- Safec-announce - list.ispras.ru

Исправление ошибки загрузчика в поставке addon-toolchain

by Обновления БК SAFEC

Добрый день! Сообщаем об исправлении ошибки в поставке addon-toolchain, связанной с некорректной загрузкой библиотек без исполняемого кода. Ошибка была выявлена при сборке пакета ICU, при которой на определённом этапе используется динамическая библиотека-заглушка, а затем запускается скомпонованный с ней исполняемый файл. Запись в Changelog: https://safecompiler.pages.ispras.ru/changelog/gcc/#skip-nop-rand.

2 months

1
0
0 0

Safelang — безопасный компилятор на основе Clang

by Обновления БК SAFEC

Представляем Safelang — безопасный компилятор на основе Clang (LLVM). Safelang [1] был впервые представлен и зарегистрирован [2] в 2024 году. Сейчас для скачивания доступны две сборки безопасного Clang. Ветка safelang-16 достигла паритета функциональности с SAFEC. На ветку safelang-19 выполнено портирование функциональности в части, относящейся к 3 классу безопасного компилятора. Сборка safelang-16-dev-x86_64-linux-2025-12-30.tar.xz — основана на Clang 16. Реализует три класса безопасного компилятора согласно ГОСТ Р 71206-2024 (опции -Safe3, -Safe2, -Safe1). Сборка safelang-19-30-clang-x86_64-linux.tar.xz — основана на Clang 19. Реализует третий класс безопасного компилятора согласно черновику новой редакции ГОСТ Р 71206. Мы планируем отдельно анонсировать предлагаемые изменения ГОСТ в начале следующего года. Подробная информация на уровне опций компилятора, реализующих функции безопасности, приведена в логе изменений [3]. В обеих сборках доступна компиляция для целевых платформ x86_64-unknown-linux-gnu и aarch64-unknown-linux-gnu. Для использования Safelang необходимо оформить лицензию через страницу оформления лицензий [4] и изучить readme в подкаталоге sentinel-runtime каталога safelang-public-release [5]. Скачать сборки Safelang может любой желающий по постоянной ссылке [5], где также будут публиковаться новые релизы. Следить за выходом новых версий можно с помощью страницы с логом изменений и список рассылки safec-announce(a)list.ispras.ru. [1]: https://safelang.ispras.ru [2]: https://fips.ru/registers-doc-view/fips_servlet?DB=EVM&DocNumber=2024686547… [3]: https://safecompiler.pages.ispras.ru/changelog/llvm/ [4]: https://www.ispras.ru/sdl/ [5]: https://download.ispras.ru/safelang

2 months, 3 weeks

1
0
0 0

Changelog SAFEC 2025

by Обновления БК SAFEC

Итоги 2025 года (в основном) — накопившиеся изменения в SAFEC, о которых не было анонса. Всё это время исправно выходили новые версии и публиковался changelog. Исправлено ложное срабатывание -fsanitize=function (входит в -Safe1), встретившееся на QEMU. https://safecompiler.pages.ispras.ru/changelog/gcc/#fix-comphash-canonical-… Добавлена новая опция --print-safe-options=<level>, которая печатает набор опций безопасного компилятора, эквивалентный опции -Safe<level>. https://safecompiler.pages.ispras.ru/changelog/gcc/#add-print-safe-options В конфигурацию сборки добавлен флаг --enable-checking=release, отключающий внутренние проверки компилятора, предназначенные для разработчиков. https://safecompiler.pages.ispras.ru/changelog/gcc/#use-enable-checking-rel… Исправлена внутренняя ошибка компилятора в коде диагностики -Wclobbered, встретившаяся при компиляции LXC. https://safecompiler.pages.ispras.ru/changelog/gcc/#fix-ice-wclobbered-lost… Исправлена внутренняя ошибка компилятора в коде диагностики -Wclobbered, встретившаяся при компиляции Boost. https://safecompiler.pages.ispras.ru/changelog/gcc/#fix-ice-wclobbered-due-… Исправлено поведение ThreadSanitizer при выводе summary: санитайзер ранее не распознавал стековые фреймы, порождённые вызванными из libtsan функциями, как внутренние, вследствие чего некорректно выводилось место ошибки. https://safecompiler.pages.ispras.ru/changelog/gcc/#fix-tsan-frame-is-inter… Исправлена ошибка заголовочных файлов с проверками безопасности, встретившаяся в libtar. https://safecompiler.pages.ispras.ru/changelog/gcc/#fix-safe-fortify-vsnpri… Исправлен некорректный запрет gets в случае, если до #include<stdio.h> слово gets определяется как макрос. https://safecompiler.pages.ispras.ru/changelog/gcc/#fix-safe-fortify-add-un… Исправлена выдача диагностики о выходе за границы массива (-Warray-bounds) при использовании -Safe2. https://safecompiler.pages.ispras.ru/changelog/gcc/#fix-safe2-warray-bounds Исправлена ошибка в addon-toolchain, приводившая к компоновке с системной libc, если в качестве директории для поиска библиотек (с помощью -L) была передана директория, содержащая компоненты libc. https://safecompiler.pages.ispras.ru/changelog/gcc/#force-linking-with-at-l… Исправлена ошибка, позволявшая переопределить уровень _FORTIFY_SOURCE, гарантируемый опцией -Safe[1..3], меньшим уровнем через командную строку. https://safecompiler.pages.ispras.ru/changelog/gcc/#fix-fortify-forcing Исправлена ошибка, возникавшая при использовании опции -floc-var-per на архитектуре aarch64 при использовании векторных инструкций из набора SVE. https://safecompiler.pages.ispras.ru/changelog/gcc/#properly-avoid-exceedin… Внедрены исправления для CVE-2023-4039 — уязвимости опции -fstack-protector на архитектуре aarch64 для safec8—safec10. https://safecompiler.pages.ispras.ru/changelog/gcc/#cve-2023-4039 Опция -Wno-parameter-types переименована в -Wno-declaration-missing-parameter-type. https://safecompiler.pages.ispras.ru/changelog/gcc/#declaration-missing-par… Удалена опция --dump-sbom. https://safecompiler.pages.ispras.ru/changelog/gcc/#revert-sbom-functionali… Исправлены ошибки сборки некоторых PIE файлов с помощью safec8—safec10. https://safecompiler.pages.ispras.ru/changelog/gcc/#build-libraries-with-fp… Исправлена ошибка компоновщика в составе сборки addon-toolchain (safec8—safec10). https://safecompiler.pages.ispras.ru/changelog/gcc/#fix-relocation-offset Отключена динамическая перестановка функций для уровней слабее -Safe1 в сборке addon-toolchain (safec8—safec10). https://safecompiler.pages.ispras.ru/changelog/gcc/#disable-faslr-below-saf… Исправлено поведение безусловной линковки с libubsan при использовании -Safe1 для freestanding программ. https://safecompiler.pages.ispras.ru/changelog/gcc/#fix-link-with-ubsan-for… Исправлена внутренняя ошибка компилятора при использовании опций -fadd-loc-var и -floc-var-per (-Safe1 -fno-dynamic-func-reorder). https://safecompiler.pages.ispras.ru/changelog/gcc/#support-unknown-frame-s… В -Safe[1..3] теперь включается -D_FORTIFY_SOURCE=3 вместо -D_FORTIFY_SOURCE=2 для safec12 и более новых. https://safecompiler.pages.ispras.ru/changelog/gcc/#enable-fortify-source-3 Исправлена ошибка, из-за которой не работало зануление неинициализированных локальных переменных для языка C++ (safec8—safec11). https://safecompiler.pages.ispras.ru/changelog/gcc/#port-finit-local-vars-t… В новый год — с новым компилятором! С наступающими праздниками!

2 months, 3 weeks

1
0
0 0

Выход safe-{15.2,14.3,13.4} и safec{11,12}, каналы коммуникации, FAQ

by Обновления БК SAFEC

Новые версии SAFEC на базе GCC 11—15 ==================================== Мы начали поставлять сборки безопасного компилятора SAFEC на основе новейших на сегодняшний день версий GCC: 14.3 и 15.2. Также был выполнен переход на последнюю минорную версию для трёх предыдущих релизных веток. Теперь доступны релизы веток - safec11 (на основе GCC 11.5), - safec12 (на основе GCC 12.5), - safe-13.4 (на основе GCC 13.4). Новые сборки расположены в новых подкаталогах по переданным ранее ссылкам на nextcloud. Например, последняя версия safe-15.2 для AMD64 находится по пути gcc/safe-15.2/x86_64/safe-15.2-51-gcc-addon-toolchain-x86_64-pc-linux-gnu.tar.gz В данный момент поддерживается 8 веток SAFEC. Их список можно увидеть на странице описания изменений [1]. При этом кросс-компилятор под AArch64 поставляется только для шести наиболее новых из них. Архивы для неподдерживаемых веток SAFEC наряду с другими ранее выпущенными архивами были перемещены в подкаталог deprecated. Рекомендуем перейти на новую версию по крайней мере в рамках одной основной версии GCC/SAFEC. Каналы коммуникации по безопасному компилятору ============================================== Для запроса безопасного компилятора, поддержки пользователей и обратной связи предусмотрены специальные почтовые адреса (списки рассылки), группирующие нужных специалистов ИСП РАН. Для согласования подписания документов и передачи SAFEC можно написать на safec-administrivia(a)list.ispras.ru, либо заполнить форму на сайте [2]. Задать вопрос разработчикам компилятора, отправить обратную можно написав на safec-support(a)list.ispras.ru. Туда же автоматически направляются ответы на анонсы такие, как этот (посланные через announce). Актуальная информация публикуется на странице «Контакты» [3]. Часто задаваемые вопросы (FAQ) ============================== На сайте появилась страница с ответами на часто задаваемые вопросы [4]. Список будет пополняться по мере дальнейшей разработки компилятора и поступления новой обратной связи. В контексте этого анонса про переход на новые версии может оказаться актуальным раздел «Какую версию безопасного компилятора использовать?». [1]: https://safecompiler.pages.ispras.ru/changelog/gcc/ [2]: https://ispras.ru/sdl [3]: https://safecompiler.pages.ispras.ru/contacts/ [4]: https://safecompiler.pages.ispras.ru/faq/

2 months, 3 weeks

1
0
0 0

Релиз кросс-компиляторов SAFEC (AArch64)

by Обновления БК SAFEC

Мы начали поставлять сборки кросс-компиляторов для AArch64. В настоящее время выпускаем такие сборки для safec10 и более новых веток. Архитектура хоста для запуска кросс-компиляторов — x86-64. Свежие сборки поддерживаемых кроссс-компиляторов автоматически добавляются в каталог на nextcloud, доступный на чтение для организаций-партнёров по индивидуальным постоянным ссылкам. Сборки расположены по пути gcc/safe*/aarch64/ относительно корневого каталога releases, на который ведёт ссылка. Например: gcc/safe-13.3/aarch64/safe-13.3-86-gcc-cross-aarch64-linux-gnu.tar.gz

10 months, 2 weeks

1
0
0 0

ГОСТ Безопасного компилятора, журналирование трансляции, sbom-trace

by Обновления БК SAFEC

ГОСТ ==== 1 апреля 2024 года был введён в действие ГОСТ Р 71206-2024 «Защита информации. Разработка безопасного программного обеспечения. Безопасный компилятор языков С/С++. Общие требования». SAFEC выполняет требования, предъявляемые этим стандартом к безопасному компилятору третьего, второго и первого классов. База данных компиляции по ГОСТ: опция --dump-sbom ================================================= ГОСТ Р 71206-2024 требует, чтобы для безопасного компилятора была реализована функция по журналированию процесса трансляции. Результат журналирования — база данных компиляции. В ней должны фиксироваться имена файлов—единиц трансляции и подключаемых файлов, их хэш-коды по ГОСТ 34.11-2018, команды компиляции. Также должна быть включена информация, позволяющая идентифицировать программы, задействованные в трансляции исходных текстов в исполняемый код, их настройки и конфигурационные файлы. Для создания подробной базы данных компиляции в виде JSON файлов безопасный компилятор предоставляет опцию --dump-sbom <DIR>. https://safecompiler.pages.ispras.ru/changelog/gcc/#introduce-sbom Подробное описание опции с примером работы можно найти в руководстве пользователя (README) безопасного компилятора в разделе «Журналирование процесса трансляции: --dump-sbom». Скрипт comp_db_parser из поставки SAFEC позволяет проанализировать «состав» ПО на уровне отдельных файлов. Он обходит полученную с помощью --dump-sbom базу данных компиляции от заданного результирующего файла и выводит множество «листовых» файлов, участвовавших в качестве входных при компиляции, и их хэши. Эта реализация журналирования выполнена на уровне драйвера (программа gcc) и компилятора (вспомогательные программы cc1/cc1plus). При этом она имеет ограничения — случаи, которые не поддержаны или принципиально не могут быть учтены в таком подходе. Например: - Если утилиты (ассемблер/компоновщик) вызываются напрямую, а не через gcc, эти команды не будут учтены. - Для генерируемых исходных файлов с точки зрения получаемой базы данных компиляции исходными будут считаться результаты генерации. - Если при компоновке используется linker script, меняющий имя выходного файла, оно будет учтено неправильно. - В режиме создания precompiled header'ов (.pch/.gch файлов) выходные файлы не учитываются правильно. (Пока не поддерживается.) - Набор конфигурационных файлов утилит в некоторой степени «угадывается» т.е. строится на основе наших знаний о тулчейне. Если потребуется его расширить, нужно будет внести изменения в компилятор. Sbom-trace — отдельная утилита, не зависящая от компилятора =========================================================== Перечисленные выше ограничения побудили нас создать инструмент, решающий задачу в общем виде. Рабочее название этого инструмента — sbom-trace. Он учитывает требования ГОСТ Р 71206-2024 в части журналирования процесса трансляции. Этот инструмент не зависит от компилятора и используемых языков программирования. Принцип его работы основан на перехвате системных вызовов с помощью ptrace. Его использование выглядит таким образом: sbom-tracer -p sbom-postprocessor.py <build...> где <build...> — команда сборки, sbom-postprocessor.py — скрипт, входящий в состав инструмента. Этот инструмент имеет свои ограничения: работает только под Linux, и его не получится применить, если в процессе сборки уже используется ptrace. Артемий Гранат представит этот инструмент в докладе «Идентификация реквизитов сборки через отслеживание системных вызовов» 21 июня на конференции OS DAY 2024. Аннотация и тезиcы: https://osday.ru/granat.html

1 year, 3 months

1
1
0 0

Обновление binutils до 2.41, glibc до 2.40 (addon-toolchain, cross)

by Обновления БК SAFEC

Обновление binutils до 2.41 и glibc до 2.40 =========================================== Обновлены версии binutils и glibc, поставляемые в составе сборок addon-toolchain (а также кросс-компиляторов). Binutils: 2.29 → 2.41 Glibc: 2.30 → 2.40 Обновление glibc в addon-toolchain означает, что сценарий, когда программа компонуется с библиотеками, не собираемыми этим тулчейном, теперь работает для большего диапазона системных версий glibc — до 2.40 включительно. В частности, системы Debian 12 и Ubuntu 24.04 подходят под этот критерий. Указанный сценарий реализуется, например, при установке зависимостей с помощью пакетного менеджера. Он описан в разделе «Использование сторонних библиотек при использовании полного тулчейна» документации SAFEC. На cconly сборки это обновление не влияет: они содержат только компилятор и библиотеки, собираемые из исходного кода GCC. https://safecompiler.pages.ispras.ru/changelog/gcc/#update-toolchain-2-41-2… https://safecompiler.pages.ispras.ru/changelog/binutils/ https://safecompiler.pages.ispras.ru/changelog/glibc/

1 year, 5 months

1
0
0 0

Выход safe-13.3 и закрытие safe-13.2, переход со streebog на rhash

by Обновления БК SAFEC

Выход safe-13.3 и закрытие safe-13.2 ==================================== Вышли первые релизы safe-13.3 — ветки безопасного компилятора SAFEC на основе GCC 13.3. Согласно схеме версионирования, принятой в GCC, этот релиз содержит исправления ошибок относительно 13.2 [1]. Переход на более высокую minor версию (число после точки) не должен приводить к несовместимости. В соответсвии с этим ветка safe-13.3 безопасного компилятора заменяет safe-13.2. Ветка safe-13.2 закрыта, мы перестаём распространять и поддерживать релизы, сделанные с неё, и рекомендуем перейти на новую версию. RHash для хэширования при журналировании трансляции =================================================== Для идентификации файлов функция журналирования процесса трансляции в безопасном компиляторе вычисляет контрольные суммы, используя хэш-функцию, определённую ГОСТ 34.11-2018 (ГОСТ Р 34.11-2012). В качестве реализации использовался модифицированный код проекта streebog [2]. В новых версиях компилятора вместо него используется RHash [3]. Это изменение никак не отражается на потребителях бинарных сборок, поставляемых ИСП РАН. Как и ранее, функции хэширования статически скомпонованы с компилятором. Для сборки из исходных кодов достаточно установить в систему пакет, содержащий библиотеку и заголовочный файл rhash версии не ниже 1.38 т.е. имеющей реализацию GOST R 34.11-2012. (Пакет имеет разное название в зависимости от дистрибутива: rhash-devel, librhash-dev, rhash...) Дополнительно предусмотрена опция конфигурации --with-rhash=PATH. [1]: https://gcc.gnu.org/pipermail/gcc-announce/2024/000181.html [2]: https://github.com/adegtyarev/streebog [3]: https://github.com/rhash/RHash

1 year, 7 months

1
0
0 0

Выход safe-13.2, Changelog, -Wextra-array-bounds

by Обновления БК SAFEC

Выход safe-13.2 =============== Вышли первые релизы safe-13.2 — ветки безопасного компилятора SAFEC на основе GCC 13.2. Веб-сайт безопасного компилятора, Changelog =========================================== У безопасного компилятора появился веб-сайт, где мы публикуем актуальную документацию и подробную информацию о релизах. Также запланирован раздел FAQ. Эта рассылка дополняет сайт: он накапливает всю информацию, а сообщения в рассылке оповещают о ключевых обновлениях. https://safecompiler.pages.ispras.ru/ Журнал изменений (Changelog) для всех веток SAFEC доступен по адресу https://safecompiler.pages.ispras.ru/changelog/gcc/ Он позволяет увидеть, какие логические изменения произошли между версиями, на какие ветки изменения уже портированы и когда, на какие ветки ожидается порт. Изменения до начала ведения журнала изменений для SAFEC не отражены на этой странице. Представление об изменениях относительно базовой версии GCC можно получить из краткого руководства пользователя (README, раздел «Документация» на сайте). Смягчение -Warray-bounds, новая опция -Wextra-array-bounds ========================================================== Предупреждения, контролируемые опцией -Warray-bounds в прошлых версиях безопасного компилятора, разбиты на две группы. Часть предупреждений вынесена под опцию -Wextra-array-bounds. Первая группа теперь включает только срабатывания -Warray-bounds компилятора GCC соответствующей версии. Поведение, контролируемое опцией -Warray-bounds безопасного компилятора, приведено в соответствие с одноимённой опцией GCC. Во вторую группу вынесены дополнительные срабатывания, реализованные ранее в безопасном компиляторе. Для управления предупреждениями второй группы добавлена опция -Wextra-array-bounds. Предупреждения, контролируемые новой опцией, по-прежнему включены в набор предупреждений -Safe3 и более высоких классов защищённости. Однако теперь они не приводят к остановке трансляции, если опция -Werror=extra-array-bounds не указана явно. https://safecompiler.pages.ispras.ru/changelog/gcc/#add-wextra-array-bounds

1 year, 9 months

1
0
0 0

Выход safe-12.3, версионирование, support

by Обновления БК SAFEC

Вышел первый релиз safe-12.3 — ветки безопасного компилятора SAFEC на основе GCC 12.3. Новейшая версия для ветки safe-12.3 на сегодняшний день — safe-12.3-64. Архивы с бинарными сборками имеют названия safe-12.3-64-gcc-cconly-x86_64-pc-linux-gnu.tar.gz и safe-12.3-64-gcc-addon-toolchain-x86_64-pc-linux-gnu.tar.gz. Как видно на этих примерах, релизы безопасного компилятора теперь имеют версию, которая указывается в имени файла-архива. В рамках одной ветки компилятора номер версии монотонно возрастает от релиза к релизу. Взаимосвязи между номерами версий для разных веткок нет: например, функции безопасности, реализованные в safec9-311 и safe-12.3-64, не отличаются. Для сравнения функциональности релизов разных веток безопасного компилятора SAFEC предусмотрена веб-страница с логом изменений (changelog), о которой мы сообщим в следующих анонсах. Просим направлять вопросы и обратную связь по использованию безопасного компилятора на адрес safec-support(a)list.ispras.ru. Это закрытый список рассылки, который читает команда разработки безопасного компилятора. Если вопрос по теме этого анонса, достаточно ответить на это письмо: заголовок Reply-To уже содержит нужный адрес.

1 year, 10 months

1
0
0 0

2026

2025

2024