Universal Serial Bus (USB)

USB è un bus controllato dall’host, con collegamento a caldo. Un controller host, di solito il computer, gestisce fino a 127 dispositivi collegati tramite una stella gerarchica di hub. I dispositivi si collegano e si scollegano senza riavvio. Il bus fornisce anche alimentazione, quindi lo stesso cavo che trasferisce file può ricaricare un telefono.

L’aspetto che conta per la sicurezza è l’enumerazione. Quando un dispositivo viene collegato, invia all’host un insieme di descrittori: ID del produttore e ID del prodotto (insieme, VID:PID), un numero di serie se il produttore lo ha assegnato e una classe di dispositivo. La classe indica al sistema operativo che tipo di dispositivo dichiara di essere, come archiviazione, tastiera o telefono, e il driver corrispondente viene caricato automaticamente. Questi attributi viaggiano con il dispositivo, quindi le regole di controllo dei dispositivi possono usarli per il confronto.

Ogni versione di USB aumenta la velocità di trasferimento e l’erogazione di potenza, mantenendo la compatibilità con le versioni precedenti. Un dispositivo vecchio funziona su una porta nuova, ma alla velocità precedente. Per valutare il rischio di fuga di dati conta soprattutto la velocità di segnalazione, perché fissa quanto rapidamente i dati possono muoversi. Alle velocità di USB 3, centinaia di gigabyte stanno su un supporto grande quanto un dito.

I nomi commerciali sono stati rinumerati nel tempo. USB 3.0, 3.1 Gen 1 e 3.2 Gen 1 indicano tutti lo stesso livello da 5 Gbps.

USB è un’infrastruttura aziendale indispensabile. Collega tastiere e cuffie, stampanti di scontrini e scanner, dongle, tethering del telefono e ricarica. Serve anche a spostare grandi volumi di file su supporti rimovibili tra reti scollegate. Bloccare del tutto il bus è raramente praticabile.

La stessa porta è un importante canale di esfiltrazione di dati. Un trasferimento su chiavetta non lascia traccia in rete, funziona offline e sposta volumi molto grandi in fretta. Il supporto è facile da nascondere o da perdere. Un disco non cifrato dimenticato fuori dall’ufficio può trasformarsi in una fuga di dati da segnalare. Per questo il controllo USB riguarda soprattutto la granularità delle policy, non un semplice interruttore acceso/spento.

Protocollo e spina sono scelte separate. Una stessa versione può funzionare con diverse forme di connettore, e per questo un cassetto di cavi raramente combacia al primo tentativo.

USB-C sta diventando l’unica porta standard su dock e caricabatterie. Il Micro-B sopravvive su molti dispositivi compatti.

• USB-A: la porta host rettangolare originale, non reversibile, ancora diffusa sui desktop.
• USB-B, Mini-B, Micro-B: connettori quadrati e piccoli di stampanti, dischi esterni e telefoni datati.
• USB-C: piccolo connettore ovale reversibile che trasporta dati, fino a 240 W e video tramite le Alternate Mode.

L’archiviazione non è l’unico rischio della porta. In un attacco BadUSB, il controller dentro un dispositivo viene riprogrammato per presentarsi come altro, di solito una tastiera. Poi digita comandi sull’host. Il sistema operativo si fida dell’input HID, quindi l’iniezione è difficile da distinguere dalla digitazione reale. Il codice nel firmware sopravvive anche alla riformattazione.

I vettori correlati sono più meccanici che tecnici. Chiavette infette vengono lasciate dove i dipendenti le troveranno e le collegheranno, e i punti di ricarica pubblici possono abusare delle linee dati. Le difese derivano dal design: si controlla quali classi di dispositivo possono collegarsi, si valutano i dispositivi per VID:PID e numero di serie anziché per aspetto, e un dispositivo sconosciuto va trattato come tale, per quanto sembri innocuo. Controlli sugli endpoint come il DLP per endpoint applicano queste regole su ogni postazione.

La classe comunicata durante l’enumerazione decide quale driver viene caricato, cosa può fare il dispositivo e quanta fiducia gli concede il sistema operativo. Chiavette e dischi esterni sono i dispositivi di archiviazione portatili a cui si pensa di solito, ma l’elenco è più ampio. Le classi CDC e specifiche del produttore sono di norma legittime, ma occasionalmente possono essere un percorso occulto.

Nel controllo USB e dei dischi esterni l’amministratore decide quali dispositivi possono collegarsi e cosa possono fare. Il primo fotogramma mostra gli interruttori di audit dei dispositivi di un profilo agente. Il secondo mostra un dispositivo con ID del produttore, ID del prodotto e numero di serie, cioè l’identità con cui vengono confrontate le regole.

1 / 2

• 
• 

Parti dalle porte e dalle classi di dispositivi che trasportano più dati, poi decidi quali richiedono accesso completo, sola lettura o nessun accesso. Una regola unica per tutte le porte finisce di solito per bloccare tastiere e stampanti, e a quel punto viene disattivata.

Tieni la decisione nella policy e non nell’abitudine: una chiavetta approvata deve essere riconosciuta dalla sua identità, e una sconosciuta va respinta finché qualcuno non la verifica.

Per approfondire: Come prevenire l'accesso non autorizzato al tuo computer.