Cruise, автоматтандырылған жүргізу технологияларына маманданған компания, жобаның бастапқы кодтары , ол Linux негізіндегі микробағдарлама кескіндерін талдауға және олардағы ықтимал осалдықтарды және деректердің ағып кетуін анықтауға арналған құралдарды ұсынады. Код Go тілінде жазылған және Apache 2.0 бойынша лицензияланған.
ext2/3/4, FAT/VFat, SquashFS және UBIFS файлдық жүйелерін пайдаланып кескіндерді талдауды қолдайды. Кескінді ашу үшін e2tools, mtools, squashfs-tools және ubi_reader сияқты стандартты утилиталар пайдаланылады. FwAnalyzer кескіннен каталогтар тармағын шығарып, ережелер жиынтығы негізінде мазмұнды бағалайды. Ережелерді файлдық жүйе метадеректеріне, файл түріне және мазмұнына байланыстыруға болады. Шығару - микробағдарламадан алынған ақпаратты қорытындылайтын және ескертулер мен өңделген ережелерге сәйкес келмейтін файлдардың тізімін көрсететін JSON пішіміндегі есеп.
Ол файлдар мен каталогтарға қол жеткізу құқықтарын тексеруді қолдайды (мысалы, ол барлығына жазуға рұқсатты анықтайды және қате UID/GID орнатады), suid жалаушасы бар орындалатын файлдардың болуын және SELinux тегтерін пайдалануын анықтайды, ұмытылған шифрлау кілттерін анықтайды және ықтимал қауіпті файлдар. Мазмұн қалдырылған инженерлік құпия сөздерді және жөндеу деректерін бөлектейді, нұсқа ақпаратын бөлектейді, SHA-256 хэштерін пайдаланып жабдықты анықтайды/тексереді және статикалық маскалар мен тұрақты өрнектерді пайдаланып іздейді. Сыртқы анализатор сценарийлерін белгілі бір файл түрлеріне байланыстыруға болады. Android негізіндегі микробағдарлама үшін құрастыру параметрлері анықталады (мысалы, ro.secure=1 режимін, ro.build.type күйін және SELinux белсендіруін пайдалану).
FwAnalyzer үшінші тарап микробағдарламасындағы қауіпсіздік мәселелерін талдауды жеңілдету үшін пайдаланылуы мүмкін, бірақ оның негізгі мақсаты үшінші тарап келісім-шарт жеткізушілері иелігіндегі немесе жеткізілетін микробағдарлама сапасын бақылау болып табылады. FwAnalyzer ережелері микробағдарлама күйінің нақты спецификациясын жасауға және қате кіру құқықтарын тағайындау немесе жеке кілттерді және жөндеу кодын қалдыру сияқты рұқсат етілмейтін ауытқуларды анықтауға мүмкіндік береді (мысалы, тексеру келесідей жағдайларды болдырмауға мүмкіндік береді. ssh серверін тестілеу кезінде пайдаланылады, инженерлік құпия сөз, /etc/config/shadow немесе оқу үшін электрондық цифрлық қолтаңбаны қалыптастыру).
Ақпарат көзі: opennet.ru