Objavljen je kod za sigurnosni analizator firmvera FwAnalyzer

Cruise, kompanija specijalizovana za tehnologije automatizovane vožnje, otvorio izvorni kodovi projekta FwAnalyzer, koji pruža alate za analizu slika firmvera zasnovanih na Linuxu i identifikaciju potencijalnih ranjivosti i curenja podataka u njima. Kod je napisan na Go jeziku i distribuira licenciran pod Apache 2.0.

Podržava analizu slika pomoću ext2/3/4, FAT/VFat, SquashFS i UBIFS sistema datoteka. Za otvaranje slike koriste se standardni uslužni programi, kao što su e2tools, mtools, squashfs-tools i ubi_reader. FwAnalyzer izdvaja stablo direktorija iz slike i procjenjuje sadržaj na osnovu skupa pravila. Pravila se mogu vezati za metapodatke sistema datoteka, tip datoteke i sadržaj. Izlaz je izvještaj u JSON formatu, koji sumira informacije izvučene iz firmvera i prikazuje upozorenja i listu datoteka koje nisu u skladu sa obrađenim pravilima.

Podržava provjeru prava pristupa datotekama i direktorijima (na primjer, otkriva pristup pisanju za sve i postavlja netačan UID/GID), utvrđuje prisustvo izvršnih datoteka sa suid zastavicom i korištenje SELinux oznaka, identificira zaboravljene ključeve za šifriranje i potencijalno opasni fajlovi. Sadržaj ističe napuštene inženjerske lozinke i podatke za otklanjanje grešaka, ističe informacije o verziji, identifikuje/verifikuje hardver koristeći SHA-256 hešove i pretražuje koristeći statičke maske i regularne izraze. Moguće je povezati skripte eksternog analizatora sa određenim tipovima datoteka. Za firmver baziran na Androidu, definirani su parametri izgradnje (na primjer, korištenjem ro.secure=1 moda, ro.build.type stanja i SELinux aktivacije).

FwAnalyzer se može koristiti za pojednostavljenje analize sigurnosnih problema u firmveru treće strane, ali njegova glavna svrha je praćenje kvaliteta firmvera koji je u vlasništvu ili isporučen od strane ugovornih dobavljača trećih strana. FwAnalyzer pravila vam omogućavaju da generišete tačnu specifikaciju stanja firmvera i identifikujete neprihvatljiva odstupanja, kao što je dodeljivanje pogrešnih prava pristupa ili ostavljanje privatnih ključeva i koda za otklanjanje grešaka (na primer, provera vam omogućava da izbegnete situacije kao što su napuštanje koristi se tokom testiranja ssh servera, unapred definisano inženjerska lozinka, pristupačno za čitanje /etc/config/shadow ili zaboravljena ključevi formiranje digitalnog potpisa).

izvor: opennet.ru