USB-enhetene dine kan være smekkfulle av skadevare

[Smedsrud]

Gigantisk sikkerhetshull avdekket. Skal være umulig å fikse.

USB-enhetene dine kan være smekkfulle av skadevare

[GeirGrusom]

Det er da ikke noen standardisert måte å flashe firmware på utover JTAG? Så malware må vel skreddersys for spesifikke enheter eller produsenter. Ikke at det er et stort hinder... Men jeg ser for meg at dette er noe hardwareprodusentene kan samarbeide med antivirusprodusentene for å løse.

 

Dette problemet vil nødvendigvis også kunne eksistere på ThunderBolt og FireWire. Ulempen til USB er vel mest hvor utrolig utbredt det er.

 

Dette minner også veldig mye om noe som ble påpekt for noen år siden, altså at alle mulige USB-enheter inkludert minnebrikker og mus inneholder en programmerbar prosessor.

[Uxzuigal]

Så "hvor ille" er dette hullet egentlig? Det høres langt fra bra ut, men media er flinke til å overdramatisere også. Anyone?

[P@rm@nn]

Hva med at OS'et, første gang den får en USB enhet plugget inn (de har vell alle en hardware-id?) gir brukeren en vindu med informasjon om hvilken klasse den tilhører, og ber om aksept/reject. Og så låses den USB enheten til den klassen fra OS'ets side. Og hvis enheten senere sier at den er f.eks et nettverskort så vet OS'et at den bare aksepterer den enheten som en disk, og avviser å bruke den som nettverkskort, eventuelt spør brukeren på nytt.

 

Med keyboard/mus kan OS'et, første gang man plugger den inn, gi en melding om at enheten er registert som et keyboard, og vil bli aktivert om 10 sekunder. Hvis det ikke er et keyboard du har plugget inn så trekk saken ut igjen!

[GeirGrusom]

Hva med at OS'et, første gang den får en USB enhet plugget inn (de har vell alle en hardware-id?) gir brukeren en vindu med informasjon om hvilken klasse den tilhører, og ber om aksept/reject. Og så låses den USB enheten til den klassen fra OS'ets side. Og hvis enheten senere sier at den er f.eks et nettverskort så vet OS'et at den bare aksepterer den enheten som en disk, og avviser å bruke den som nettverkskort, eventuelt spør brukeren på nytt.

 

Med keyboard/mus kan OS'et, første gang man plugger den inn, gi en melding om at enheten er registert som et keyboard, og vil bli aktivert om 10 sekunder. Hvis det ikke er et keyboard du har plugget inn så trekk saken ut igjen!

 

Vil ikke øke sikkerheten eller løse problemet. Det vil bare lage ekstra arbeid som gjør USB-enheter vanskeligere å bruke. Det finnes ingen reell umiddelbar løsning på dette, og problemet vil jeg anta at også finnes i Thunderbolt og FireWire bare at disse to er langt ifra like utbredt som det USB er.

 

Problemet er rett og slett at USB-enheter har firmware som kan skrives over. De eneste som kan gjøre noe med dette er hardwareprodusentene.

[P@rm@nn]

Vil ikke øke sikkerheten eller løse problemet. Det vil bare lage ekstra arbeid som gjør USB-enheter vanskeligere å bruke.

 

Enig i at det gjør det vanskeligere å bruke USB-enhetene. Blir på samme måte som når man innstalerer en app i android, man må akseptere hvilken rettigheter programmet skal ha første gang man bruker enheten.

Jeg ser ikke hvorfor det ikke vil øke sikkerheten. Brukeren vet jo når han plugger inn usb-drevet sitt at han ønsker å bruke den som en lagringstasjon. Hvis den så senere vil late som at den er f.eks et netverkskort, så avviser OS'et dette, og sender ikke netverkstrafikk til det.

 

Problemet er rett og slett at USB-enheter har firmware som kan skrives over. De eneste som kan gjøre noe med dette er hardwareprodusentene.

 

Enig i at det er problemet, og resultatet er at vi ikke kan stole på hva USB-enheten forteller OS'et. Men det betyr ikke at vi bare må gi opp, vi kan designe protokoller rundt maskinvare vi ikke stoler på. Men betyr at OS'et ikke må akseptere alt USB-enheten påstår uten aksept fra brukeren.

[mathiash98]

Dette er da langt ifra nytt. USB minnepenner kan få på masken til en HiD istedenfor minnepenn. Dermed vil en bestemt fil kjøre med engang minnepennen blir plugget inn. (Skjuler seg som driver som Windows alltid leter etter når du setter inn en device)

[Ascubal]

Høres jo absolutt ikke bra ut, men lurer mest på den endelige fiksen her blir.

Forøvrig lurer jeg veldig på hvordan man oppnår tittelen prosessor?

 

 

– Vi vet alle at om du gir meg tilgang til USB-porten på maskinen din kan jeg gjøre mye ugang mot deg, bedyrer prosessor i datateknologi ved universitetet i Pennsylvania, Matt Blaze, til Wired.

[Gjest Slettet-Pqy3rC]

Meh.... småhysterisk å kalle noe slikt for sikkerhetshull.

 

Dette gjelder jo i prinsipp all hardware. Bare å installere en BIOS i maskinen som ripper alle tastetrykk, lage en nettverkskortdriver som sender kopi av alt til ønsket sted osv.

 

Det som gjør det litt lettere med USB er hardwarens fysiske egenskaper. Antagelig lettere å bytte ut en minnepinne med en fake uten at eieren vet det, enn f.eks. et hovedkort.

 

Dette er mer NSA style enn hacker føde.

[Horrorbyte]

Så "hvor ille" er dette hullet egentlig? Det høres langt fra bra ut, men media er flinke til å overdramatisere også. Anyone?

Det endrer egentlig veldig lite. Alle sikkerhetseksperter vet at dersom noen har fysisk adgang til enheten din, så kan du ikke stole mer på maskinen enn på personen. Det er ikke uten grunn at IT-utstyr, sjekkes grundig før det godkjennes for bruk som omfatter gradert informasjon på nivå H/SH, og at det stilles strenge krav til fysisk sikkerhet for å beskytte slik informasjon. Det er sågar retningslinjer for møbler som skal bringes inn i rom der S-/SH-materiale håndteres. En vanlig privatperson kan i praksis ikke beskytte seg mot noen som virkelig vil ha tilgang.

 

Endret 1. august 2014 av Horrorbyte

[Smedsrud]

 

Høres jo absolutt ikke bra ut, men lurer mest på den endelige fiksen her blir.

 

Forøvrig lurer jeg veldig på hvordan man oppnår tittelen prosessor?

 

 

– Vi vet alle at om du gir meg tilgang til USB-porten på maskinen din kan jeg gjøre mye ugang mot deg, bedyrer prosessor i datateknologi ved universitetet i Pennsylvania, Matt Blaze, til Wired.

 

Hehe, nei, det ville vært noe. Skriveleifen er rettet.

/Anders.

[Latrakx]

"A device can emulate a keyboard and issue commands on behalf of the logged-in user, for example to exfiltrate files or install malware. Such malware, in turn, can infect the controller chips of other USB devices connected to the computer."

Akkurat det her har da vært et skjent problem forholdvis lenge,

kan fint utnyttes med en Teensy eller Arduino

[Latrakx]

"A device can emulate a keyboard and issue commands on behalf of the logged-in user, for example to exfiltrate files or install malware. Such malware, in turn, can infect the controller chips of other USB devices connected to the computer."

Akkurat det her har da vært et skjent problem forholdvis lenge,

kan fint utnyttes med en Teensy eller Arduino

Forresten om noen er interesert om å vite mer om BadUSB, følg med på kommende presentasjoner fra defcon

 

De diskuterer BadUSB mtp FireWire og Thunderbolt her

Endret 1. august 2014 av Latrakx

[NULL]

 

Dette problemet vil nødvendigvis også kunne eksistere på ThunderBolt og FireWire. Ulempen til USB er vel mest hvor utrolig utbredt det er.

 

Thunderbolt og Firewire har også en del potensielle sikkerhetsutfordringer - f.eks. DMA, som bl.a. gjør det mulig å hente ut krypteringsnøkler fra minne - f.eks. hvis pc-en står med låst skjerm eller bare har vært i ventemodus i stedet for dvalemodus. Fungerer mot bl.a. TrueCrypt, Bitlocker, Filevault m.fl.

 

Ellers er vel dette usb-utfordringer som har vært kjente ganske lenge. Det man her tidligere har snakket om, er også at det skal kreves en handling fra brukeren for at en tilkoblet enhet skal aktiveres etter at dem har blitt plugget i.

[NULL]

 

Så "hvor ille" er dette hullet egentlig? Det høres langt fra bra ut, men media er flinke til å overdramatisere også. Anyone?

Det endrer egentlig veldig lite. Alle sikkerhetseksperter vet at dersom noen har fysisk adgang til enheten din, så kan du ikke stole mer på maskinen enn på personen. Det er ikke uten grunn at IT-utstyr, sjekkes grundig før det godkjennes for bruk som omfatter gradert informasjon på nivå H/SH, og at det stilles strenge krav til fysisk sikkerhet for å beskytte slik informasjon. Det er sågar retningslinjer for møbler som skal bringes inn i rom der S-/SH-materiale håndteres. En vanlig privatperson kan i praksis ikke beskytte seg mot noen som virkelig vil ha tilgang.

 

 

Tidligere kunne vel bl.a. Fujitsu-Siemens levere enkelte pc-modeller blant annet uten USB-porter eller med mulighet for deaktivering av usb på BIOS-nivå.

[Latrakx]

 

 

Så "hvor ille" er dette hullet egentlig? Det høres langt fra bra ut, men media er flinke til å overdramatisere også. Anyone?

Det endrer egentlig veldig lite. Alle sikkerhetseksperter vet at dersom noen har fysisk adgang til enheten din, så kan du ikke stole mer på maskinen enn på personen. Det er ikke uten grunn at IT-utstyr, sjekkes grundig før det godkjennes for bruk som omfatter gradert informasjon på nivå H/SH, og at det stilles strenge krav til fysisk sikkerhet for å beskytte slik informasjon. Det er sågar retningslinjer for møbler som skal bringes inn i rom der S-/SH-materiale håndteres. En vanlig privatperson kan i praksis ikke beskytte seg mot noen som virkelig vil ha tilgang.

 

 

Tidligere kunne vel bl.a. Fujitsu-Siemens levere enkelte pc-modeller blant annet uten USB-porter eller med mulighet for deaktivering av usb på BIOS-nivå.

 

Det burde vel fremdeles være mulig å deaktivere USB i rimelig bra BIOS'er?

[PacAnimal]

Nyere Linux-kjerner har mulighet til å opprettholde en liste over godkjente USB-enheter. Enhver ny enhet må godkjennes, og om noen endrer typen enhet på en av dingsene dine vil maskinen si den er ny når du putter den inn igjen. Ikke idiotsikkert, men bedre enn ingenting.

[Barkster]

Vil man være like utsatt hvis man bruker en ps2 til usb adapter?

[Snowleopard]

Høres jo absolutt ikke bra ut, men lurer mest på den endelige fiksen her blir.

 

Forøvrig lurer jeg veldig på hvordan man oppnår tittelen prosessor?

 

? Vi vet alle at om du gir meg tilgang til USB-porten på maskinen din kan jeg gjøre mye ugang mot deg, bedyrer prosessor i datateknologi ved universitetet i Pennsylvania, Matt Blaze, til Wired.

Tja, er vel egentlig ikke verre enn å be deg gjøre noe, og i det du starter å analysere det jeg ber deg gjøre, så er du automatisk blitt en prosessor. Så blir det opp til deg hvordan du prosesserer kommandoen, om du velger å utføre den etter gjeldende instruks, eller forkaster den enten fordi instruksen ikke er riktig eller godt nok beskrevet, eller tolkes som en ugyldig forespørsel...

 

;-)

 

/ Korrigert en Syntax error ;-)

Endret 4. august 2014 av Snowleopard

[Snickers-is]

Er ikke dette ganske lett å lage en fiks på da? La oss si man, for hver gang man plugger inn en USB-enhet, er nødt til å bekrefte at enheten faktisk tilhører den klassen den utgir seg for å ha. Jeg ser for meg at man til og med kan velge klasse manuelt (noe som bør være godt gjemt bak en "advanced"-knapp).

 

Edit: var visst nevnt av noen tidligere i tråden.

Endret 4. oktober 2014 av Snickers-is