Universal Serial Bus (USB)

USB é um barramento controlado pelo host, com suporte a conexão a quente. Um controlador host, normalmente o computador, gerencia até 127 dispositivos conectados por meio de uma estrela em níveis de hubs. Os dispositivos podem ser conectados e removidos sem reinicialização. O barramento também fornece energia, então o mesmo cabo que move arquivos pode carregar um celular.

O ponto que importa para a segurança é a enumeração. Ao ser conectado, o dispositivo envia ao host um conjunto de descritores: ID do fabricante e ID do produto (juntos, VID:PID), um número de série, se o fabricante tiver atribuído um, e uma classe de dispositivo. A classe informa ao sistema operacional que tipo de dispositivo ele declara ser, como armazenamento, teclado ou celular, e o driver correspondente é carregado automaticamente. Esses atributos acompanham o próprio dispositivo, então as políticas de controle de dispositivos podem usá-los para correspondência.

Cada versão do USB aumenta a velocidade de transferência e a entrega de energia, e mantém a compatibilidade com as anteriores. Um dispositivo antigo continua funcionando em uma porta nova, mas na velocidade antiga. Para planejar o risco de vazamento de dados, o que importa é a taxa de sinalização, porque ela define a rapidez com que os dados podem circular. Nas velocidades do USB 3, centenas de gigabytes cabem em um suporte do tamanho de um polegar.

Os nomes comerciais mudaram com os anos. USB 3.0, 3.1 Gen 1 e 3.2 Gen 1 descrevem todos o mesmo patamar de 5 Gbps.

O USB é uma infraestrutura de negócio indispensável. Ele transporta teclados e headsets, impressoras de cupons e leitores, dongles, compartilhamento de internet do celular e carregamento. Também move grandes volumes de arquivos em mídias removíveis entre redes desconectadas. Bloquear o barramento por completo raramente é viável.

A mesma porta é também um dos principais canais de exfiltração de dados. Uma transferência para um pen drive não deixa rastro na rede, funciona offline e move volumes muito grandes com rapidez. A mídia é fácil de esconder ou perder. Um disco não criptografado esquecido fora do escritório pode virar um vazamento de dados que precisa ser notificado. Por isso, o controle do USB depende sobretudo da granularidade das políticas, e não de um interruptor de ligar e desligar.

Protocolo e plugue são escolhas separadas. Uma mesma versão pode funcionar com várias formas de conector, e por isso uma gaveta de cabos raramente encaixa de primeira.

O USB-C está se tornando a única porta padrão em docks e carregadores. O Micro-B ainda aparece em muitos dispositivos compactos.

• USB-A: a porta retangular original do host, não reversível, ainda comum em computadores de mesa.
• USB-B, Mini-B, Micro-B: conectores quadrados e pequenos em impressoras, discos externos e celulares antigos.
• USB-C: pequeno conector oval reversível que transporta dados, até 240 W de energia e vídeo pelos modos alternativos.

O armazenamento não é o único risco da porta. Em um ataque BadUSB, o controlador dentro do dispositivo é reprogramado para se apresentar como outra coisa, normalmente um teclado. Depois, ele digita comandos no host. Como o sistema confia na entrada HID, essa injeção é difícil de distinguir da digitação real. O código no firmware pode sobreviver até a uma formatação.

Os riscos relacionados são mais mecânicos do que técnicos. Pen drives infectados são deixados onde os funcionários vão encontrá-los e conectá-los, e pontos de carregamento públicos podem abusar das linhas de dados. As defesas decorrem do próprio desenho: controle quais classes de dispositivo podem se conectar, avalie os dispositivos pelo VID:PID e pelo número de série, não pela aparência, e trate um dispositivo desconhecido como desconhecido, por mais inofensivo que pareça. Controles de endpoint, como o DLP para endpoints, aplicam essas regras em cada estação de trabalho.

A classe informada durante a enumeração decide qual driver é carregado, o que o dispositivo pode fazer e quanta confiança o sistema operacional lhe dá. Pen drives e discos externos são os dispositivos de armazenamento portáteis em que a maioria pensa, mas a lista é mais ampla. As classes CDC e específicas do fabricante costumam ser legítimas, mas ocasionalmente servem de caminho oculto.

No controle de USB e de unidades externas, o administrador decide quais dispositivos podem se conectar e o que eles podem fazer. O primeiro quadro mostra as chaves de auditoria de dispositivos de um perfil de agente. O segundo mostra um dispositivo com ID do fabricante, ID do produto e número de série, ou seja, a identidade que as regras comparam.

1 / 2

• 
• 

Comece pelas portas e classes de dispositivo que carregam mais dados e depois decida quais precisam de acesso total, somente leitura ou nenhum acesso. Uma regra única para todas as portas costuma acabar bloqueando teclados e impressoras, e então é desligada.

Mantenha a decisão na política, e não no hábito: um pen drive aprovado deve ser reconhecido pela identidade, e um desconhecido deve ser recusado até que alguém o avalie.

Leitura adicional: Como prevenir o acesso não autorizado ao seu computador.