La kodo por la FwAnalyzer-firmara sekureca analizilo estis publikigita

Cruise, firmao specialiĝanta pri aŭtomatigitaj kondukaj teknologioj, malfermiĝis projektaj fontkodoj FwAnalizilo, kiu disponigas ilojn por analizi Linukso-bazitajn firmvarbildojn kaj identigi eblajn vundeblecojn kaj datumlikojn en ili. La kodo estas skribita en Go kaj distribuita de licencita sub Apache 2.0.

Subtenas analizon de bildoj uzante ext2/3/4, FAT/VFat, SquashFS kaj UBIFS-dosiersistemojn. Por malfermi la bildon, oni uzas normajn ilojn, kiel e2tools, mtools, squashfs-tools kaj ubi_reader. FwAnalyzer ĉerpas la dosierujon el la bildo kaj taksas la enhavon laŭ aro de reguloj. Reguloj povas esti ligitaj al dosiersistema metadatenoj, dosiertipo kaj enhavo. La eligo estas raporto en JSON-formato, resumanta la informojn ĉerpitajn de la firmvaro kaj montrante avertojn kaj liston de dosieroj, kiuj ne konformas al la prilaboritaj reguloj.

Ĝi subtenas kontroli alirrajtojn al dosieroj kaj dosierujoj (ekzemple, ĝi detektas skribaliron por ĉiuj kaj fiksas malĝustan UID/GID), determinas la ĉeeston de ruleblaj dosieroj kun la suid flago kaj la uzon de SELinux-etikedoj, identigas forgesitajn ĉifradŝlosilojn kaj eble. danĝeraj dosieroj. La enhavo elstarigas forlasitajn inĝenieristikajn pasvortojn kaj sencimigajn datumojn, elstarigas versiinformojn, identigas/kontrolas aparataron uzante SHA-256-haŝojn, kaj serĉas per senmovaj maskoj kaj regulaj esprimoj. Eblas ligi eksterajn analizilojn al certaj dosiertipoj. Por Android-bazita firmvaro, konstruaj parametroj estas difinitaj (ekzemple, uzante ro.secure=1-reĝimon, ro.build.type staton kaj SELinux-aktivigon).

FwAnalyzer povas esti uzata por simpligi la analizon de sekurecproblemoj en triaparta firmvaro, sed ĝia ĉefa celo estas kontroli la kvaliton de firmvaro kiu estas posedata aŭ provizita de triapartaj kontraktovendistoj. FwAnalyzer-reguloj permesas al vi generi precizan specifon de la firmware-stato kaj identigi neakcepteblajn deviojn, kiel atribui malĝustajn alirrajtojn aŭ lasi privatajn ŝlosilojn kaj sencimigan kodon (ekzemple, kontrolado permesas eviti situaciojn kiel ekzemple forlaso uzata ĉe la testa stadio de la ssh-servilo, antaŭdifinita inĝenieristiko pasvorto, alirebla por legi /etc/config/shadow aŭ forgesita ŝlosiloj formado de cifereca subskribo).

fonto: opennet.ru