Universal Serial Bus (USB)

USB es un bus controlado por el host, con conexión en caliente. Un controlador host, normalmente la computadora, administra hasta 127 dispositivos conectados mediante una estrella escalonada de concentradores. Los dispositivos pueden conectarse y desconectarse sin reiniciar. El bus también suministra energía, por eso el mismo cable que transfiere archivos puede cargar un teléfono.

El aspecto que importa para la seguridad es la enumeración. Al conectarse, el dispositivo envía al host un conjunto de descriptores: el ID del fabricante y el ID del producto (juntos, VID:PID), un número de serie si el fabricante lo asignó, y una clase de dispositivo. La clase indica al sistema operativo qué tipo de dispositivo dice ser, como almacenamiento, teclado o teléfono, y el controlador correspondiente se carga automáticamente. Estos atributos viajan con el propio dispositivo, por eso las políticas de control de dispositivos pueden usarlos para hacer coincidencias.

Cada versión de USB eleva la velocidad de transferencia y la entrega de energía, y mantiene la compatibilidad con las anteriores. Un dispositivo antiguo sigue funcionando en un puerto nuevo, pero a la velocidad antigua. Para planificar el riesgo de fuga de datos importa la tasa de señalización, porque define qué tan rápido pueden moverse los datos. A velocidades de USB 3, cientos de gigabytes caben en un dispositivo del tamaño de un pulgar.

Los nombres comerciales se han renumerado con los años. USB 3.0, 3.1 Gen 1 y 3.2 Gen 1 describen todos el mismo nivel de 5 Gbps.

USB es una infraestructura de negocio indispensable. Transporta teclados y audífonos, impresoras de tickets y escáneres, dongles, la conexión del teléfono (tethering) y la carga. También mueve grandes volúmenes de archivos en medios extraíbles entre redes desconectadas. Bloquear el bus por completo rara vez es práctico.

El mismo puerto es un canal de exfiltración de datos de primer nivel. Una transferencia a una memoria USB no deja rastro en la red, funciona sin conexión y mueve volúmenes muy grandes con rapidez. El medio es fácil de ocultar o de perder. Una unidad sin cifrar olvidada fuera de la oficina puede convertirse en una fuga de datos que hay que notificar. Por eso el control de USB suele depender de la granularidad de las políticas, no de un interruptor de encendido y apagado.

El protocolo y el enchufe son decisiones separadas. Una misma versión puede funcionar con varias formas de conector, por eso un cajón de cables rara vez acierta al primer intento.

USB-C se está convirtiendo en el único puerto estándar de las estaciones de acoplamiento y los cargadores. El Micro-B sigue presente en muchos dispositivos compactos.

• USB-A: el puerto rectangular original del host. No es reversible y todavía es habitual en computadoras de escritorio.
• USB-B, Mini-B, Micro-B: conectores cuadrados y pequeños en impresoras, discos y teléfonos antiguos.
• USB-C: óvalo pequeño y reversible que transporta datos, hasta 240 W de energía y video por modos alternativos.

El almacenamiento no es el único riesgo del puerto. En un ataque BadUSB, el controlador interno de un dispositivo se reprograma para presentarse como otra cosa, normalmente un teclado. Después escribe comandos en el host. Como el sistema confía en la entrada HID, esta inyección es difícil de distinguir de la escritura real. El código del firmware puede sobrevivir incluso a un formateo.

Los riesgos relacionados son más mecánicos que técnicos. Se dejan unidades infectadas donde los empleados las encontrarán y las conectarán, y los puntos de carga públicos pueden abusar de las líneas de datos. Las defensas surgen del diseño: controle qué clases de dispositivo pueden conectarse, juzgue los dispositivos por su VID:PID y su número de serie, no por su apariencia, y trate un dispositivo desconocido como desconocido, por inofensivo que parezca. Los controles de endpoint, como el DLP de endpoints, aplican estas reglas en cada estación de trabajo.

La clase informada durante la enumeración decide qué controlador se carga, qué puede hacer el dispositivo y cuánta confianza le concede el sistema operativo. Las memorias USB y los discos externos son los dispositivos de almacenamiento portátiles que más se imaginan, pero la lista es más amplia. Las clases CDC y las específicas del proveedor suelen ser legítimas, aunque a veces sirven como vía encubierta.

En el control de USB y de unidades externas, el administrador decide qué dispositivos pueden conectarse y qué pueden hacer. La primera captura muestra los interruptores de auditoría de dispositivos en un perfil de agente. La segunda muestra un dispositivo con su ID de fabricante, ID de producto y número de serie, es decir, la identidad con la que comparan las reglas.

1 / 2

• 
• 

Empiece por los puertos y las clases de dispositivo que más datos transportan, y después decida cuáles necesitan acceso total, solo lectura o ningún acceso. Una regla única para todos los puertos suele terminar bloqueando teclados e impresoras, y entonces se desactiva.

Mantenga la decisión en la política y no en la costumbre: una unidad aprobada debe reconocerse por su identidad, y una desconocida debe rechazarse hasta que alguien la revise.

Lectura recomendada: Cómo prevenir el acceso no autorizado a tu computadora.