Starter program for å gjøre USB sikrere

[Cthulhu]

Men kun for USB Type-C.

Starter program for å gjøre USB sikrere

[rosetta stoned]

Merkelig at Apple ikke gjorde noe spes før, virker som det eneste selskapet som er mindre interessert i dine persondata enn de er å verne de nutildags.

 

At en slik autisering skulle være valgbart er virkelig et problem med USB standarden. Det er greit å skulle gjøre alle til lags, men her har det gått for langt. Hvorfor kan Google og Facebook omtrent kreve ting av hva for data som er interessant eller ikke. De kan reise til helvete, hele gjengen.

[G]

Ok, så dette var ingen tiltak i mot den sårbare USB-firmware'n.

 

Eller, ble litt usikker når jeg leste digi.no sin versjon:

https://www.digi.no/artikler/na-skal-usb-fa-innebygget-autentisering/454667

Endret 3. januar 2019 av G

[thklinge]

Sneaky bastards! Jada, dette er for din sikkerhet... "ok". Akkurat som Apple puttet auth-brikker i kablene og sperret muligheten for all tilkobling med iOS 10. Skal du koble til noe som helst, for å lade eller hente ut lyd via et minijack-adapter eller bilde, eller hva som helst så MÅ kabelen inneholde en sikkerhetsbrikke, og den MÅ ha programvare lisensiert fra Apple. Ok, noen øre til Apple for å få en gyldig sikkerthetsbrikke? No big deal? Nei du, 45,- per lisens. Jepp. Når du kjøper en uoriginal kabel i butikken som funker med iOS 10 så ga du nettopp Apple 45 kroner. Tenk videre på at de droppet minijack-kontakten så du MÅ ha adapter for å koble til headset, og hvor latterlig skrøpelige ladekablene er.. Og så på hvor ekstremt mange kabler det betyr at går over disk hvert år. Og Apple får 45,- per. jævla. kabel.

 

EU hater lightning-kontakten og presser Apple til å gå over til USB-C. USB-C innfører en auth-chip. Coincidence? Vil f.eks Samsung gjøre samme triks og få sin bit av kaka? You bet.

 

Taper alle forbrukere på planeten? Oh hell yes.

[asbjornu]

Som thklinge skriver har dette ingneting med sikkerhet å gjøre. Hvis det var for sikkerhet ville operativsystemet bare vist en dialog der man kan bekrefte tilgang til og fra USB-enheten man har plugget inn. Apple har implementert dette for mange av sine tilkoblinger allerede, over USB-A.

 

Denne krypteringen er en form for DRM og vil kun føre til en høyere kostnad for forbrukere fordi vi må kjøpe «autoriserte» kabler. Videre vil dette kreve implementering av ASN.1 og PKCS#7 i alle USB-drivere, som gjerne kjører i kjernen av operativsystemet med utvidede rettigheter og muligheter til å utføre skade. Med tanke på alle problemene vi har sett i sertifikat-relatert programvare de siste årene vil dette medføre enorme sikkerhetshull i kjernen av operativsystemene våre som NSA og andre garantert kommer til å utnytte.

 

Så om noe vil dette føre til en langt dårligere sikkerhet for de fleste brukere. Jeg hadde satt pris på om Tek kunne publisert en artikkel med en vinkling fra dette perspektivet.

[bmork]

Denne krypteringen er en form for DRM og vil kun føre til en høyere kostnad for forbrukere fordi vi må kjøpe «autoriserte» kabler.

Ser dessverre slik ut. Med dette vil det være OS-leverandøren som bestemmer hvilke ladere som virker. Ganske pussig idé. Men det er jo nok en grunn til å velge OS fra leverandører du stoler på :-)

 

Videre vil dette kreve implementering av ASN.1 og PKCS#7 i alle USB-drivere, som gjerne kjører i kjernen av operativsystemet med utvidede rettigheter og muligheter til å utføre skade. Med tanke på alle problemene vi har sett i sertifikat-relatert programvare de siste årene vil dette medføre enorme sikkerhetshull i kjernen av operativsystemene våre som NSA og andre garantert kommer til å utnytte.

Jeg skjønner pessimismen, men dette løpet er kjørt allerede. De fleste (alle?) moderne OS tolker allerede ASN.1 og PKCS#7 i kjernen av andre grunner, slik som UEFI Secure Boot. Se f.eks. Linux-koden her:

https://git.kernel.org/pub/scm/linux/kernel/git/torvalds/linux.git/tree/crypto/asymmetric_keys

 

Gjenbruk av dette i USB-drivere ville vært emkelt og hadde ikke forverret situasjonen merkbart. Men nytteverdien er jo nokså begrenset, så det gjenstår å se om det skjer. Jeg gidder ihvertfall ikke ;-)