מנתח סטטי של Mariana Trench בקוד פתוח של פייסבוק

פייסבוק הציגה מנתח סטטי פתוח חדש, Mariana Trench, שמטרתו לזהות נקודות תורפה ביישומים עבור פלטפורמת אנדרואיד ותוכניות Java. ניתן לנתח פרויקטים ללא קודי מקור, שעבורם זמין רק bytecode עבור המכונה הוירטואלית Dalvik. יתרון נוסף הוא מהירות הביצוע הגבוהה מאוד שלו (ניתוח של כמה מיליוני שורות קוד לוקח בערך 10 שניות), מה שמאפשר להשתמש ב-Mariana Trench כדי לבדוק את כל השינויים המוצעים כשהם מגיעים. קוד הפרויקט כתוב ב-C++ ומופץ תחת רישיון MIT.

המנתח פותח כחלק מפרויקט לאוטומציה של תהליך סקירת טקסטי המקור של אפליקציות מובייל לפייסבוק, אינסטגרם ו-Whatsapp. במחצית הראשונה של 2021, מחצית מכל הפגיעות באפליקציות הנייד של פייסבוק זוהו באמצעות כלי ניתוח אוטומטיים. קוד Mariana Trench שזור באופן הדוק עם פרויקטים אחרים של פייסבוק; לדוגמה, כלי האופטימיזציה של Redex bytecode שימש לניתוח ה-bytecode, וספריית SPARTA שימשה לפרש חזותי ולחקור את התוצאות של ניתוח סטטי.

פגיעויות פוטנציאליות ובעיות פרטיות מזוהות על ידי ניתוח זרימות נתונים במהלך הפעלת יישום כדי לזהות מצבים שבהם נתונים חיצוניים גולמיים מעובדים במבנים מסוכנים, כגון שאילתות SQL, פעולות קבצים וקריאות המפעילות תוכניות חיצוניות.

עבודתו של המנתח מסתכמת בזיהוי מקורות נתונים ושיחות מסוכנות בהן אין להשתמש בנתוני המקור - המנתח עוקב אחר מעבר הנתונים בשרשרת קריאות הפונקציה ומחבר את נתוני המקור עם מקומות שעלולים להיות מסוכנים בקוד . לדוגמה, נתונים המתקבלים באמצעות קריאה ל-Intent.getData נחשבים לדרושים מעקב אחר מקור, וקריאות ל-Log.w ול-Runtime.exec נחשבות לשימושים מסוכנים.

מקור: OpenNet.ru