फेसबुक ने ओपन सोर्स मारियाना ट्रेंच स्टेटिक एनालाइज़र बनाया

फेसबुक ने एक नया ओपन स्टैटिक एनालाइज़र, मारियाना ट्रेंच पेश किया, जिसका उद्देश्य एंड्रॉइड प्लेटफ़ॉर्म और जावा प्रोग्राम के लिए अनुप्रयोगों में कमजोरियों की पहचान करना है। स्रोत कोड के बिना परियोजनाओं का विश्लेषण करना संभव है, जिसके लिए केवल डेल्विक वर्चुअल मशीन के लिए बाइटकोड उपलब्ध है। एक अन्य लाभ इसकी बहुत उच्च निष्पादन गति है (कोड की कई मिलियन लाइनों के विश्लेषण में लगभग 10 सेकंड लगते हैं), जो आपको सभी प्रस्तावित परिवर्तनों के आने पर उनकी जांच करने के लिए मारियाना ट्रेंच का उपयोग करने की अनुमति देता है। प्रोजेक्ट कोड C++ में लिखा गया है और MIT लाइसेंस के तहत वितरित किया गया है।

फेसबुक, इंस्टाग्राम और व्हाट्सएप के लिए मोबाइल एप्लिकेशन के स्रोत ग्रंथों की समीक्षा की प्रक्रिया को स्वचालित करने के लिए विश्लेषक को एक परियोजना के हिस्से के रूप में विकसित किया गया था। 2021 की पहली छमाही में, फेसबुक मोबाइल एप्लिकेशन में सभी कमजोरियों में से आधी की पहचान स्वचालित विश्लेषण टूल का उपयोग करके की गई थी। मारियाना ट्रेंच कोड अन्य फेसबुक परियोजनाओं के साथ निकटता से जुड़ा हुआ है; उदाहरण के लिए, रेडेक्स बाइटकोड ऑप्टिमाइज़र का उपयोग बाइटकोड को पार्स करने के लिए किया गया था, और स्पार्टा लाइब्रेरी का उपयोग स्थैतिक विश्लेषण के परिणामों की दृश्य व्याख्या और अध्ययन करने के लिए किया गया था।

संभावित कमजोरियों और गोपनीयता के मुद्दों की पहचान एप्लिकेशन निष्पादन के दौरान डेटा प्रवाह का विश्लेषण करके की जाती है ताकि उन स्थितियों की पहचान की जा सके जहां कच्चे बाहरी डेटा को खतरनाक संरचनाओं में संसाधित किया जाता है, जैसे कि SQL क्वेरी, फ़ाइल संचालन और कॉल जो बाहरी प्रोग्राम को ट्रिगर करते हैं।

विश्लेषक का काम डेटा के स्रोतों और खतरनाक कॉलों की पहचान करना है जिसमें स्रोत डेटा का उपयोग नहीं किया जाना चाहिए - विश्लेषक फ़ंक्शन कॉल की श्रृंखला के माध्यम से डेटा के पारित होने को ट्रैक करता है और स्रोत डेटा को कोड में संभावित खतरनाक स्थानों से जोड़ता है . उदाहरण के लिए, Intent.getData पर कॉल के माध्यम से प्राप्त डेटा को स्रोत ट्रैकिंग की आवश्यकता माना जाता है, और Log.w और Runtime.exec पर कॉल को खतरनाक उपयोग माना जाता है।

स्रोत: opennet.ru