en el 2012 En la conferencia de seguridad DefCon en Las Vegas, Ang Cui, un investigador de seguridad de dispositivos integrados, hizo una vista previa de una herramienta para analizar el firmware, el software fundamental que sustenta cualquier computadora y coordina entre el hardware y el software. La herramienta fue diseñada específicamente para dilucidar el firmware del dispositivo de Internet de las cosas (IoT) y los «binarios» compilados que se ejecutan en cualquier cosa, desde una impresora doméstica hasta un controlador de puerta industrial. Apodada FRAK, la Consola de análisis inverso de firmware tenía como objetivo reducir los gastos generales para que los investigadores de seguridad pudieran avanzar en la evaluación de la vasta y creciente población de dispositivos integrados vulnerables y con errores en lugar de empantanarse en el tedioso trabajo de preparación de ingeniería inversa. Cui prometió que la herramienta pronto sería de código abierto y estaría disponible para que cualquiera la use.
“Esto es realmente útil si desea comprender cómo funciona un dispositivo incrustado misterioso, si hay vulnerabilidades en su interior y cómo puede proteger estos dispositivos incrustados contra la explotación”, explicó Cui en 2012. “FRAK será de código abierto muy pronto, así que estamos trabajando duro para sacar eso a la luz. Quiero hacer una pasada más, revisión del código interno antes de que vean mis trapos sucios”.
No era más que minucioso. Una década después, Cui y su compañía, Red Balloon Security, lanzarán Ofrak, u OpenFRAK, en DefCon en Las Vegas esta semana.
“En 2012 pensé, aquí hay un marco que ayudaría a los investigadores a hacer avanzar la seguridad integrada. Y subí al escenario y dije, creo que la comunidad debería tenerlo. Y recibí varios correos electrónicos de varios abogados”, dijo Cui a WIRED antes del lanzamiento. “La seguridad integrada es un espacio en el que absolutamente necesitamos tener más buenos ojos y cerebro. Lo necesitábamos hace 10 años y finalmente encontramos una manera de brindar esta capacidad. Asi que aqui esta.»
Aunque aún no había cumplido su destino como herramienta disponible públicamente, FRAK tampoco ha estado languideciendo todos estos años. Red Balloon Security continuó perfeccionando y ampliando la plataforma para uso interno en su trabajo tanto con los fabricantes de dispositivos IoT como con los clientes que necesitan un alto nivel de seguridad de los dispositivos integrados que compran e implementan. Jacob Strieb, un ingeniero de software en Red Balloon, dice que la compañía siempre usó FRAK en su flujo de trabajo, pero que Ofrak es una versión revisada y simplificada a la que Red Balloon se ha cambiado.
La demostración de FRAK de Cui en 2012 provocó algunos problemas porque el concepto incluía desempaquetadores de firmware personalizados para productos de proveedores específicos. Hoy en día, Ofrak es simplemente una herramienta general que no se adentra en posibles secretos comerciales o problemas de propiedad intelectual. Al igual que otras plataformas de ingeniería inversa, incluida la herramienta Ghidra de código abierto de la NSA, el robusto desensamblador IDA o la herramienta de análisis de firmware Binwalk, Ofrak es un marco de investigación neutral. Y la nueva oferta de Red Balloon está diseñada para integrarse con estas otras plataformas para facilitar la colaboración entre varias personas.
“Lo que lo hace único es que está diseñado para proporcionar una interfaz común para otras herramientas, por lo que el beneficio es que puede usar todas las diferentes herramientas según lo que tenga a su disposición o lo que funcione mejor para un determinado proyecto”, dice Strieb.