Cruise, et selskap som spesialiserer seg på automatiserte kjøreteknologier, prosjektkildekoder , som gir verktøy for å analysere Linux-baserte fastvarebilder og identifisere potensielle sårbarheter og datalekkasjer i dem. Koden er skrevet i Go og lisensiert under Apache 2.0.
Støtter analyse av bilder ved hjelp av ext2/3/4, FAT/VFat, SquashFS og UBIFS filsystemer. For å åpne bildet brukes standardverktøy, som e2tools, mtools, squashfs-tools og ubi_reader. FwAnalyzer trekker ut katalogtreet fra bildet og evaluerer innholdet basert på et sett med regler. Regler kan knyttes til filsystemmetadata, filtype og innhold. Utdataene er en rapport i JSON-format, som oppsummerer informasjonen som er hentet fra fastvaren og viser advarsler og en liste over filer som ikke er i samsvar med de behandlede reglene.
Den støtter sjekking av tilgangsrettigheter til filer og kataloger (for eksempel oppdager den skrivetilgang for alle og setter feil UID/GID), bestemmer tilstedeværelsen av kjørbare filer med suid-flagget og bruk av SELinux-tagger, identifiserer glemte krypteringsnøkler og potensielt farlige filer. Innholdet fremhever forlatte ingeniørpassord og feilsøkingsdata, fremhever versjonsinformasjon, identifiserer/verifiserer maskinvare ved hjelp av SHA-256-hasher, og søk ved hjelp av statiske masker og regulære uttrykk. Det er mulig å koble eksterne analysatorskript til visse filtyper. For Android-basert fastvare defineres byggeparametere (for eksempel ved å bruke ro.secure=1-modus, ro.build.type-tilstand og SELinux-aktivering).
FwAnalyzer kan brukes til å forenkle analysen av sikkerhetsproblemer i tredjeparts fastvare, men hovedformålet er å overvåke kvaliteten på fastvaren som eies eller leveres av tredjeparts kontraktsleverandører. FwAnalyzer-regler lar deg generere en nøyaktig spesifikasjon av fastvaretilstanden og identifisere uakseptable avvik, som å tildele feil tilgangsrettigheter eller forlate private nøkler og feilsøkingskode (for eksempel lar sjekking deg unngå situasjoner som f.eks. brukes under testing av ssh-serveren, teknisk passord, for å lese /etc/config/shadow eller dannelse av en digital signatur).
Kilde: opennet.ru