Cruise, tvrtka specijalizirana za tehnologije automatizirane vožnje, izvorni kodovi projekta , koji pruža alate za analizu slika firmvera temeljenih na Linuxu i identificiranje potencijalnih ranjivosti i curenja podataka u njima. Kod je napisan na Go jeziku i licenciran pod Apache 2.0.
Podržava analizu slika pomoću sustava datoteka ext2/3/4, FAT/VFat, SquashFS i UBIFS. Za otvaranje slike koriste se standardni uslužni programi, kao što su e2tools, mtools, squashfs-tools i ubi_reader. FwAnalyzer izvlači stablo direktorija iz slike i procjenjuje sadržaj na temelju skupa pravila. Pravila se mogu povezati s metapodacima datotečnog sustava, vrstom datoteke i sadržajem. Izlaz je izvješće u JSON formatu, sažimajući informacije izvučene iz firmvera i prikazujući upozorenja i popis datoteka koje nisu u skladu s obrađenim pravilima.
Podržava provjeru prava pristupa datotekama i direktorijima (na primjer, otkriva pristup pisanja za sve i postavlja netočan UID/GID), utvrđuje prisutnost izvršnih datoteka s oznakom suid i korištenjem SELinux oznaka, identificira zaboravljene ključeve šifriranja i potencijalno opasne datoteke. Sadržaj ističe napuštene inženjerske lozinke i podatke o otklanjanju pogrešaka, ističe informacije o verziji, identificira/provjerava hardver pomoću SHA-256 hashova i traži pomoću statičkih maski i regularnih izraza. Moguće je povezati skripte vanjskog analizatora s određenim vrstama datoteka. Za firmware temeljen na Androidu, parametri izgradnje su definirani (na primjer, korištenje ro.secure=1 moda, stanje ro.build.type i SELinux aktivacija).
FwAnalyzer se može koristiti za pojednostavljenje analize sigurnosnih problema u firmware-u treće strane, ali njegova je glavna svrha nadzirati kvalitetu firmware-a koji je u vlasništvu ili isporučen od dobavljača trećih strana. Pravila FwAnalyzera omogućuju vam generiranje točne specifikacije stanja firmvera i prepoznavanje neprihvatljivih odstupanja, kao što je dodjeljivanje pogrešnih prava pristupa ili ostavljanje privatnih ključeva i koda za otklanjanje pogrešaka (na primjer, provjera vam omogućuje izbjegavanje situacija kao što su koristi se tijekom testiranja ssh poslužitelja, inženjerska lozinka, za čitanje /etc/config/shadow ili formiranje digitalnog potpisa).
Izvor: opennet.ru