Cruise, společnost specializující se na technologie automatizovaného řízení, zdrojové kódy projektu , která poskytuje nástroje pro analýzu obrazů firmwaru na bázi Linuxu a identifikaci potenciálních zranitelností a úniků dat v nich. Kód je napsán v jazyce Go a licencováno pod Apache 2.0.
Podporuje analýzu obrázků pomocí souborových systémů ext2/3/4, FAT/VFat, SquashFS a UBIFS. K otevření obrázku se používají standardní nástroje, jako jsou e2tools, mtools, squashfs-tools a ubi_reader. FwAnalyzer extrahuje strom adresářů z obrázku a vyhodnotí obsah na základě sady pravidel. Pravidla mohou být svázána s metadaty systému souborů, typem souboru a obsahem. Výstupem je report ve formátu JSON, shrnující informace extrahované z firmwaru a zobrazující varování a seznam souborů, které nevyhovují zpracovaným pravidlům.
Podporuje kontrolu přístupových práv k souborům a adresářům (například detekuje všem přístup k zápisu a nastavuje nesprávné UID/GID), zjišťuje přítomnost spustitelných souborů s příznakem suid a použití značek SELinux, identifikuje zapomenuté šifrovací klíče a potenciálně nebezpečné soubory. Obsah zvýrazňuje opuštěná inženýrská hesla a ladicí data, zvýrazňuje informace o verzi, identifikuje/ověřuje hardware pomocí hash SHA-256 a vyhledává pomocí statických masek a regulárních výrazů. Je možné propojit skripty externího analyzátoru s určitými typy souborů. Pro firmware založený na Androidu jsou definovány parametry sestavení (například pomocí režimu ro.secure=1, stavu ro.build.type a aktivace SELinux).
FwAnalyzer lze použít ke zjednodušení analýzy bezpečnostních problémů ve firmwaru třetích stran, ale jeho hlavním účelem je sledovat kvalitu firmwaru, který je vlastněn nebo dodáván smluvními dodavateli třetích stran. Pravidla FwAnalyzer umožňují vygenerovat přesnou specifikaci stavu firmwaru a identifikovat nepřijatelné odchylky, jako je přiřazení nesprávných přístupových práv nebo ponechání soukromých klíčů a ladícího kódu (kontrola vám například umožní vyhnout se situacím, jako je např. používané při testování ssh serveru, inženýrské heslo, číst /etc/config/shadow nebo vytvoření digitálního podpisu).
Zdroj: opennet.ru