Universal Serial Bus (USB)

USB to magistrala sterowana przez hosta, z obsługą podłączania na gorąco. Jeden kontroler hosta, zwykle komputer, zarządza do 127 urządzeniami przez warstwową gwiazdę hubów. Urządzenia można podłączać i odłączać bez restartu. Magistrala dostarcza też zasilanie, dlatego ten sam kabel, którym przesyła się pliki, może naładować telefon.

Z punktu widzenia bezpieczeństwa najważniejsza jest enumeracja. Po podłączeniu urządzenie przekazuje hostowi zestaw deskryptorów: identyfikator producenta i produktu (razem VID:PID), numer seryjny, jeśli producent go nadał, oraz klasę urządzenia. Klasa mówi systemowi, za jakie urządzenie się podaje, na przykład pamięć masową, klawiaturę albo telefon, a odpowiedni sterownik ładuje się automatycznie. Te atrybuty przechodzą razem z urządzeniem, dlatego kontrola urządzeń może z nich korzystać przy dopasowywaniu reguł.

Kolejne wersje USB zwiększają prędkość transferu i moc dostarczaną przez port, zachowując kompatybilność wsteczną. Stare urządzenie działa w nowym porcie, ale z dawną prędkością. Przy planowaniu ryzyka wycieku danych liczy się szybkość sygnalizacji, bo to ona wyznacza, jak szybko dane mogą się przemieszczać. Przy prędkościach USB 3 setki gigabajtów mieszczą się na nośniku wielkości kciuka.

Nazwy marketingowe zmieniały się przez lata. USB 3.0, 3.1 Gen 1 i 3.2 Gen 1 opisują ten sam poziom 5 Gb/s.

USB to niezbędna infrastruktura biznesowa. Obsługuje klawiatury i słuchawki, drukarki paragonów i skanery, klucze sprzętowe, tethering telefonu oraz ładowanie. Służy też do przenoszenia dużych ilości plików na nośnikach wymiennych między odłączonymi sieciami. Całkowite zablokowanie magistrali rzadko jest praktyczne.

Ten sam port to wiodący kanał eksfiltracji danych. Transfer na pendrive nie zostawia śladu w sieci, działa offline i szybko przenosi bardzo duże ilości danych. Nośnik łatwo ukryć albo zgubić. Niezaszyfrowany dysk zapomniany poza biurem może stać się wyciekiem danych podlegającym zgłoszeniu. Dlatego kontrola USB to zwykle kwestia granularności polityk, a nie przełącznik włącz/wyłącz.

Protokół i wtyczka to osobne wybory. Jedna wersja może działać z kilkoma kształtami złączy, dlatego szuflada z kablami rzadko pasuje za pierwszym razem.

USB-C staje się jedynym standardowym portem w stacjach dokujących i ładowarkach. Micro-B nadal występuje w wielu kompaktowych urządzeniach.

• USB-A: oryginalny prostokątny port hosta, nieodwracalny, nadal powszechny w komputerach stacjonarnych.
• USB-B, Mini-B, Micro-B: kwadratowe i małe złącza w drukarkach, dyskach i starszych telefonach.
• USB-C: mały, odwracalny owal, który przesyła dane, zasilanie do 240 W i wideo w trybach alternatywnych.

Pamięć masowa to nie jedyne ryzyko na porcie. W ataku BadUSB kontroler w urządzeniu zostaje przeprogramowany, żeby zgłaszać się jako coś innego, zwykle jako klawiatura. Następnie urządzenie wpisuje polecenia na hoście. System ufa wejściu HID, więc taką iniekcję trudno odróżnić od prawdziwego pisania. Kod w oprogramowaniu układowym może przetrwać formatowanie.

Powiązane wektory są bardziej mechaniczne niż techniczne. Zainfekowane nośniki zostawia się tam, gdzie pracownicy je znajdą i podłączą, a publiczne punkty ładowania mogą nadużywać linii danych. Obrona wynika z samej konstrukcji: kontrolujesz, które klasy urządzeń w ogóle mogą się połączyć, oceniasz urządzenia po VID:PID i numerze seryjnym, a nie po wyglądzie, i traktujesz nieznane urządzenie jako nieznane, bez względu na to, jak niegroźnie wygląda. Zabezpieczenia punktów końcowych, takie jak DLP na punktach końcowych, egzekwują te reguły na każdej stacji roboczej.

Klasa zgłoszona podczas enumeracji decyduje, jaki sterownik się załaduje, co urządzenie może robić i ile zaufania system mu przyzna. Pendrive’y i dyski zewnętrzne to przenośne nośniki danych, o których myśli się najczęściej, ale lista jest szersza. Klasy CDC i specyficzne dla producenta są zwykle zwyczajne, ale czasem służą jako ukryta droga transferu.

W kontroli USB i dysków zewnętrznych administrator decyduje, które urządzenia mogą się połączyć i co mogą robić. Pierwszy zrzut pokazuje przełączniki audytu urządzeń w profilu agenta. Drugi pokazuje urządzenie z identyfikatorem producenta, identyfikatorem produktu i numerem seryjnym, czyli tożsamością, do której dopasowują się reguły.

1 / 2

• 
• 

Zacznij od portów i klas urządzeń, które przenoszą najwięcej danych, a potem zdecyduj, które potrzebują pełnego dostępu, dostępu tylko do odczytu lub braku dostępu. Jedna reguła dla wszystkich portów naraz zwykle kończy się blokadą klawiatur i drukarek, a potem zostaje wyłączona.

Trzymaj decyzję w polityce, a nie w przyzwyczajeniu: zatwierdzony dysk powinien być rozpoznawany po tożsamości, a nieznany odrzucany, dopóki ktoś go nie sprawdzi.

Czytaj dalej: Jak zapobiec nieuprawnionemu dostępowi do komputera.