Cruise, автоматташтырылган айдоо технологияларына адистешкен компания, долбоордун баштапкы коддору , ал Linux негизиндеги микропрограмманын сүрөттөрүн талдоо жана алардагы потенциалдуу кемчиликтерди жана маалыматтардын агып кетишин аныктоо үчүн куралдар менен камсыз кылат. Код Go тилинде жазылган жана Apache 2.0 астында лицензияланган.
ext2/3/4, FAT/VFat, SquashFS жана UBIFS файл тутумдарын колдонуу менен сүрөттөрдүн анализин колдойт. Сүрөттү ачуу үчүн e2tools, mtools, squashfs-tools жана ubi_reader сыяктуу стандарттык утилиталар колдонулат. FwAnalyzer сүрөттөн каталог дарагын чыгарып, бир катар эрежелердин негизинде мазмунду баалайт. Эрежелер файл тутумунун метадайындарына, файлдын түрүнө жана мазмунуна байланышы мүмкүн. Чыгуу бул JSON форматындагы отчет, микропрограммадан алынган маалыматтын жалпылоосу жана эскертүүлөрдү жана иштетилген эрежелерге туура келбеген файлдардын тизмесин көрсөтүү.
Ал файлдарга жана каталогдорго кирүү укуктарын текшерүүнү колдойт (мисалы, ал ар бир адам үчүн жазуу мүмкүнчүлүгүн аныктайт жана туура эмес UID/GID орнотот), suid желеги менен аткарылуучу файлдардын бар экендигин жана SELinux тегдерин колдонууну аныктайт, унутулган шифрлөө ачкычтарын аныктайт жана потенциалдуу коркунучтуу файлдар. Мазмун ташталган инженердик сырсөздөрдү жана мүчүлүштүктөрдү оңдоо маалыматтарын баса белгилейт, версия маалыматын баса белгилейт, SHA-256 хэштерин колдонуу менен жабдыкты аныктайт/текшерет жана статикалык маскалар жана кадимки туюнтмалар аркылуу издейт. Тышкы анализатор скрипттерин файлдын айрым түрлөрүнө байланыштырууга болот. Android негизиндеги микропрограмма үчүн куруу параметрлери аныкталат (мисалы, ro.secure=1 режимин колдонуу, ro.build.type абалын жана SELinux активдештирүү).
FwAnalyzer үчүнчү тараптын микропрограммасындагы коопсуздук маселелерин талдоону жөнөкөйлөтүү үчүн колдонулушу мүмкүн, бирок анын негизги максаты үчүнчү тараптын контракт сатуучуларына таандык же камсыздалган микропрограмманын сапатын көзөмөлдөө. FwAnalyzer эрежелери микропрограмманын абалынын так спецификациясын түзүүгө жана туура эмес кирүү укуктарын ыйгаруу же купуя ачкычтарды жана мүчүлүштүктөрдү оңдоо кодун калтыруу сыяктуу кабыл алынгыс четтөөлөрдү аныктоого мүмкүндүк берет (мисалы, текшерүү төмөнкүдөй кырдаалдардан качууга мүмкүндүк берет. ssh серверин сыноо учурунда колдонулат, инженердик сырсөз, окуу үчүн /etc/config/shadow же санариптик кол коюуну түзүү).
Source: opennet.ru