2012’de Gömülü cihaz güvenliği araştırmacısı Ang Cui, Las Vegas’taki DefCon güvenlik konferansı, herhangi bir bilgisayarın temelini oluşturan ve donanım ile yazılım arasında koordinasyon sağlayan temel yazılım olan bellenimi analiz etmek için bir aracın ön izlemesini yaptı. Araç, nesnelerin interneti (IoT) cihazının donanım yazılımını ve bir ev yazıcısından endüstriyel bir kapı denetleyicisine kadar herhangi bir şey üzerinde çalışan derlenmiş “ikili dosyaları” açıklamak için özel olarak tasarlanmıştır. FRAK olarak adlandırılan Firmware Ters Analiz Konsolu, güvenlik araştırmacılarının, sıkıcı tersine mühendislik hazırlık çalışmalarına saplanıp kalmak yerine, geniş ve sürekli büyüyen buggy ve savunmasız gömülü aygıt popülasyonunu değerlendirerek ilerleme kaydedebilmeleri için ek yükü azaltmayı amaçladı. Cui, aracın yakında açık kaynak olacağına ve herkesin kullanımına açık olacağına söz verdi.
Cui 2012’de “Gizemli bir gömülü aygıtın nasıl çalıştığını, içinde güvenlik açıkları olup olmadığını ve bu gömülü aygıtları istismara karşı nasıl koruyabileceğinizi anlamak istiyorsanız bu gerçekten kullanışlıdır” dedi. “FRAK çok yakında açık kaynak olacak, bu yüzden bunu ortaya çıkarmak için çok çalışıyoruz. Siz kirli çamaşırlarımı görmeden önce bir geçiş daha, dahili kod incelemesi yapmak istiyorum.”
Kapsamlı değilse hiçbir şey değildi. On yıl sonra, Cui ve şirketi Red Balloon Security, bu hafta Las Vegas’taki DefCon’da Ofrak veya OpenFRAK’ı piyasaya sürüyor.
“2012’de, araştırmacıların gömülü güvenliği ilerletmesine yardımcı olacak bir çerçeve olduğunu düşündüm. Ben de sahneye çıktım ve bence topluluk buna sahip olmalı dedim. Ve birkaç avukattan bir dizi e-posta aldım, ”dedi Cui, WIRED’e yayınlanmadan önce. “Gömülü güvenlik, kesinlikle daha iyi gözlere ve beyinlere sahip olmamız gereken bir alandır. 10 yıl önce buna ihtiyacımız vardı ve sonunda bu yeteneği ortaya çıkarmanın bir yolunu bulduk. İşte burada.”
Kamuya açık bir araç olarak kaderini henüz yerine getirmemiş olsa da, FRAK da bunca yıldır yok olmuyor. Red Balloon Security, hem IoT cihaz üreticileri hem de satın aldıkları ve dağıttıkları gömülü cihazlardan yüksek düzeyde güvenliğe ihtiyaç duyan müşterilerle yaptığı çalışmalarda platformu dahili kullanım için iyileştirmeye ve genişletmeye devam etti. Red Balloon’da yazılım mühendisi olan Jacob Strieb, şirketin iş akışında her zaman FRAK kullandığını, ancak Ofrak’ın Red Balloon’un kendisinin değiştirdiği elden geçirilmiş ve aerodinamik bir sürüm olduğunu söylüyor.
Cui’nin 2012 FRAK demosu, konsept belirli satıcıların ürünleri için uyarlanmış ürün yazılımı paketleyicilerini içerdiğinden, bazı sorunlar yarattı. Bugün, Ofrak, potansiyel ticari sırları veya fikri mülkiyet endişelerini göz ardı etmeyen genel bir araçtır. NSA’nın açık kaynaklı Ghidra aracı, sağlam ayrıştırıcı IDA veya donanım yazılımı analiz aracı Binwalk dahil olmak üzere diğer tersine mühendislik platformları gibi, Ofrak da tarafsız bir araştırma çerçevesidir. Red Balloon’un yeni teklifi, birden fazla kişi arasında daha kolay işbirliği için bu diğer platformlarla entegre olacak şekilde tasarlanmıştır.
Strieb, “Onu benzersiz kılan şey, diğer araçlar için ortak bir arayüz sağlamak üzere tasarlanmış olmasıdır, bu nedenle avantajı, elinizde ne olduğuna veya belirli bir proje için en iyi neyin işe yaradığına bağlı olarak tüm farklı araçları kullanabilmenizdir” diyor.