Delivering Safe C++

[malor]

https://www.youtube.com/watch?v=I8UvQKvOSSw

• Що собою уявляє "безпечний" код
  • Заклик NSA (https://media.defense.gov/2022/Nov/10/2003112742/-1/-1/0/CSI_SOFTWARE_MEMORY_SAFETY.PDF) і відповідь Б'ярна (https://www.open-std.org/jtc1/sc22/wg21/docs/papers/2023/p2739r0.pdf)
  • Види помилок:
    • пам'ять
    • ресурси
    • типи
    • вихід за межі масиву
    • логіка
    • конкуретність
    • переповнення
    • жорсткі вимоги до швидкодії в системах реального часу
    • завершення роботи програми в бібліотеках
  • Попередні спроби (https://www.stroustrup.com/resource-model.pdf https://www.open-std.org/jtc1/sc22/wg21/docs/papers/2022/p2687r0.pdf)
  • Проблеми:
    • "неможливо" зламати зворотню сумісніть
    • неможливо переписати усе на нову "безпечну" мову
    • безпека інколи впливає на швидкодію
    • "найкращі практики" не працюють на великому масштабі
    • на відміну він інших мов, неможливо делегувати небезпечний код комусь ще
• Еволюція C++
  • перевірка типів аргументів функцій
  • const
  • RAII і ООП абстракції для роботи із ресурсами (vector, string, file handle, complex number, etc)
    • декларативний код
    • складно використати неправильно або забути щось
    • енкапсуляція
  • посилання
  • контейнери і алгоритми
  • розумні покажчики
  • виключення (інтеграція із RAII і гарантована обробка помилок/завершення роботи програми)
  • range-for
  • span
  • Проблеми:
    • сирі покажчики
    • operator[]
    • operator*
    • неініціалізовані змінні
• C++ Core Guidelines (https://isocpp.github.io/CppCoreGuidelines/CppCoreGuidelines)
• неможливо зробити безпечну "підмножину" мови, але можливо побудувати безпечні абстракції
• підхід:
  • статичний аналіз
  • правила для спрощення мови, що дозволяють робити статичний аналіз
  • бібліотеки для того, щоб зробити цей підхід практичним
• проблеми, що вирішуються:
  • неініціалізованні змінні (аннотація для виключень)
  • вихід за межі:
    • абстрації, що дозволяють перевіряти це (vector, span)
    • range-for цикли
    • алгоритми і контейнери
  • nullptr:
    • абстракції (not_null, span, )
    • статичний аналіз
  • ресурси (RAII і розумні покажчики, new/delete не використовуються напряму)
• сирі покажчки:
  • не використовувати
  • статичний аналіз
• dangling pointers
  • статичний аналіз із правилами по типу Rust
• інвалідація ітераторів
• Safety Profiles