Colin Mulliner
Desarrollar y mantener firmware seguro para tabletas, automóviles y dispositivos IoT es difícil. A menudo, el firmware lo desarrolla inicialmente un tercero en lugar de hacerlo internamente. Y puede ser difícil a medida que los proyectos avanzan desde el inicio y la creación de prototipos hasta la ingeniería completa y, finalmente, la implementación y la producción.
Ahora, un ingeniero del servicio de autos sin conductor Cruise está aliviando el dolor con el lanzamiento de FwAnalyzer, una herramienta que él y sus colegas de Cruise desarrollaron ellos mismos. Collin Mulliner pasó más de una década revisando el firmware que se encuentra en los teléfonos y otros dispositivos antes de convertirse en el principal ingeniero de seguridad de Cruise. Ayudó a escribir FWAnalyzer para proporcionar un análisis continuo de firmware automatizado que podría ayudar a los ingenieros en cualquier fase del ciclo de vida del código.
“Es una tranquilidad saber que hay un análisis constante”, dijo Mulliner sobre la herramienta, que discutirá en un panel el miércoles en la conferencia de seguridad Black Hat en Las Vegas. «En cualquier paso del desarrollo… realiza comprobaciones».
La herramienta tiene un menú de reglas de configuración que los ingenieros pueden seleccionar para adaptar el análisis. Las opciones incluyen reglas que se aplican a los metadatos del archivo, como permisos, tipo y propiedad, reglas que tienen como objetivo el contenido de un archivo y reglas que analizan los metadatos del sistema de archivos. Se pueden usar para detectar archivos SETUID para ayudar a identificar ejecutables potencialmente peligrosos. También se pueden usar para identificar cualquier código de depuración que se haya olvidado por error. Eso puede ayudar a evitar que los piratas informáticos hagan un mal uso posterior de ese código. Las capacidades completas van mucho más allá de eso.
“Al contar con estas capacidades, ahora tiene la capacidad de detectar y prevenir una amplia variedad de problemas de seguridad”, escribió Mulliner en una publicación que acompañó la charla del miércoles. «Usando un script externo que proporcionamos, puede detectar cualquier binario no eliminado, lo que evita la fuga de información de depuración potencialmente valiosa».
