2012年に ラスベガスで開催された DefCon セキュリティ カンファレンスで、組み込みデバイスのセキュリティ研究者である Ang Cui 氏は、 プレビューした ファームウェアを分析するためのツールです。これは、あらゆるコンピューターを支え、ハードウェアとソフトウェアの間を調整する基本的なソフトウェアです。 このツールは、モノのインターネット (IoT) デバイスのファームウェアと、家庭用プリンターから産業用ドア コントローラーまで、あらゆるデバイスで実行されるコンパイル済みの「バイナリ」を解明するために特別に設計されました。 FRAK と呼ばれるファームウェア リバース分析コンソールは、オーバーヘッドを削減することを目的としていました。これにより、セキュリティ研究者は、退屈なリバース エンジニアリングの準備作業に行き詰まるのではなく、膨大で増え続けるバグのある脆弱な組み込みデバイスの評価を進めることができます。 Cui は、このツールがまもなくオープン ソースになり、誰でも使用できるようになると約束しました。
「これは、謎の組み込みデバイスがどのように機能するか、内部に脆弱性があるかどうか、およびこれらの組み込みデバイスを悪用から保護する方法を理解したい場合に非常に役立ちます」と Cui は 2012 年に説明しました。私たちはそれを実現するために懸命に取り組んでいます。 皆さんが私の汚れた洗濯物を見る前に、もう 1 パス、内部コードのレビューを行いたいと思います。」
彼は徹底的ではないにしても何もありませんでした。 10 年後、Cui と彼の会社である Red Balloon Security は、 起動中 今週ラスベガスで開催された DefCon での Ofrak、または OpenFRAK。
「2012 年に私は、研究者が組み込みセキュリティを前進させるのに役立つフレームワークがここにあると考えました。 そして私はステージに上がり、コミュニティはそれを持っているべきだと思います. そして、私は多くの弁護士から多くの電子メールを受け取りました」とCuiはリリースに先立ってWIREDに語った. 「組み込みセキュリティは、より良い目と頭脳を持つことが絶対に必要な分野です。 10 年前に必要でしたが、ついにこの機能を提供する方法を見つけました。 そう ここにあります」
FRAK は、公開ツールとしての運命をまだ果たせていませんでしたが、FRAK もここ数年衰退していません。 Red Balloon Security は、IoT デバイス メーカーと、購入して展開する組み込みデバイスに高レベルのセキュリティを必要とする顧客の両方との共同作業において、社内で使用するためのプラットフォームの改良と拡張を続けました。 Red Balloon のソフトウェア エンジニアである Jacob Strieb 氏によると、同社は常にワークフローで FRAK を使用していましたが、Ofrak は、Red Balloon 自身が切り替えたオーバーホールされた合理化されたバージョンです。
Cui の 2012 年の FRAK のデモでは、特定のベンダーの製品向けに調整されたファームウェア アンパッカーがコンセプトに含まれていたため、いくつかのハックルが発生しました。 今日、Ofrak は単なる一般的なツールであり、潜在的な企業秘密や知的財産の問題に踏み込むことはありません。 NSA のオープン ソース Ghidra ツール、強力な逆アセンブラー IDA、ファームウェア分析ツール Binwalk など、他のリバース エンジニアリング プラットフォームと同様に、Ofrak は中立的な調査フレームワークです。 また、Red Balloon の新しいサービスは、これらの他のプラットフォームと統合して、複数のユーザー間のコラボレーションを容易にするように設計されています。
「ユニークな点は、他のツールに共通のインターフェースを提供するように設計されていることです。そのため、自由に使えるものや特定のプロジェクトに最適なものに応じて、さまざまなツールをすべて使用できるという利点があります」と Strieb 氏は言います。