用靜態(Static Application Security Testing, SAST)與動態(Dynamic Application Security Testing, DAST)安全測試等多種工具,增加發現記憶體使用與記憶體流失等問題的機會。

  3.強化弱點攻擊防護措施(Anti-exploitation features):重視編譯(Compilation)與執行(Execution)之環境,以及利用控制流程防護(Control Flow Guard, CFG)、位址空間組態隨機載入(Address space layout randomization, ASLR)與資料執行防護(Data Execution Prevention, DEP)等措施均有助於降低漏洞被利用的機率。

  搭配多種積極措施增加安全性:縱使使用可保障記憶體安全之程式語言,亦無法完全避免風險,因此建議再搭配編譯器選項(Compiler option)、工具分析及作業系統配置等措施增加安全性。

相關連結
你可能會想參加
※ 美國國家安全局發布「軟體記憶體安全須知」, 資訊工業策進會科技法律研究所, https://stli.iii.org.tw/article-detail.aspx?d=8956&no=57&tp=1 (最後瀏覽日:2026/08/25)
引註此篇文章
你可能還會想看
食品標示 美國新制上路

  隨著食物過敏與過胖等健康問題愈來愈受重視,美國FDA(Food and Drug Administration, 食品暨藥物管理局)規定從2006年1月1日起,食品製造商必須在食品標示上揭示產品中八種主要過敏原與反式脂肪(trans fat)含量,並且必須加強揭示卡路里含量、說明整個包裝所含的養分。   依據此項新規定,廠商必須在食品標籤上以簡易的文字,標示八種容易造成過敏的過敏原,包括核果(杏仁、胡桃、大胡桃)、牛奶、蛋類、魚類、甲殼綱蝦蟹、花生、大豆與小麥。至於反式脂肪,又稱為轉化脂肪或反脂肪,是不飽和脂肪酸的一種,它會刺激人體內低密度脂蛋白(LDL)的增加,進而使低密度蛋白膽固醇(LDL-C)的量增加。LDL-C又被稱為『壞膽固醇』或『不好的膽固醇』,它會間接刺激膽固醇升高,增加罹患心臟血管疾病的風險。過去一直沒有決定每人每天攝取量標準,因此在商品包裝上的營養成分表(Nutrition Facts Table)一直都沒有列出反式脂肪含量,但是新制上路後,在包裝標籤上面也必須列出反式脂肪含量。   在消費者越來越重視健康問題之趨勢下,未來如何製造反型脂肪低或零含量的食用加工油脂產品,相信會是相關業者所面臨的新挑戰。

美國放棄建立全國性免費無線寬頻網路計畫

  四年前,由M2Z網路公司(m2znetworks)向FCC建議,以AWS頻段(1.9GHz~2.1GHz建立)建立高速寬頻網路,並將運用其中一部份,建立速率達768Kbps的網路服務,在十年的期間內,免費提供公眾使用。M2Z計畫與美國各地申請BTOP(Broadband Technology Opportunities Program,寬頻技術機會計畫)補助的地方政府合作,建立免費無線寬頻服務。後續營運的支出將以廣告、與合作伙伴的收益及自有資金支應,並將支付收益的5%給美國財政部。   在經歷諸多考量後,2010年9月,FCC認為這並非一個好的政策措施,並向M2Z公司表示,將不支持這項計畫,而將繼續透過全國寬頻計畫以及普及服務基金的運作,促使寬頻網路普及化。   當M2Z提出這項計畫時,引起非常多的爭論,因其計畫初期提出將建立過濾色情內容的機制,使其成為家庭友善的服務。之後,包括頻譜使用的干擾以及768Kbps的免費網路是否符合需求,也引起其他網路服務商的反對,。而FCC所公布之國家寬頻計畫,其基礎目標是4Mbps之寬頻接取,因此M2Z的計畫顯然已經不合乎FCC的整體規劃。   消息公開之後,許多無線產業紛紛認同FCC的看法,如反對本項計畫最力的CITA無線協會即發表聲明表示,FCC放棄這項構想是正確的決定,因為M2Z的計畫將不能充分發揮AWS頻段的價值,同時提供的服務速度也太緩慢不符合公眾利益。FCC應回歸國家寬頻計畫,合理的規劃整體頻譜資源,釋出更多頻譜提供無線寬頻市場新的機會。

歐盟執委會接受英國電子書出版商 Penguin提出的協議內容

  2010年,蘋果(Apple Inc.)與法商Hachette、美商HarperCollins、美商Simon & Schuster、英商Penguin與德商Holtzbrinck/Macmillan等五家主要出版商訂定協議,改變電子書過往在市場上的銷售模式。過去電子書係由零售商(通常是網路書店)自行訂定銷售價格,而今蘋果與五家出版商透過協議,改由出版商決定電子書在網路書店的銷售價。   歐盟執委會於2011年3月對此展開反競爭(anti-competition)調查,認為這五家書商聯合蘋果公司限制零售書商定價的行為有違反競爭法之虞。根據歐盟運作條約(Treaty on the Functioning of the European Union, TFEU))第101條規定,事業間協議與一致性行為足以影響歐體會員國間交易,且以妨礙、限制或扭曲歐體共同市場競爭為效果或目的者,與共同市場不相容,應予禁止。   2012年9月,除Penguin外,其中四家出版商皆提出和解方案,承諾將終止與蘋果簽訂的代理協議,不再干涉電子書零售商調整電子書零售價格,此外,並同意未來五年內排除「最惠國(Most-Favoured-Nation, MFN)」條款的適用,該條款規定出版商與其他電子書銷售商如亞馬遜的訂價不得低於與蘋果的訂價。排除最惠國條款的適用意味著,未來出版商和零售商協議的電子書價格將能低於蘋果訂價。   英商Penguin日前與歐盟執委會達成協議,決定終止與蘋果公司關於電子書定價的契約,其承諾條件如下: 一、Penguin公司將終止和零售書商間的代理契約。 二、未來兩年內零售書商可自訂電子書價格與折扣,包含Penguin公司出版的書籍。 三、Penguin公司和零售書商的契約也將適用禁止價格最惠國條款,期限5年。   歐盟執委會接受Penguin公司所提出之承諾,並認為此舉將有助於恢復市場的有利競爭環境。本案終能落幕。

英國核准全球首例人類胚胎基因體編輯研究

  英國人類生殖及胚胎學管理局(Human Fertilisation and Embryology Authority)的執照委員會(Licence Committee)於2016年1月14日更新(renew)了法蘭西斯克利克研究中心(Francis Crick Institute)所持有的研究執照。該項更新的內容,成為全球首例由政府核准的人類胚胎基因體編輯研究。   本次更新的執照,是針對標號R0162實驗計畫(research project)所簽發的。該計畫全名是「人類剩餘胚胎幹細胞之研究:人類胚胎幹細胞之培養、維持多能性之因子特性以及形成可移植組織所需的特殊分化」(Derivation of stem cells from human surplus embryos: the development of human embryonic stem cell (hES) cultures, characterisation of factor necessary for maintaining pluripotency and specific differentiation towards transplantable tissues),該計畫的執照是在2005年時核准,有效期限至2016年3月26日。本次申請更新主要的變動有二,一是將計畫全名中的「剩餘」(surplus)二字拿掉,一是在執照內新增基因體編輯的研究技術──「CRISPR/Cas9」,並計劃將其運用在人類胚胎之上。   審查由人類生殖及胚胎學管理局所屬的執照委員會負責,該委員會由四位委員組成,有兩位行政機關人員負責行政事務,並有一名來自民間律師事務所的法律顧問負責提供法律意見諮詢的服務。   在審查的過程中,委員會依據申請人提交的計畫以及兩份同儕審查(peer review)的意見,審查了該計畫對人類胚胎進行人體試驗的可行性、必要性及合法性等議題。委員會確認該計畫的研究目的符合相關法令的要求,亦遵守規定不會使胚胎、卵子或精子置入女性身體或使其發育超過14天,同時該研究並確實為研究人類胚胎發育上所必要,也嚴格限制了使用的數量。   委員會僅對於其基因體編輯技術上未取得研究倫理委員會(Research Ethics Committee)的同意一事有所疑慮。委員會認為申請人應先取得研究倫理委員會的同意,才可申請執照。申請人解釋研究倫理委員會要求申請人要先取得執照更新後才願意開始審理,並承諾在通過倫理委員會同意後,才會開始相關實驗。在法律顧問的建議下,委員會最終通過了本次執照的更新,但在執照上加註相關實驗需待取得研究倫理委員會同意,並通知人類生殖與胚胎學管理局後,才可以實施。   委員會最終決定核發有效期限3年的執照給予該研究機關,於有效期限內,該研究機構可以保存、利用、儲藏胚胎。

TOP