Universal Serial Bus (USB)

Το USB είναι δίαυλος ελεγχόμενος από τον host, με υποστήριξη σύνδεσης εν θερμώ. Ένας ελεγκτής host, συνήθως ο υπολογιστής, διαχειρίζεται έως 127 συνδεδεμένες συσκευές μέσω ενός διαβαθμισμένου αστέρα από hubs. Οι συσκευές μπορούν να συνδέονται και να αποσυνδέονται χωρίς επανεκκίνηση. Ο δίαυλος παρέχει και ρεύμα, γι’ αυτό το ίδιο καλώδιο που μεταφέρει αρχεία μπορεί να φορτίσει ένα τηλέφωνο.

Το στοιχείο που έχει σημασία για την ασφάλεια είναι η απαρίθμηση (enumeration). Όταν συνδέεται μια συσκευή, στέλνει στον host ένα σύνολο περιγραφέων: το αναγνωριστικό κατασκευαστή και το αναγνωριστικό προϊόντος (μαζί VID:PID), τον σειριακό αριθμό, αν τον έχει ορίσει ο κατασκευαστής, και την κλάση της συσκευής. Η κλάση δείχνει στο λειτουργικό σύστημα τι είδους συσκευή δηλώνει ότι είναι, όπως αποθηκευτικός χώρος, πληκτρολόγιο ή τηλέφωνο, και φορτώνεται αυτόματα ο αντίστοιχος οδηγός. Αυτά τα χαρακτηριστικά ταξιδεύουν μαζί με τη συσκευή, οπότε οι κανόνες ελέγχου συσκευών μπορούν να τα χρησιμοποιούν για αντιστοίχιση.

Οι διαδοχικές εκδόσεις του USB αυξάνουν την ταχύτητα μεταφοράς και την παροχή ισχύος, διατηρώντας τη συμβατότητα προς τα πίσω. Μια παλιά συσκευή λειτουργεί σε νέα θύρα, αλλά με την παλιά ταχύτητα. Για τον σχεδιασμό του κινδύνου διαρροής δεδομένων μετράει ο ρυθμός σηματοδοσίας, γιατί καθορίζει πόσο γρήγορα μπορούν να κινηθούν τα δεδομένα. Στις ταχύτητες του USB 3, εκατοντάδες gigabyte χωρούν σε υλικό μεγέθους αντίχειρα.

Οι εμπορικές ονομασίες άλλαξαν με τα χρόνια. Τα USB 3.0, 3.1 Gen 1 και 3.2 Gen 1 περιγράφουν όλα το ίδιο επίπεδο των 5 Gbps.

Το USB είναι απαραίτητη επιχειρησιακή υποδομή. Συνδέει πληκτρολόγια και ακουστικά, εκτυπωτές αποδείξεων και σαρωτές, dongles, tethering τηλεφώνου και φόρτιση. Μεταφέρει επίσης μεγάλους όγκους αρχείων σε αφαιρούμενα μέσα ανάμεσα σε αποσυνδεδεμένα δίκτυα. Το πλήρες μπλοκάρισμα του διαύλου σπάνια είναι εφαρμόσιμο.

Η ίδια θύρα είναι και κορυφαίο κανάλι εξαγωγής δεδομένων. Μια μεταφορά σε φλας μνήμης δεν αφήνει ίχνος στο δίκτυο, λειτουργεί εκτός σύνδεσης και μετακινεί πολύ μεγάλους όγκους γρήγορα. Το μέσο είναι εύκολο να κρυφτεί ή να χαθεί. Ένας μη κρυπτογραφημένος δίσκος που ξεχάστηκε εκτός γραφείου μπορεί να γίνει διαρροή δεδομένων που πρέπει να αναφερθεί. Γι’ αυτό ο έλεγχος του USB αφορά κυρίως τη λεπτομέρεια των πολιτικών, και όχι έναν απλό διακόπτη ενεργοποίησης και απενεργοποίησης.

Το πρωτόκολλο και το βύσμα είναι ξεχωριστές επιλογές. Μία έκδοση μπορεί να λειτουργεί με πολλά σχήματα συνδέσμων, γι’ αυτό ένα συρτάρι με καλώδια σπάνια ταιριάζει με την πρώτη προσπάθεια.

Το USB-C γίνεται η ενιαία τυπική θύρα σε σταθμούς σύνδεσης και φορτιστές. Το Micro-B παραμένει σε πολλές συμπαγείς συσκευές.

• USB-A: η αρχική ορθογώνια θύρα host, μη αναστρέψιμη, ακόμη συνηθισμένη σε επιτραπέζιους υπολογιστές.
• USB-B, Mini-B, Micro-B: τετράγωνοι και μικροί σύνδεσμοι σε εκτυπωτές, εξωτερικούς δίσκους και παλιά τηλέφωνα.
• USB-C: μικρός οβάλ αναστρέψιμος σύνδεσμος που μεταφέρει δεδομένα, έως 240 W ισχύ και βίντεο μέσω Alternate Modes.

Η αποθήκευση δεν είναι ο μόνος κίνδυνος στη θύρα. Σε μια επίθεση BadUSB, ο ελεγκτής μέσα στη συσκευή επαναπρογραμματίζεται ώστε να εμφανίζεται ως κάτι άλλο, συνήθως ως πληκτρολόγιο. Στη συνέχεια η συσκευή πληκτρολογεί εντολές στον host. Το λειτουργικό σύστημα εμπιστεύεται την είσοδο HID, οπότε η ένεση δύσκολα ξεχωρίζει από πραγματική πληκτρολόγηση. Ο κώδικας στο firmware μπορεί να επιβιώσει ακόμη και μετά από μορφοποίηση.

Οι συναφείς φορείς κινδύνου είναι μάλλον μηχανικοί παρά τεχνικοί. Μολυσμένοι δίσκοι αφήνονται εκεί όπου οι υπάλληλοι θα τους βρουν και θα τους συνδέσουν, και δημόσια σημεία φόρτισης μπορεί να εκμεταλλευτούν τις γραμμές δεδομένων. Οι άμυνες προκύπτουν από τον ίδιο τον σχεδιασμό: ελέγχεις ποιες κλάσεις συσκευών επιτρέπεται να συνδεθούν, κρίνεις τις συσκευές από το VID:PID και τον σειριακό αριθμό και όχι από την εμφάνιση, και αντιμετωπίζεις κάθε άγνωστη συσκευή ως άγνωστη, όσο αβλαβής κι αν φαίνεται. Έλεγχοι endpoint, όπως το DLP στα endpoints, εφαρμόζουν αυτούς τους κανόνες σε κάθε σταθμό εργασίας.

Η κλάση που αναφέρεται κατά την απαρίθμηση καθορίζει ποιος οδηγός φορτώνεται, τι μπορεί να κάνει η συσκευή και πόση εμπιστοσύνη της δίνει το λειτουργικό σύστημα. Οι φλας μνήμες και οι εξωτερικοί δίσκοι είναι οι φορητές συσκευές αποθήκευσης που σκέφτονται οι περισσότεροι, αλλά η λίστα είναι ευρύτερη. Οι κλάσεις CDC και οι ειδικές του κατασκευαστή είναι συνήθως νόμιμες, αλλά περιστασιακά χρησιμεύουν ως κρυφό μονοπάτι.

Στον έλεγχο USB και εξωτερικών δίσκων ο διαχειριστής αποφασίζει ποιες συσκευές μπορούν να συνδεθούν και τι μπορούν να κάνουν. Η πρώτη λήψη δείχνει τους διακόπτες ελέγχου συσκευών σε ένα προφίλ πράκτορα. Η δεύτερη δείχνει μια συσκευή με αναγνωριστικό κατασκευαστή, αναγνωριστικό προϊόντος και σειριακό αριθμό, δηλαδή την ταυτότητα με την οποία συγκρίνονται οι κανόνες.

1 / 2

• 
• 

Ξεκινήστε από τις θύρες και τις κλάσεις συσκευών που μεταφέρουν τα περισσότερα δεδομένα, και μετά αποφασίστε ποιες χρειάζονται πλήρη πρόσβαση, πρόσβαση μόνο για ανάγνωση ή καμία πρόσβαση. Ένας κανόνας για όλες τις θύρες μαζί καταλήγει συνήθως να μπλοκάρει πληκτρολόγια και εκτυπωτές, και τότε απενεργοποιείται.

Κρατήστε την απόφαση στην πολιτική και όχι στη συνήθεια: ένας εγκεκριμένος δίσκος πρέπει να αναγνωρίζεται από την ταυτότητά του, και ένας άγνωστος να απορρίπτεται μέχρι να τον ελέγξει κάποιος.

Περισσότερα: Πώς να αποτρέψετε τη μη εξουσιοδοτημένη πρόσβαση στον υπολογιστή σας.