Společnost Cruise, specializující se na technologie automatického řízení automobilů, zdrojové kódy projektu , poskytující nástroje pro analýzu obrazů firmwaru založeného na Linuxu a identifikaci potenciálních zranitelností a úniků dat. Kód je napsán v jazyce Go a pod licencí Apache 2.0.
podporuje analýzu obrazů využívajících souborové systémy ext2/3/4, FAT/VFat, SquashFS a UBIFS. Pro rozbalení obrazu se používají standardní utility, jako jsou e2tools, mtools, squashfs-tools a ubi_reader. FwAnalyzer extrahuje z obrazu strom adresářů a provádí hodnocení obsahu na základě sady pravidel. Pravidla mohou být vázána na metadata FS, typy souborů a obsah. Na výstupu se vytváří zpráva ve formátu JSON, která shrnuje extrahované informace z firmwaru a uvádí varování a seznam souborů, které neodpovídají zpracovávaným pravidlům.
Podporuje kontrolu práv přístupu k souborům a adresářům (například se zjistí, zda je povolen zápis pro všechny a bylo zde nastaveno nesprávné UID/GID), zjišťuje přítomnost spustitelných souborů s flagem suid a používání tagů SELinux, identifikují se zapomenuté šifrovací klíče a potenciálně nebezpečné soubory. V obsahu se vyzdvihují zapomenutá inženýrská hesla a ladicí data, identifikují se informace o verzích, provádí se porovnání obsahu podle SHA-256 hashů a vyhledávání pomocí statických mask a regulárních výrazů. Je možné vázat externí analyzátory skriptů na určité typy souborů. Pro firmwary založené na Androidu se určují parametry sestavení (například použití režimu ro.secure=1, stav ro.build.type a aktivace SELinux).
FwAnalyzer lze použít k usnadnění analýzy problémů s bezpečností ve cizích firmech, ale hlavním účelem je kontrola kvality vlastních firmwarů nebo dodávaných třetími dodavateli na základě smlouvy. Pravidla FwAnalyzer umožňují vytvořit přesnou specifikaci stavu firmwaru a identifikovat nepřijatelná odchylky, jako je přiřazení nesprávných přístupových práv nebo ponechání uzavřených klíčů a ladicího kódu (například kontrola umožňuje předejít situacím jako používaného při testování ssh serveru, inženýrské heslo, na čtení /etc/config/shadow nebo pro vytváření digitálního podpisu).
Zdroj: opennet.ru
