MISRust: Mapping MISRA-C++ Coding Guidelines to the Rust Programming Language

Resumen Técnico: MISRust – Mapeo de las Directrices de Codificación MISRA-C++ al Rust

Planteamiento del Problema
El lenguaje de programación Rust es cada vez más considerado para el desarrollo de sistemas críticos para la seguridad debido a su sistema de propiedad, seguridad de tipos y modelo de gestión de memoria, que previenen clases de errores como uso después de liberación, carreras de datos y desbordamientos de búfer. Sin embargo, las normas de seguridad establecidas (por ejemplo, ISO 26262, DO-178C, IEC 62304) exigen el uso de directrices de codificación específicas para limitar el uso de características del lenguaje y hacer cumplir estructuras de programa. Aunque existen directrices integrales para C/C++ (como MISRA C/C++), no existe un conjunto equivalente y dedicado de directrices para Rust. El Consorcio MISRA ha publicado únicamente un adendo a MISRA C:2025 relativo a Rust, el cual carece de un mapeo técnico detallado, regla por regla. Esta ausencia de directrices de codificación establecidas relacionadas con la seguridad sigue siendo un obstáculo significativo para lograr el cumplimiento de los sistemas críticos para la seguridad basados en Rust.

Metodología
Los autores presentan "MISRust", un mapeo sistemático y manual de las 179 directrices de codificación MISRA C++ 2023 al lenguaje de programación Rust. La metodología implica analizar la razón subyacente de cada regla MISRA para determinar su validez dentro del contexto de Rust. El análisis distingue entre Rust "seguro" (impuesto por el compilador) y Rust "inseguro" (donde las garantías de seguridad se relajan).

Los autores definen un marco de clasificación de seis categorías (C1–C6) para categorizar cada directriz:

• C1 (No aplicable): Directrices vinculadas exclusivamente a deficiencias de la Biblioteca Estándar de C++ (por ejemplo, estado global no seguro para hilos en funciones específicas de C++).
• C2 (No aplicable): Directrices que abordan características de C++ que no existen en Rust (por ejemplo, campos de bits, goto, funciones virtuales puntero-a-miembro).
• C3 (La regla puede eliminarse): Directrices aplicables a Rust pero que se imponen automáticamente por el diseño del lenguaje, incluso en contextos inseguros (por ejemplo, prevenir colisiones de redefinición mediante reglas estrictas de importación).
• C4 (La regla sigue siendo necesaria en Rust Inseguro): Directrices necesarias al utilizar características de Rust inseguro (por ejemplo, punteros sin tipo, gestión manual de memoria), donde la razón sigue siendo válida pero no se impone automáticamente.
• C5 (La regla requiere adaptación): Directrices que abordan características de C++ ausentes en Rust, pero cuyo propósito es valioso si se expresa en una forma específica de Rust.
• C6 (La regla sigue siendo necesaria en Rust Seguro): Un subconjunto de C4 que contiene reglas que siguen siendo necesarias incluso en Rust completamente seguro, a menudo abordando errores conceptuales de programación independientes de la implementación del lenguaje.

El análisis se realizó utilizando la versión 1.92.0 de Rust (edición 2024) y se centró en construcciones del lenguaje y la biblioteca estándar, excluyendo explícitamente la Interoperabilidad entre Lenguajes (FFI) para evitar eludir las garantías de seguridad de Rust.

Resultados Clave
El estudio proporciona un desglose cuantitativo y cualitativo de las 179 reglas MISRA C++:

• No aplicables: 57 reglas (31,84 %) se clasifican como C1 o C2, ya que dependen de problemas de bibliotecas específicas de C++ o de características inexistentes.
• Satisfechas automáticamente: De las 122 reglas aplicables a Rust, 53 reglas (29,61 % del total, o 47,75 % del subconjunto aplicable) se satisfacen automáticamente por el diseño de Rust (C3). Estas incluyen protecciones contra problemas de seguridad de memoria que el verificador de préstamos y el modelo de propiedad de Rust imponen por defecto.
• Aún relevantes: 69 reglas (38,55 %) siguen siendo relevantes.
  • Rust Seguro: 22 reglas (12,29 %) son necesarias incluso en Rust seguro (C6).
  • Rust Inseguro: 58 reglas (32,40 %) son necesarias al usar bloques inseguros (C4). Cabe destacar que 36 de las reglas satisfechas automáticamente en Rust seguro se convierten en violaciones cuando se introducen características inseguras.
  • Adaptación requerida: 11 reglas (6,15 %) caen en la categoría C5, requiriendo adaptaciones específicas para preservar la intención original en un contexto de Rust.

El análisis revela que los temas de diseño orientado a objetos (Clases, Clases Derivadas, Funciones Miembro Especiales) tienen baja relevancia en Rust debido a diferencias fundamentales en la herencia y el polimorfismo (Rust utiliza traits y structs en lugar de herencia basada en clases). Por el contrario, temas fundamentales como "Conceptos básicos", "Expresiones" y "Conversiones estándar" mantienen alta relevancia, particularmente en lo que respecta al código inseguro.

Adaptaciones Propuestas
Para las 11 reglas que requieren adaptación, los autores proponen traducciones específicas centradas en Rust. Los ejemplos incluyen:

• Regla 4.1.1 (Conformidad): Adaptar el requisito de conformidad con ISO a una futura norma ISO de Rust.
• Regla 6.0.3 (Espacio de nombres global): Sugerir el uso de módulos prelude para gestionar la desordenación del espacio de nombres global.
• Regla 12.3.1 (Uniones): Recomendar los tipos enum de Rust como una alternativa segura en tipos a las palabras clave union de C++.
• Regla 15.0.1 (Funciones miembro especiales): Mapear las funciones especiales de C++ a los traits Copy, Clone, Drop y Pin de Rust.
• Regla 18.5.1 (Excepciones): Adaptar la prohibición de la propagación de excepciones para requerir el manejo explícito de tipos Result o restringir el uso de panic!.

Significado y Afirmaciones
El artículo afirma proporcionar el primer mapeo integral y sistemático de todo el conjunto de reglas MISRA C++ 2023 a Rust. Los autores afirman que este trabajo aborda una brecha crítica en la certificación de seguridad para Rust, ofreciendo una base para futuras normas de seguridad específicas de Rust.

Las implicaciones clave destacadas incluyen:

1. Reducción de la carga de directrices: Aproximadamente el 61,45 % de las reglas MISRA originales son inaplicables o se satisfacen automáticamente por Rust, lo que sugiere que una futura norma específica de Rust podría ser significativamente más compacta.
2. Enfoque en el código inseguro: El análisis subraya que, aunque Rust seguro reduce la necesidad de muchas directrices, el uso de bloques unsafe reintroduce riesgos similares a C/C++. Por lo tanto, los futuros marcos de certificación deben centrarse intensamente en gobernar las secciones de código inseguro.
3. Brechas en las herramientas: El artículo nota un déficit de herramientas maduras para validar estas directrices en Rust. Aunque existen herramientas como Clippy, podrían requerirse nuevas herramientas de análisis estático o reglas de linting para lograr la paridad con los niveles de certificación de MISRA-C++.
4. Adopción incremental: Los autores sugieren que, dada la falta actual de herramientas y estandarización, es más probable que Rust complemente en lugar de reemplazar a C/C++ en sistemas críticos para la seguridad a corto plazo, siendo la integración gradual la estrategia más viable.

Todos los resultados del mapeo y los artefactos de apoyo están disponibles públicamente como materiales de código abierto. Los autores reconocen limitaciones, incluida la naturaleza subjetiva de la clasificación manual, la naturaleza evolutiva tanto de C++ como de Rust, y la falta de verificación externa independiente por un grupo más amplio de analistas.