Ghidra: Coreboot nutzt NSA-Tool zum Reverse Engineering

Das Coreboot-Projekt nutzt das NSA-Werkzeug Ghidra künftig zur Analyse von proprietärer Firmware. Als GSoC-Projekt entstehen dazu verschiedene Plugins für die Open-Source-Software.

Artikel veröffentlicht am 6. Juni 2019, 16:40 Uhr, Sebastian Grüner

Das Maskottchen von Coreboot ist ein Hase. (Bild: pazaconyoman, flickr.com/CC-BY-SA 2.0)

Das Coreboot-Projekt versucht, komplett freie Firmware für Rechner zu erstellen. In einigen Fällen beteiligen sich die Hersteller direkt an dieser Arbeit. Oft müssen die Coreboot-Entwickler dazu jedoch die proprietäre Firmware der Hersteller per Reverse Engineering detailliert untersuchen. Künftig greift das Projekt hierfür auch auf das Werkzeug Ghidra der NSA zurück.

Der US-amerikanische Überwachungsgeheimdienst NSA hat Ghidra im Frühjahr dieses Jahres als Open Source veröffentlicht und die Software ist explizit für das Reverse Engineering gedacht. Die Anwendung ist eine Alternative zu dem sonst bei Forschern sehr beliebten IDA. Immerhin ist Ghidra im Gegensatz zu IDA kostenfrei einsetzbar und eignet sich mit seiner freien Verfügbarkeit auch bestens für den Einsatz in Open-Source-Projekten.

Die Arbeit mit Ghidra für Coreboot ist Teil eines Projekts des Google Summer of Code (GSoC), wobei verschiedene Module für Ghidra erstellt werden sollen. Ziel ist es, demnach Plugins zum Laden von PCI Option ROMs und ganzen Firmware-Abbildern zu erstellen ebenso wie verschiedene Skripte, um UEFI-Binärdateien näher zu untersuchen.

In den ersten Wochen des Projekts hat der Entwickler Alex James ein Lademodul für das Dateisystem der Option ROMs erstellt, um diese in Ghidra untersuchen zu können. Die UEFI-Binärdateien werden dabei als ausführbare Dateien im Format PE32+ geladen. Außerdem ist ein Wrapper entstanden, mit dem auch komprimierte EFI-Abbilder in Ghidra geladen werden können. Ob und inwiefern die Arbeiten des GSoC-Projekts dauerhaft dem Coreboot-Projekt zugute kommen können, muss sich zwar noch zeigen; allerdings ist Ghidra eben auch explizit für den Zweck des Reverse Engineering gedacht, so dass dessen Nutzung insbesondere bei Coreboot wohl Anklang finden dürfte.