Facebookが発表 数日前に彼は釈放された オープンソースの静的アナライザー、Mariana Trench、 これは、Android アプリケーションと Java プログラムの脆弱性を特定することを目的としています。
で ソースコードなしでプロジェクトを分析する機能が提供されます、Dalvik 仮想マシンのバイトコードのみが利用可能です。 もう 10 つの利点は、実行速度が非常に速いことです (数百万行のコードの解析には約 XNUMX 秒かかります)。これにより、提案されたすべての変更を導入時に Mariana Trench を使用してチェックできます。
パーサー コードレビュープロセスを自動化するプロジェクトの一部として開発されました モバイルアプリのフォント Facebook、Instagram、Whatsappから。
Android および Java アプリケーションのセキュリティとプライバシーのバグを検出および防止するために使用するツール、Mariana Trench (MT) についての詳細を共有します。 ビルディングオートメーションを通じてセキュリティの拡張を支援する取り組みの一環として、私たちは最近、Facebook および業界全体のセキュリティ エンジニアをサポートするために MT を開設しました。
この投稿は、私たちが信頼する静的および動的分析ツールを詳しく解説するシリーズの XNUMX 番目です。 MT は、Zoncolan と Pysa に続く最新のシステムで、それぞれ Hack コードと Python コード用に構築されています。
2021 年上半期に、Facebook モバイル アプリのすべての脆弱性の半数が自動スキャン ツールを使用して特定されました。 Mariana Trench のコードは他の Facebook プロジェクトと密接に絡み合っており、たとえば、Redex バイトコード オプティマイザーの操作はバイトコードの分析に使用され、SPARTA ライブラリは静的分析から結果の視覚的な解釈と調査に使用されます。
データ ストリームを分析することで、潜在的な脆弱性とセキュリティ問題を特定します アプリケーションの実行中に、 状況を特定できるようになります ここでは、生の外部データが SQL クエリ、ファイル操作、外部プログラムの起動につながる呼び出しなどの危険な構造で処理されます。
MT は、大規模なモバイル コードベースをスキャンし、プル リクエストが公開される前に潜在的な問題にフラグを立てられるように設計されています。 これは、Facebook ソフトウェアとセキュリティ エンジニアの緊密なコラボレーションの結果として作成されました。セキュリティ エンジニアは、コードを調べてデータがどのように流れるかを分析するように MT を訓練します。 データ フロー分析は、多くのセキュリティとプライバシーの問題を、本来あるべきではない場所に流れるデータとしてモデル化できるため便利です。
パーサーの仕事は、データ ソースと危険な呼び出しを判断することだけです。 元のデータを使用すべきではない場所: パーサーは、一連の関数呼び出しにおけるデータの通過を監視し、初期データをコード内の潜在的に危険な場所に接続します。
MT では、データ フローは次のように記述できます。
- 出典: 原点。 これは、「Intent.getData」を介してアプリケーションに供給されるユーザーによって制御される文字列にすることができます。
- シンク：運命。 Android では、これは「Log.w」または「Runtime.exec」への呼び出しになります。 たとえば、Intent.getData への呼び出しからのデータは監視対象のソースとみなされ、Log.w および Runtime.exec への呼び出しは危険な使用とみなされます。
大規模なコード ベースには、さまざまな種類のソースと対応するシンクを含めることができます。 ルールを定義することで、MT に特定のフローを表示するように指示できます。
たとえば、「ユーザー制御の」ソースから「インテント リダイレクト」のシンクまでのすべてのトレースを表示するルールを定義することで、インテント リダイレクト (攻撃者が機密データの傍受を可能にする問題) を見つけたいことをルールで指定できます。
最後に あなたがそれについてもっと知りたいのなら、確認できます 次のリンクの詳細.