ລະຫັດສໍາລັບ FwAnalyzer firmware analyzer ຄວາມປອດໄພໄດ້ຖືກຈັດພີມມາ

Cruise, ບໍລິສັດທີ່ຊ່ຽວຊານໃນເຕັກໂນໂລຊີຂັບລົດອັດຕະໂນມັດ, ເປີດ ລະຫັດແຫຼ່ງໂຄງການ FwAnalyzer, ເຊິ່ງສະຫນອງເຄື່ອງມືສໍາລັບການວິເຄາະຮູບພາບເຟີມແວທີ່ອີງໃສ່ Linux ແລະກໍານົດຈຸດອ່ອນທີ່ເປັນໄປໄດ້ແລະການຮົ່ວໄຫລຂອງຂໍ້ມູນໃນພວກມັນ. ລະຫັດຖືກຂຽນໄວ້ໃນ Go ແລະ ແຈກຢາຍໂດຍ ອະນຸຍາດພາຍໃຕ້ Apache 2.0.

ສະ​ຫນັບ​ສະ​ຫນູນ​ການ​ວິ​ເຄາະ​ຮູບ​ພາບ​ການ​ນໍາ​ໃຊ້ ext2/3/4​, FAT / VFat​, SquashFS ແລະ UBIFS ລະ​ບົບ​ໄຟລ​໌​. ເພື່ອເປີດຮູບພາບ, ເຄື່ອງມືມາດຕະຖານຖືກນໍາໃຊ້, ເຊັ່ນ e2tools, mtools, squashfs-tools ແລະ ubi_reader. FwAnalyzer ສະກັດຕົ້ນໄມ້ໄດເລກະທໍລີຈາກຮູບພາບແລະປະເມີນເນື້ອຫາໂດຍອີງໃສ່ກົດລະບຽບທີ່ກໍານົດໄວ້. ກົດລະບຽບສາມາດຖືກຜູກມັດກັບ metadata ຂອງລະບົບໄຟລ໌, ປະເພດໄຟລ໌, ແລະເນື້ອຫາ. ຜົນໄດ້ຮັບແມ່ນບົດລາຍງານໃນຮູບແບບ JSON, ສະຫຼຸບຂໍ້ມູນທີ່ສະກັດອອກຈາກເຟີມແວແລະສະແດງຄໍາເຕືອນແລະບັນຊີລາຍຊື່ຂອງໄຟລ໌ທີ່ບໍ່ປະຕິບັດຕາມກົດລະບຽບການປຸງແຕ່ງ.

ມັນສະຫນັບສະຫນູນການກວດສອບສິດການເຂົ້າເຖິງໄຟລ໌ແລະໄດເລກະທໍລີ (ຕົວຢ່າງ: ມັນກວດພົບການຂຽນເຂົ້າສໍາລັບທຸກຄົນແລະກໍານົດ UID / GID ທີ່ບໍ່ຖືກຕ້ອງ), ກໍານົດການປະກົດຕົວຂອງໄຟລ໌ທີ່ສາມາດປະຕິບັດໄດ້ດ້ວຍທຸງ suid ແລະການນໍາໃຊ້ແທັກ SELinux, ກໍານົດລະຫັດການເຂົ້າລະຫັດທີ່ລືມແລະເປັນໄປໄດ້. ໄຟລ໌ອັນຕະລາຍ. ເນື້ອຫາເນັ້ນໃສ່ລະຫັດຜ່ານທາງວິສະວະກໍາທີ່ປະຖິ້ມໄວ້ ແລະຂໍ້ມູນການດີບັກ, ເນັ້ນຂໍ້ມູນເວີຊັນ, ລະບຸ/ກວດສອບຮາດແວໂດຍໃຊ້ແທັບ SHA-256, ແລະຊອກຫາໂດຍໃຊ້ໜ້າກາກສະຖິດ ແລະການສະແດງຜົນປົກກະຕິ. ມັນເປັນໄປໄດ້ທີ່ຈະເຊື່ອມຕໍ່ສະຄິບວິເຄາະພາຍນອກກັບບາງປະເພດໄຟລ໌. ສໍາລັບເຟີມແວທີ່ອີງໃສ່ Android, ຕົວກໍານົດການການກໍ່ສ້າງແມ່ນຖືກກໍານົດ (ຕົວຢ່າງ, ການນໍາໃຊ້ ro.secure=1 mode, ro.build.type state ແລະການເປີດໃຊ້ SELinux).

FwAnalyzer ສາມາດຖືກນໍາໃຊ້ເພື່ອງ່າຍການວິເຄາະບັນຫາຄວາມປອດໄພໃນເຟີມແວພາກສ່ວນທີສາມ, ແຕ່ຈຸດປະສົງຕົ້ນຕໍຂອງມັນແມ່ນການຕິດຕາມຄຸນນະພາບຂອງເຟີມແວທີ່ເປັນເຈົ້າຂອງຫຼືສະຫນອງໂດຍຜູ້ຂາຍສັນຍາພາກສ່ວນທີສາມ. ກົດລະບຽບຂອງ FwAnalyzer ຊ່ວຍໃຫ້ທ່ານສາມາດສ້າງຂໍ້ກໍານົດທີ່ຖືກຕ້ອງຂອງສະຖານະເຟີມແວແລະກໍານົດຄວາມບ່ຽງເບນທີ່ບໍ່ສາມາດຍອມຮັບໄດ້, ເຊັ່ນ: ກໍານົດສິດການເຂົ້າເຖິງທີ່ບໍ່ຖືກຕ້ອງຫຼືປ່ອຍໃຫ້ກະແຈສ່ວນຕົວແລະລະຫັດດີບັກ (ຕົວຢ່າງ, ການກວດສອບຊ່ວຍໃຫ້ທ່ານຫຼີກເວັ້ນສະຖານະການເຊັ່ນ: ການປະຖິ້ມ ໃຊ້ໃນລະຫວ່າງການທົດສອບຂອງເຄື່ອງແມ່ຂ່າຍ ssh, ກຳນົດລ່ວງໜ້າ ລະ​ຫັດ​ຜ່ານ​ວິ​ສະ​ວະ​ກໍາ​, ສາມາດເຂົ້າເຖິງໄດ້ ເພື່ອອ່ານ /etc/config/shadow ຫຼື ລືມ ກະແຈ ການສ້າງລາຍເຊັນດິຈິຕອນ).

ແຫຼ່ງຂໍ້ມູນ: opennet.ru