Universal Serial Bus (USB)

USB ناقل يديره الجهاز المضيف ويدعم التوصيل أثناء التشغيل. تدير وحدة تحكم مضيفة واحدة، غالباً الحاسوب، حتى 127 جهازاً متصلاً عبر نجمة متدرجة من الموزعات (hubs). يمكن توصيل الأجهزة وفصلها دون إعادة تشغيل. ويوفر الناقل الطاقة الكهربائية أيضاً، ولذلك يستطيع الكابل الذي ينقل الملفات أن يشحن هاتفاً.

الجانب المهم أمنياً هو التعداد (enumeration). عند توصيل جهاز، يُرسل إلى المضيف مجموعة من الواصفات: معرّف المُصنِّع ومعرّف المنتج (معاً VID:PID)، والرقم التسلسلي إن خصّصه المُصنِّع، وفئة الجهاز. تخبر الفئة نظام التشغيل بنوع الجهاز الذي يدّعي أنه، كالتخزين أو لوحة المفاتيح أو الهاتف، ويُحمَّل التعريف المناسب تلقائياً. تسافر هذه السمات مع الجهاز نفسه، لذلك يمكن لسياسات التحكم في الأجهزة أن تطابقها.

ترفع كل نسخة من USB سرعة النقل وتوصيل الطاقة، وتبقى متوافقة مع الإصدارات السابقة. يعمل الجهاز القديم في منفذ جديد، لكن بالسرعة القديمة. وعند تخطيط مخاطر تسرّب البيانات يهم معدل الإشارة، لأنه يحدد سرعة نقل البيانات. وبسرعات USB 3 تتسع مئات الغيغابايتات في عتاد بحجم إبهام.

تغيّرت الأسماء التسويقية مع الزمن. فـ USB 3.0 و3.1 Gen 1 و3.2 Gen 1 تصف كلها المستوى نفسه البالغ 5 جيجابت في الثانية.

USB بنية تحتية لا غنى عنها للأعمال. يوصّل لوحات المفاتيح وسماعات الرأس، وطابعات الإيصالات والماسحات الضوئية، ومفاتيح الترخيص (dongles)، وربط الهاتف (tethering)، والشحن. كما ينقل ملفات كثيرة عبر الوسائط القابلة للإزالة بين شبكات غير متصلة. وحظر الناقل بالكامل نادراً ما يكون عملياً.

المنفذ نفسه قناة رئيسية لـتهريب البيانات. ينقل النسخ إلى قلم ذاكرة دون أن يترك أثراً على الشبكة، ويعمل دون اتصال، وينقل كميات كبيرة بسرعة. والوسيط نفسه سهل الإخفاء أو الضياع. وقد يتحول قرص غير مشفّر نُسي خارج المكتب إلى تسرّب بيانات يجب الإبلاغ عنه. لذلك يعتمد التحكم في USB غالباً على دقة السياسات، لا على مفتاح تشغيل وإيقاف.

البروتوكول والقابس خياران منفصلان. يمكن لإصدار واحد أن يعمل عبر عدة أشكال من الموصلات، ولهذا نادراً ما يتطابق درج الكابلات من المحاولة الأولى.

يصبح USB-C المنفذ القياسي الوحيد في محطات الإرساء والشواحن. ويستمر Micro-B في أجهزة مدمجة كثيرة.

• USB-A: المنفذ المستطيل الأصلي للمضيف، غير قابل للعكس، وما زال شائعاً في الحواسيب المكتبية.
• USB-B وMini-B وMicro-B: موصلات مربعة وصغيرة في الطابعات والأقراص والهواتف القديمة.
• USB-C: موصل بيضاوي صغير قابل للعكس، ينقل البيانات وطاقة تصل إلى 240 واط وفيديو عبر الأوضاع البديلة.

التخزين ليس الخطر الوحيد على هذا المنفذ. في هجوم BadUSB، تُعاد برمجة وحدة التحكم داخل الجهاز لتعرض نفسها كجهاز آخر، عادةً لوحة مفاتيح، ثم تكتب أوامر على المضيف. ولأن نظام التشغيل يثق بمدخلات HID، يصعب تمييز هذا الحقن عن الكتابة الفعلية. ويمكن للشيفرة في البرنامج الثابت (firmware) أن تبقى حتى بعد إعادة التهيئة.

المخاطر المرتبطة ميكانيكية أكثر منها تقنية. تُترك أقراص مصابة حيث سيجدها الموظفون ويوصّلونها، وتُسيء نقاط الشحن العامة استخدام خطوط البيانات. وتنبع الدفاعات من التصميم نفسه: تحكّم في فئات الأجهزة المسموح لها بالاتصال أصلاً، واحكم على الأجهزة بـ VID:PID والرقم التسلسلي لا بمظهرها، وعامل الجهاز المجهول كمجهول مهما بدا غير ضار. وتطبّق ضوابط النقاط الطرفية مثل DLP على نقاط النهاية هذه القواعد على كل محطة عمل.

تحدد الفئة المُبلَّغ عنها أثناء التعداد التعريف الذي يُحمَّل، وما الذي يستطيع الجهاز فعله، ومقدار الثقة التي يمنحها نظام التشغيل له. الأقراص المحمولة والأقراص الخارجية هي أجهزة التخزين المحمولة التي يتخيلها معظم الناس، لكن القائمة أوسع. وفئتا CDC والخاصة بالمُصنِّع مشروعتان عادةً، لكنهما قد تكونان أحياناً مساراً خفياً.

في التحكم في USB والأقراص الخارجية يقرر المسؤول أي الأجهزة يمكنها الاتصال وما الذي تستطيع فعله. يُظهر الإطار الأول مفاتيح تدقيق الأجهزة في ملف تعريف للعملاء. ويعرض الإطار الثاني جهازاً مع معرّف المُصنِّع ومعرّف المنتج والرقم التسلسلي، وهي الهوية التي تطابقها القواعد.

1 / 2

• 
• 

ابدأ بالمنافذ وفئات الأجهزة التي تحمل أكبر قدر من البيانات، ثم قرّر أيها يحتاج إلى وصول كامل، وأيها إلى وصول للقراءة فقط، وأيها إلى منع تام. فالقاعدة الواحدة لكل المنافذ تنتهي غالباً بحظر لوحات المفاتيح والطابعات، ثم تُعطَّل.

اجعل القرار في السياسة لا في العادة: ينبغي أن يُتعرَّف على الجهاز المعتمد من هويته، وأن يُرفض الجهاز المجهول إلى أن يراجعه أحد.

للمزيد من القراءة: كيف تمنع الوصول غير المصرّح به إلى حاسوبك.