„Cruise“, įmonė, kuri specializuojasi automatizuotų vairavimo technologijų srityje, projekto šaltinio kodai , kuriame pateikiami įrankiai, skirti analizuoti Linux pagrindu sukurtus programinės aparatinės įrangos vaizdus ir nustatyti galimus pažeidžiamumus bei duomenų nutekėjimą juose. Kodas parašytas Go kalba ir licencijuota pagal Apache 2.0.
Palaiko vaizdų analizę naudojant ext2/3/4, FAT/VFat, SquashFS ir UBIFS failų sistemas. Norėdami atidaryti vaizdą, naudojamos standartinės priemonės, tokios kaip e2tools, mtools, squashfs-tools ir ubi_reader. FwAnalyzer iš vaizdo ištraukia katalogų medį ir įvertina turinį pagal taisyklių rinkinį. Taisyklės gali būti susietos su failų sistemos metaduomenimis, failo tipu ir turiniu. Išvestis yra JSON formato ataskaita, kurioje apibendrinama iš programinės aparatinės įrangos išgauta informacija ir rodomi įspėjimai bei failų, kurie neatitinka apdorotų taisyklių, sąrašas.
Jis palaiko prieigos prie failų ir katalogų teisių tikrinimą (pavyzdžiui, aptinka rašymo prieigą visiems ir nustato neteisingą UID/GID), nustato vykdomųjų failų su suid vėliava buvimą ir SELinux žymų naudojimą, identifikuoja pamirštus šifravimo raktus ir galbūt pavojingus failus. Turinyje pabrėžiami palikti inžineriniai slaptažodžiai ir derinimo duomenys, paryškinama versijos informacija, identifikuojama / patikrinama aparatinė įranga naudojant SHA-256 maišą ir atliekama paieška naudojant statines kaukes ir reguliariąsias išraiškas. Galima susieti išorinio analizatoriaus scenarijus su tam tikrais failų tipais. „Android“ pagrįstos programinės įrangos kūrimo parametrai yra apibrėžti (pavyzdžiui, naudojant ro.secure=1 režimą, ro.build.type būseną ir SELinux aktyvinimą).
„FwAnalyzer“ gali būti naudojamas siekiant supaprastinti trečiųjų šalių programinės įrangos saugumo problemų analizę, tačiau pagrindinis jos tikslas yra stebėti programinės įrangos, kuri priklauso trečiųjų šalių sutarčių pardavėjams, kokybę. „FwAnalyzer“ taisyklės leidžia sugeneruoti tikslią programinės aparatinės įrangos būsenos specifikaciją ir nustatyti nepriimtinus nukrypimus, pvz., netinkamų prieigos teisių priskyrimą arba privačių raktų palikimą ir derinimo kodą (pavyzdžiui, patikrinimas leidžia išvengti tokių situacijų, kaip pvz. naudojamas bandant ssh serverį, inžinerinis slaptažodis, perskaityti /etc/config/shadow arba skaitmeninio parašo formavimas).
Šaltinis: opennet.ru