自動運転技術を専門とするクルーズ社は、 プロジェクトのソースコード ファームウェアイメージを分析するためのツールを提供する Linux そして、それらの潜在的な脆弱性やデータ漏洩を特定します。コードはGo言語で書かれており、 Apache 2.0 に基づいてライセンスされています。
ext2/3/4、FAT/VFat、SquashFS、UBIFS ファイル システムを使用した画像の分析をサポートします。 イメージを開くには、e2tools、mtools、squashfs-tools、ubi_reader などの標準ユーティリティが使用されます。 FwAnalyzer はイメージからディレクトリ ツリーを抽出し、一連のルールに基づいてコンテンツを評価します。 ルールは、ファイル システムのメタデータ、ファイル タイプ、コンテンツに関連付けることができます。 出力は JSON 形式のレポートで、ファームウェアから抽出された情報が要約され、警告と、処理されたルールに準拠しないファイルのリストが表示されます。
ファイルやディレクトリへのアクセス権の確認がサポートされています（例えば、すべてのユーザーに対する書き込みアクセス権や、不適切なUID/GIDの設定を検出します）。suidフラグを持つ実行可能ファイルの存在やSEラベルの使用も判定されます。Linux忘れられた暗号化キーや潜在的に危険なファイルを検出します。放棄されたエンジニアリングパスワードとデバッグデータが強調表示され、バージョン情報が抽出され、SHA-256ハッシュを使用してペイロードが識別および検証され、静的マスクと正規表現を使用して検索が実行されます。外部分析スクリプトを特定のファイルタイプにリンクできます。ファームウェアベースの場合 Android ビルドパラメータが定義されています（たとえば、ro.secure=1 モードの使用、ro.build.type 状態、SE の有効化など）。Linux).
FwAnalyzer を使用すると、サードパーティのファームウェアのセキュリティ問題の分析を簡素化できますが、その主な目的は、サードパーティの契約ベンダーが所有または提供するファームウェアの品質を監視することです。 FwAnalyzer ルールを使用すると、ファームウェアの状態の正確な仕様を生成し、間違ったアクセス権の割り当てや秘密キーとデバッグ コードの残存など、許容できない逸脱を特定できます (たとえば、チェックを行うことで、次のような状況を回避できます) SSHサーバーのテスト中に使用されます。 エンジニアリングパスワード、 /etc/config/shadow を読み取るか、 デジタル署名の形成）。
出所： オープンネット.ru
