Апублікаваны код аналізатара бяспекі прашывак FwAnalyzer

Кампанія Cruise, якая спецыялізуецца на тэхналогіях аўтаматычнага кіравання аўтамабілямі, адкрыла зыходныя тэксты праекта FwAnalyzer, які прадстаўляе прылады для аналізу выяў прашывак на базе Linux і выяўленні ў іх патэнцыйных уразлівасцяў і ўцечак дадзеных. Код напісаны на мове Go і распаўсюджваецца пад ліцэнзіяй Apache 2.0.

Падтрымліваецца аналіз выяў, выкарыстоўвалых файлавыя сістэмы ext2/3/4, FAT/VFat, SquashFS і UBIFS. Для расчынення выявы выкарыстоўваюцца штатныя ўтыліты, такія як e2tools, mtools, squashfs-tools і ubi_reader. FwAnalyzer здабывае з выявы дрэва каталогаў і выконвае адзнаку змесціва на аснове набору правіл. Правілы могуць прывязвацца да метададзеных ФС, тыпу файлаў і змесціва. На выхадзе фарміруецца справаздача ў фармаце JSON, які падсумоўвае вынятую з прашыўкі інфармацыю і выводзіць папярэджанні і спіс файлаў, якія не адпавядаюць апрацаваным правілам.

Падтрымліваецца праверка правоў доступу да файлаў і каталогаў (напрыклад, выяўляецца доступ усім на запіс і выстаўленне некарэктных UID/GID), вызначаецца наяўнасць выкананы файлаў са сцягам suid і выкарыстанне метак SELinux, выяўляюцца забытыя ключы шыфравання і патэнцыйна небяспечныя файлы. У змесцівам вылучаюцца пакінутыя інжынерныя паролі і адладкавыя дадзеныя, вылучаецца інфармацыя аб версіях, выконваецца вызначэнне / зверка начыння па хэшах SHA-256 і ажыццяўляецца пошук з выкарыстаннем статычных масак і рэгулярных выразаў. Магчымая прывязка вонкавых скрыптоў-аналізатараў да вызначаных тыпаў файлаў. Для прашывак на базе Android вызначаюцца параметры зборкі (напрыклад, выкарыстанне рэжыму ro.secure=1, стан ro.build.type і актывацыя SELinux).

FwAnalyzer можна выкарыстоўваць для спрашчэння аналізу праблем з бяспекай у чужых прашыўках, але асноўным прызначэннем з'яўляецца кантроль якасці ўласных прашывак або пастаўляюцца іншымі пастаўшчыкамі па кантракце. Правілы FwAnalyzer дазваляюць сфарміраваць дакладную спецыфікацыю стану прашыўкі і выяўляць недапушчальныя адхіленні, такія як прысваенне не тых правоў доступу або пакіданне закрытых ключоў і адладкавага кода (напрыклад, праверка дазваляе пазбегнуць такія сітуацый, як пакіданне выкарыстоўванага на этапе тэставання ssh-сервера, наканаваны інжынерны пароль, даступны на чытанне /etc/config/shadow або забытыя ключы фарміравання лічбавага подпісу).

Крыніца: opennet.ru