Dejar de usar C y C++ y centrarse en Rust y Java: esto recomienda la Agencia de Seguridad de EE.UU a empresas del mundo

La NSA o Agencia Nacional de Seguridad de Estados Unidos ha publicado una guía en la que anima a las organizaciones a cambiar los lenguajes de programación de C y C++ por alternativas "memoria segura", donde entran otros lenguajes como C#, Rust, Go, Java, Ruby o Swift. "La NSA recomienda que las organizaciones utilicen lenguajes seguros para la memoria siempre que sea posible y refuercen la protección mediante defensas de endurecimiento del código" dice el último comunicado emitido por el organismo.

[#1 Pacman]

Java?

[#2 Socavador]

Es que así no hay quién espíe tranquilo...

[#3 diablejo]

yo lo que no sé es si fiarme de lo que dice USA en materia de seguridad.

[#4 frg]

#3 Espero más Rush en el kernel de linux. Solventa muchos de los problemas existentes con drivers de todo tipo y condición.

[#5 Desactivado]

#1 #3 Lo dicen para poder entrar a saco hasta la cocina "around the world".

Podrían recomendar extremar la formación en seguridad a los programadores de C y C++. Un gran poder ...

[#6 Desactivado]

#1 demasiado facilón para ser seguro

[#7 Fingolfin]

#3 Pues en este caso no les falta razón

[#8 Desactivado]

Para mi es de obligatorio aprendizaje C .
Luego a nivel empresarial o personal, cada uno que elija lo que quiera, pero C es obligatorio para entender el sistema en el que programas

[#9 pascual]

#1 ¿Qué tiene de malo Java? ¿Están equivocadas compañías como Amazon, Netflix, Paypal, Uber... que han basado sus plataformas en ese lenguaje en lugar de hacerlo con el lenguaje de moda de la época?

[#10 abnog]

Si lo recomienda la NSA, ya sé lo que NO tengo que hacer.

[#11 Aeren]

¿Pero Java no lleva 10 años obsoleto?

Yo me alegro de que cada vez se use menos en la web, por que vaya porculo cada vez que fallaba la versión concreta y exclusiva que había decidido utilizar el becario cutre para tál página de la administración. Entre flash y java retrasaron el avance de internet unos 10 años.

[#12 Aeren]

#8 C está muy bien para aprender las bases del desarrollo de software y para cacharritoso como arduino y otros controladores robóticos. Luego ya con esa base puedes ir aprendiendo el lenguaje que toque según las necesidades de la empresa. Luego en las entrevistas de trabajo ya te pueden pedir 15 años de experiencia en ruby, .net, o lo que sea que esté de moda, que leyendo un par de libros te puedes apañar en una semana.

[#13 Desactivado]

#11 No. Lo actualizan.

¿Quizás hablas de Java para hacer snippets web? Ese es un uso residual de Java. Siempre lo han sido. En la actualidad es uno de los lenguajes más usados.


Por cierto, quizás sin flash hoy el uso de Internet en el mundo sería sensiblemente inferior. Gracias a flash se llevaron las animaciones, los gráficos y los juegos a la web. Tampoco retrasó nada, su problema fue de agujeros de seguridad

[#14 tpm1]

#3 Pues deberías saber que esta gente tiene, o tenía, manuales bastante buenos para el público de como asegurar equipos linux y Windows.

[#15 tpm1]

#11 Confundes Java del lado cliente con Java del lado servidor.

[#16 Desactivado]

#13 Flash era una mierda para invidentes y algunas animaciones bajo ADSL tardaban la vida en tirar. Yo era el rarito usando Lynx/Links, no lo niego, incluso Opera a veces. Pero mucha gente con RDSI las pasaba putas por esa peste.

Ahora las webs siguen tirando mierda, pero al menos con UBlock Origin reduces, literalmente, el ancho de banda de anuncios en un 90%.

He probado un navegador de terminal con soporte de JS via QuickJS. Bien, gracias a un fichero de /etc/hosts capando publi y demás cosas, Menéame tira a 2.7 KBPS. Hacer eso mismo en un fichero de /hosts hace que en vez de tardar unos 10-15 segundos en el cacheo inicial se tire mucho más haciendo imposible leer nada.

Pero es que incluso con fibra se satura la conexión con los anuncios. Imagina un mundo con anuncios Y Flash.

[#17 Desactivado]

Razón de más para usar C y C++.

[#18 Desactivado]

#12 Sin C no hay Unix,ni iOS, ni Android, ni Linux, ni BSD, ni Mac OS.

[#19 Desactivado]

#9 Golang hoy se folla a Java para eso.

[#20 torrrquemada]

Pues yo opino justo lo contrario a la mayoria.

La NSA ya tiene sus backdoors, y lo que necesita es estabilidad en los programas, ya que los "malotes" son los que buscan los errores de memoria para poder acceder al sistema.

[#21 tednsi]

#5 Prefieren los lenguajes interpretados, donde la NSA ya ha metido su puerta trasera en el intérprete o máquina virtual.

[#22 PauMarí]

#9 eing? No estarás confundiendo Java con Javascript?

[#23 flixter]

#21 tu sabes que ni java ni rust son interpretados, verdad?

[#24 pascual]

#22 No, Javascript es el lenguaje que se ejecuta en tu navegador web. Pero en el servidor, el código que se ejecuta cuando buscas un producto, cuando lo añades a tu cesta y se guarda en base de datos, cuando haces el proceso de compra, cuando se genera el recibo, cuando te llega una notificación por correo electrónico... es Java. Es su principal uso (además de Android) y siempre ha sido así, aunque mucha gente tienda a asociar Java a Applets (que sería algo parecido a Javascript en que se ejecutaba en el navegador).

[#25 PauMarí]

#24 se de sobras la diferencia entre Java y Javascript, así como entre frontend y backend, por eso mi comentario, ninguna de esas empresas (y me atrevería a decir ni ninguna de la mayoría de "nuevas" empresas) montan un backend en java, es infumable...
Sobre Android... Google hace ya bastante tiempo que recomienda no usar Java (en favor de Kotlin).
Que no cuela, que java es un lenguaje engorroso anticuado y que sólo interesa des de un punto de vista "empresarial", nunca des de un punto de vista técnico, y por suerte la mayoría de gente hoy en día ya se ha dado cuenta hace tiempo.
Por cierto, sobre tu último párrafo, sepas que de Java Javascript sólo tiene el nombre (dicho por el propio inventor de Javascript, que le puso es nombre solo por el "gancho" del "lenguaje de moda" de esa época)
Y ningún programador "moderno" te hablará de applets, por favor, es como volver al OCX o al ActiveX

[#26 ElMag0]

BoF everywhere 

[#27 whatisthat]

#24 A todo lo que te ha dicho #25 (que está bastante completo), habría que añadir que te has colado diciendo que JS no funciona como servidor, cuando hoy en día es una opción especialmente popular.
https://w3techs.com/technologies/details/ws-nodejs

Pero no solo como servidor; también se nutren de diferentes frameworks como electron para crear aplicaciones multiplataforma como el visual studio code, discord...
https://zeke.github.io/electron.atom.io/

[#28 Desactivado]

#16 Lo importante es que era la única opción para poner gráficos y animaciones en la web.

¿lento? Vale.

[#29 tednsi]

#23 No. No sabía que creaban ejecutables que directamente se ejecutan sin tener ningún software específico instalado.

[#30 flixter]

#29 rust se compila, con lo que te queda un binario ya listo para ser ejecutado, y java compila a medias, y te queda un binario en lenguaje intermedio que requiere de una java virtual machine en la plataforma.

[#31 Pacman]

#9 andas liado, como dice #22
Y todas esas compañías están migrando a otras cosas.

[#32 mecha]

#16 "con UBlock Origin reduces, literalmente, el ancho de banda de anuncios en un 90%."

¿Sabes que los anuncios se descargan igual en gran medida y que ublock solo hace que no los veas?

[#33 Desactivado]

#32 Creo que UBlock Origin también bloqueaba conexiones.

https://github.com/gorhill/uBlock/wiki/Strict-blocking

Definitvamente si lo pones en ajustes avanzados nada debería conectarse.

Yo por lo menos tengo bloquadas las peticiones a terceros.

[#34 Desactivado]

#32 https://github.com/gorhill/uBlock/wiki/Does-uBlock-Origin-block-ads-or-just-hide-them%3F

Despejando dudas.

Sí, bloquea las peticiones. Lo mejor para ello es ir a los ajustes de UBo y descargar los recomendados y actualizarlos.

[#35 tul]

#18 ni windows

[#36 tul]

#32 ein, no, para nada, no llegas a descargarlos.

[#37 Desactivado]

#36 Puede ser que #32 confunda Adblock con Ublock Origin. Y no, UBo trabaja de forma diferente.

[#38 ostiayajoder]

#6 Precisamente por eso es seguro.

Y no te preocupes por JVMs, otra cosa no habra, pero JVMs a montones. Y todas Open Source.

[#39 ostiayajoder]

#25 Que no cuela, que java es un lenguaje engorroso anticuado y que sólo interesa des de un punto de vista "empresarial", nunca des de un punto de vista técnico, y por suerte la mayoría de gente hoy en día ya se ha dado cuenta hace tiempo.

Ah, vale. Solo de un punto de vista empresarial....



ninguna de esas empresas (y me atrevería a decir ni ninguna de la mayoría de "nuevas" empresas) montan un backend en java, es infumable...



Te falta mundo, cabesa.

[#40 ostiayajoder]

#31 Si claro, cambian lo que les da un monton de pasta for the lols

[#41 PauMarí]

#39 te aseguro que no me falta mundo, tengo (tenía, mejor dicho, ya que hace unos años) el record europeo de website con más compras simultáneas soportadas... (máquinas virtuales repartidas en diferentes datacenters con un backend NO funcionando en java (pero sí, a mi pesar, con un clúster de SQL Servers)).
Y cuando me refiero a una decisión empresarial me refiero a una ADMINISTRATIVA (tema sueldos programadores y no querer asumir el coste de canviar a un sistema moderno)
Creo que al que le falta mundo no es precisamente a mi....
Por cierto, la tecnología del backend de Netflix es público (de hecho alguien meneó un artículo al respecto por aquí). El front creo que era React, no lo recuerdo ahora mismo pero te aseguro que el Back NO era java, hablas sin conocer de lo que hablas.

[#42 meneandro]

#4 Las prisas no son buenas...

[#43 superhiperdimensional]

La NSA dando consejos de seguridad tiene la credibilidad del oso Yogi dando consejos sobre donde guardar los emparedados..

[#44 Polarin]

#1 eh... nosotros tambien tenemos corazoncitos... aunque nos hayan hecho usar "ese" "lenguaje".

[#45 pedrobz]

#23 Java si es interpretado, al menos en el sentido de seguridad. Java compila, pero genera bytecodes que son un ensamblador genérico, luego la máquina virtual interpreta ésos bytecodes y genera el código máquina en tiempo real (el compilador JIT)

Así que para lo que se quiere si, la NSA puede meter una puerta trasera en el Oracle JRE y espiar todo sin que el código .class se entere

[#46 Desactivado]

#45 OpenJDK. Java es libre desde hace eones, y ahora está el GraalVM en OpenJDK.

[#47 Jajjajajjajajja]

#11 Sin Flash jamás habríamos tenido a Cálico Electrónico o Xiaoxiao

[#48 Razhan]

#21 El código de OpenJDK es GPL. Si hubiese una puerta trasera, sería visible en el código.

[#49 Capitan_Centollo]

Lo lógico es que si estás programando en C o C++ sea porque la aplicación necesita un control a bajo nivel del dispositivo, ya sea por velocidad de proceso o por ahorro de recursos. Cuando programas algo a ese nivel se da por sentado que sabes lo que haces y tienes la experiencia necesaria. Lo que no pones es a un novato a hacer microcontroladores para un satélite militar, digo yo.
Ahora, si necesitas un código que se ejecute en un espectro amplio de dispositivos muy dispares entre sí, quizás sí te convenga usar una plataforma de desarrollo a un nivel más alto, que te evite quebraderos de cabeza en el testeo y tener que hacer hacks para dispositivos concretos, sobre todo si no dispones de mucho tiempo o recursos.

[#50 Razhan]

#41 Efectivamente, mucho es publico. Y hay java a patadas. https://netflix.github.io/

[#51 Desactivado]

Imbéciles. No hay nada más seguro que C.

[#52 la_gusa]

#9 Es lo que tienen las modas. Hay software usado muy a lo bestia funcionando en Java, como Confluent o Presto, pero como es antiguo puede ser bueno ni molar. La gente es así

[#53 lgg2]

Rust lo veo muy "diplodocus" por tamaño de herramientas, verde por como está aún en cuanto a integracion con IDEs y depuradores y que no tenga aún una librería gráfica bien definidas a estas alturas.

También es bastante "caja negra donde opera la magia" con Cargo.

[#54 Razhan]

#25 la mayoría de los servicios de AWS tienen Java por detrás

[#55 KaisserSozze]

#9 Permite me que lo dude ¿De donde sacas la idea de que el back de esas empresas está en java? Primero, supongo que será una amalgama de lenguajes. Por ejemplo, si que se que Ebay está principalmente en PHP por qué lo dijeron cuando desarrollaron los microservicios. Pero si de verdad crees que el back de esas empresas es sólo una aplicación monolítica hecha en java y no varias decenas montadas en SOA con ESBs y Middlewares (software hecho mayoritariamente en C) o mejor aún cientos de microservicios cada uno de su padre y de su madre según convenga, o que ellos usan solo software propio y no de terceros, es que no has trabajado en una empresa medianamente grande. Seguramente la pasarela de pago este hecha en un lenguaje y con una tecnología, la logística en otra u otras, el control de almacenes en otra, la facturación en otra, el esb en otra, cada una con su repositorio de código en otra, con su gestor documental en otra, cada una con su motor de base de datos en otra, y con sus ETLs en otra, con su análisis de datos en otra, con su BI en otra, etc y eso simplificando mucho el tema.

[#56 Ehorus]

Me quedo más tranquilo sabiendo que no han recomendado Cobol.....

[#57 infraser]

#41 te falta muuucho mundo si te crees que el único por el cual se elige java es administrativo

[#58 gynovin]

#10 recomiendan cambiar a lenguajes más lentos porque así te cambias a una CPU más moderna y ahí está “su magia”.

[#59 prejudice]

#4 git también está escrito en C
Aunque tiene menos complejidad que el kernel de Linux y la verdad no creo que necesite mejoras, ya es un herramienta perfecta

[#60 Ovlak]

#45 No tienes por qué usar la JVM de Oracle, hay alternativas Open Source. Si nos ponemos por esas, usando un compilador privativo de C/C++ la NSA te puede estar haciendo lo mismo injectando la puerta trasera en el binario.

[#61 FooDev]

#25 Cuánta soberbia.

No quiero hacer de abogado del diablo porque a mí tampoco me gusta Java (efectivamente muy engorroso), pero de ahí a descartarlo sin contemplaciones a día de hoy como una opción plausible para el back... Pues mira, tampoco.

El punto de vista que tú llamas empresarial es en realidad el punto de vista técnico aplicado en la industria. Hay que tener en cuanto todos los pros (seguridad, estabilidad, soporte... comunidad) y contras (los aquí ya expuestos). Y desde luego hay aspectos más importantes que el syntactic sugar.

Vamos, que todos lo queremos ver muerto pero le sobran razones para seguir vivo y coleando.

[#62 dalton1]

#19 Sólo si Java dice que sí, es que sí.

[#63 FooDev]

#49 No creo (no soy experto en C/C++) que la cosa se resuelva contratando expertos (en gran parte supongo porque no será tan fácil encontrarlos). De ahí que todas las grandes tecnológicas están preocupados por los exploits de memoría y estén prácticamente alineadas respecto a Rust.

[#64 j0seant]

#18 tampoco tendríamos los interpretes, compiladores o maquinas virtuales de otros lenguajes, ya que la grandísima mayoría están escritos en C/C++

[#65 Vensier]

#1 hay muchos lenguajes modernos que usan la máquina virtual de java, como kotlin, Scala, Apache Groovy o Clojure

[#66 Razhan]

#59 para mi git es lo que realmente demuestra la genialidad de Linus como desarrollador.

[#67 Enfin...]

#25 La mayoría del backend de Netflix sigue escrito en Java

[#68 canduteria]

Entonces c y c+ a saco. 

[#69 Desactivado]

#30 Pues eso, que es interpretado. Interpreta código intermedio, pero es interpretado.

[#70 woopi]

#62 Es que el chiste era que dejé a la novia por que no sé de Java

[#71 PauMarí]

#61 soberbia? Dime algún NUEVO proyecto que se base en java? Tenéis ganas de discutir obviedades? Ya nadie se lo plantea....

[#72 PauMarí]

#57 sí papa, sí, lo que digas...

[#73 elgranmago]

#69 Si la NSA mete una puerta trasera en el compilador, cosa que recuerdo ya se ha hecho, estás en las mismas. Tienes un código binario con un troyano que se ejecuta fantásticamente.
El tema de meter puertas traseras te da lo mismo, sea con máquina virtual o con código compilado.

[#74 PauMarí]

#54 y ahora es cuando viene lo de que Facebook está hecho en php?

[#75 pawer13]

#41 React es de Facebook, Feign y Zulu es de Netflix y son Java, por ejemplo.
Java está muy lejos de estar anticuado, por mucho que lleguen otros lenguajes más modernos.

[#76 overhead]

De Rust no tengo ni idea de como funciona, pero de Java lo que quieren es enchufar la puerta trasera en la maquina virtual que es de Oracle (curiosamente empresa americana que abre el culo si se lo pide la NSA) y controlar todo sin que puedas hacer nada por evitarlo. Se les ve el plumero a kilómetros de distancia.

[#77 PauMarí]

#50 hadoop? Un proyecto de más de 20 años... Lo dicho, los nuevos proyectos no se hacen con java pero eso no quita (ni niego) que existelan muchos todavía.

[#78 Desactivado]

Dennis Ritchie estará revolviendose en su tumba.

[#79 Meneacer]

En esa lista falta Ada/SPARK que es lo que está usando, por ejemplo, NVIDIA.

https://www.reddit.com/r/programming/comments/yoisjn/nvidia_security_team_what_if_we_just_stopped/

[#80 Desactivado]

Esto es como si el lobo viniera a decirle al pastor como guardar las ovejas.

[#81 Razhan]

#74 busca mis comentarios. Mi LinkedIn está ahí. Cuando veas quién soy y en que trabajo te darás cuenta que estoy en una posición privilegiada para entender el uso de Java en AWS. Es más, creo que puedo decir con confianza que es la posición más privilegiada que existe.

[#82 chavi]

Y qué tal aprender a programar y no contratar chapuceros?

[#83 chavi]

#23 Si lo son. Se "compilan" a una máquina virtual que ejecuta el programa.

No producen código máquina nativo.

[#84 chavi]

#30 No. Java no "compila a medias".

Java crea un binario para que una JVM lo ejecute

[#85 ur_quan_master]

#1 Java sigue siendo muy bueno para lo que es.
Por otro lado, como dice la coplilla: C y C++ son de la famila... Y a Rust lo encontré en la calle.

[#86 PauMarí]

#81 y eso en que invalida mi comentario?

[#87 chavi]

#25 ninguna de esas empresas (y me atrevería a decir ni ninguna de la mayoría de "nuevas" empresas) montan un backend en java
Java es un gran lenguaje de servidor y probablemente el MAS utilizado para aplicaciones de alta demanda y rendimiento.

Java no es ni anticuado ni engorroso. En qué te basas para sostener esa afirmación?

Por qué dices que "solo interesa desde el punto de vista empresarial"?

[#88 PauMarí]

#87 igual que cobol lo fue en los bancos, y por el mismo motivo que tardaron tanto en substituirlo. Lo cortés no quita lo valiente.

[#89 chavi]

#51 Desde luego. Si el programa está bien hecho solo el ensamblador lo iguala ..

[#90 flixter]

#84 #83 #69 Pues mira, despues del primer comentario me entretuve buscando, y resulta que no se consideran ni compilados ni interpretados, justamente por que tienen parte de los dos procesos.

Por cierto, cuando hables a uno que presumiblemente no sabe del tema (como era mi comentario anterior), es mucho mas entendible por esa persona "se compila a medias" que "produce un bytecode, que vendria a ser un codigo intermedio, y blah-blah-blah". O sea que sí: para un no iniciado, java "compila a medias"

[#91 Desactivado]

#73 Si, siempre que uses una máquina virtual y/o un compilador fiables, todo en orden... http://users.ece.cmu.edu/~ganger/712.fall02/papers/p761-thompson.pdf

Pero no es lo mismo troyano en código compilado (lo metieron al compilarlo) que compilador con troyano. Lo segundo es top top.

[#92 Pacman]

#9 como dicen algunos talibanes, si se mueve el ratón no estás programando

[#93 Razhan]

#86 decías anteriormente que ninguna de esas empresas (incluyendo Amazon) montaría un backend usando Java, y luego has intentado compararlo con el uso de PHP en Facebook, que hace años reemplazó PHP por Hack y distintos lenguajes para backend

[#94 Azrapse]

Al margen de que esté hablando de putas La Tacones (NSA), el hecho es que Rust tiene el mismo escenario de uso que C/C++, pero su gestión de memoria es más robusta y no le deja al programador pegarse un tiro en el pie con tanto entusiasmo como C/C++ lo hacen. Y es igual de rápido.

Por muy buenos que hayan sido C/C++, y sean los cimientos de casi todo, son lenguajes anticuados, que han sido "actualizados" una y otra vez de la forma más ortopédica y frankenstein imaginable. Un programa moderno en C++ da asco leerlo, por la cantidad de "ruido" absurdo que conlleva hacer las cosas bien sin que ser vaya todo al garete en temas de librerías, referencias, gestión de memoria, etc.

Me recuerda a la programación en PHP y Javascript modernas, que para tener algo decente y robusto, te tienes que montar un pifostio en andamiaje y seguir unas prácticas a rajatabla. O si no, el caos.

[#95 vorotas]

#16 Prueba con una raspberry y Pi hole, y si quieres enfrascarte más Pihole + Unbound. UBlock lo tengo también, pero el PI Hole discrimina por dominio al usarlo como servido DNS.

[#96 Zade]

#9 La mayoría de esas empresas usan también los “lenguajes de moda” incluso en el lado servidor. Por ejemplo hay servicios de Prime Video implementados con Swift de lado servidor porque es más rápido que el resto de alternativas.

[#97 chavi]

#88 Ni de coña. No es para nada comparable.

[#98 Desactivado]

#5 No lo dudes. EEUU siempre acusa de espionaje a los chinos sin pruebas, pero es que a ellos les hemos pillado espíando infraganti a empresas y primeros ministros europeos. Y nos ha dado igual.

[#99 chavi]

#31 Como cuales?

[#100 hrundil]

#22 #31 #55 Yo estuve un tiempo currando en Amazon y confirmo que la mayor parte del código era Java. Sí, hay miles de microservices pero el 90% era Java.

Y no están migrando a nada. Como mucho estaban pensando cambiar el framework propio y empezar a usar Spring. Si aún había cosas críticas en Perl porque era el lenguaje de moda cuando la compañía estaba en sus inicios dudo que vayan a migrar masivamente a otro lenguaje 😂