Објавен е кодот за безбедносниот анализатор на фирмверот FwAnalyzer

Круз, компанија специјализирана за технологии за автоматско возење, отворен изворни кодови на проектот FwAnalyzer, кој обезбедува алатки за анализа на сликите на фирмверот базирани на Linux и идентификување на потенцијалните пропусти и протекување податоци во нив. Кодот е напишан на јазик Go и дистрибуирани од лиценциран под Apache 2.0.

Поддржува анализа на слики користејќи ext2/3/4, FAT/VFat, SquashFS и UBIFS датотечни системи. За отворање на сликата, се користат стандардни алатки, како што се e2tools, mtools, squashfs-tools и ubi_reader. FwAnalyzer го извлекува дрвото на директориуми од сликата и ја проценува содржината врз основа на множество правила. Правилата може да се поврзат со метаподатоците на датотечниот систем, типот на датотеката и содржината. Излезот е извештај во JSON формат, кој ги сумира информациите извлечени од фирмверот и прикажува предупредувања и листа на датотеки што не се во согласност со обработените правила.

Поддржува проверка на правата за пристап до датотеки и директориуми (на пример, открива пристап за пишување за секого и поставува неточни UID/GID), одредува присуство на извршни датотеки со знаменцето suid и употреба на ознаки SELinux, идентификува заборавени клучеви за шифрирање и потенцијално опасни датотеки. Содржината ги истакнува напуштените инженерски лозинки и податоци за дебагирање, ги истакнува информациите за верзијата, го идентификува/проверува хардверот користејќи хашови на SHA-256 и пребарува користејќи статични маски и регуларни изрази. Можно е да се поврзат скриптите на надворешниот анализатор со одредени типови датотеки. За фирмверот базиран на Android, се дефинирани параметрите за изградба (на пример, користење на режимот ro.secure=1, состојбата ro.build.type и активирањето SELinux).

FwAnalyzer може да се користи за да се поедностави анализата на безбедносните проблеми во фирмверот од трети страни, но неговата главна цел е да го следи квалитетот на фирмверот што е во сопственост или испорачан од продавачи со договори од трета страна. Правилата FwAnalyzer ви дозволуваат да генерирате точна спецификација на состојбата на фирмверот и да ги идентификувате неприфатливите отстапувања, како што се доделување погрешни права за пристап или оставање приватни клучеви и код за отстранување грешки (на пример, проверката ви овозможува да избегнете ситуации како што се напуштање се користи за време на тестирањето на ssh серверот, предефинирани инженерска лозинка, достапен за читање /etc/config/shadow или заборавени клучеви формирање на дигитален потпис).

Извор: opennet.ru