Cruise, sebuah perusahaan yang berspesialisasi dalam teknologi mengemudi otomatis, kode sumber proyek , yang menyediakan alat untuk menganalisis image firmware berbasis Linux dan mengidentifikasi potensi kerentanan dan kebocoran data di dalamnya. Kode ini ditulis dalam bahasa Go dan berlisensi di bawah Apache 2.0.
Mendukung analisis gambar menggunakan sistem file ext2/3/4, FAT/VFat, SquashFS dan UBIFS. Untuk membuka gambar, digunakan utilitas standar seperti e2tools, mtools, squashfs-tools dan ubi_reader. FwAnalyzer mengekstrak pohon direktori dari gambar dan mengevaluasi konten berdasarkan seperangkat aturan. Aturan dapat dikaitkan dengan metadata sistem file, jenis file, dan konten. Outputnya adalah laporan dalam format JSON, merangkum informasi yang diekstraksi dari firmware dan menampilkan peringatan serta daftar file yang tidak mematuhi aturan yang diproses.
Ini mendukung pemeriksaan hak akses ke file dan direktori (misalnya, mendeteksi akses tulis untuk semua orang dan menetapkan UID/GID yang salah), menentukan keberadaan file yang dapat dieksekusi dengan tanda suid dan penggunaan tag SELinux, mengidentifikasi kunci enkripsi yang terlupakan dan berpotensi file berbahaya. Kontennya menyoroti kata sandi teknik yang ditinggalkan dan data debug, menyoroti informasi versi, mengidentifikasi/memverifikasi perangkat keras menggunakan hash SHA-256, dan mencari menggunakan masker statis dan ekspresi reguler. Dimungkinkan untuk menghubungkan skrip penganalisa eksternal ke jenis file tertentu. Untuk firmware berbasis Android, parameter build ditentukan (misalnya, menggunakan mode ro.secure=1, status ro.build.type, dan aktivasi SELinux).
FwAnalyzer dapat digunakan untuk menyederhanakan analisis masalah keamanan pada firmware pihak ketiga, namun tujuan utamanya adalah untuk memantau kualitas firmware yang dimiliki atau disediakan oleh vendor kontrak pihak ketiga. Aturan FwAnalyzer memungkinkan Anda menghasilkan spesifikasi status firmware yang akurat dan mengidentifikasi penyimpangan yang tidak dapat diterima, seperti menetapkan hak akses yang salah atau meninggalkan kunci pribadi dan kode debug (misalnya, pemeriksaan memungkinkan Anda menghindari situasi seperti digunakan selama pengujian server ssh, kata sandi teknik, untuk membaca /etc/config/shadow atau pembentukan tanda tangan digital).
Sumber: opennet.ru