臉書開源Android、Java App漏洞檢查工具

臉書昨（29）日宣布，將自家檢查Android及Java App漏洞的工具Mariana Trench（MT）以開源專案公開。

為確保旗下行動應用程式，包括FB、IG、WhatsApp的安全性及功能順暢，臉書內部開發出自動化分析工具協助偵測和檢查程式漏洞。今年上半，臉書的自動化工具已經辨識出50多個漏洞。

臉書工程師Dominik Gabi指出，Mariana Trench專案是臉書釋出的第3個程式碼靜態與動態分析工具。在此之前，臉書已釋出Zoncolan及Pysa二項分析工具。三者的運作方式相似，不同的是Zoncolan及Pysa分別分析Hack及Python程式碼，而Mariana Trench則用來分析Android和Java App。

安全分析師是藉由分析程式碼從Source到Sink之間資料流的種種路徑來找出漏洞。臉書指出，大的Codebase中往往包含多種不同類別的Source及Sink，Mariana Trench正是為了掃瞄包括數千萬行程式碼的大型行動App codebase的瑕疵或漏洞而設計，可大幅加速程式碼檢查的速度。

臉書的技術文件網頁寫道，Mariana Trench藉由分析Dalvik bytecode來找出Android和Java程式安全漏洞。它使用名為抽象釋義（abstract interpretation）的靜態分析手法建立一組模型，推測Java method各種資料路徑。安全分析工程師可以透過定義規則，讓它產出可能的資料路徑，藉此分析發現App之中的安全及隱私問題。

除了快速外，臉書並指出，Mariana Trench另一優點是可客製化。安全分析人員經由長期規則設定及告知資料來源，逐漸訓練它來符合組織的需求。

目前這項工具資源已經經由GitHub開放。