r   e   k   l   a   m   a
r   e   k   l   a   m   a

Na BadUSB podatne jest około 50% urządzeń. Co gorsze, nie wiadomo jak je rozpoznać

Strona główna AktualnościOPROGRAMOWANIE

Udostępnienie exploita do BadUSB, luki pozwalającej przejąć kontrolery urządzeń USB i zamienić je w nośniki złośliwego kodu, to ciężki orzech do zgryzienia dla producentów sprzętu. Tej luki po prostu nie ma jak załatać! Teraz okazuje się, że BadUSB nie tylko jest nie do załatania, ale też nie bardzo wiadomo, które urządzenia są na niego podatne. Jedynym sposobem ustalenia tego jest oglądanie czipów pod lupą.

Wczoraj niemiecki haker Karsten Nohl przedstawił na konferencji PacSec w Tokio wyniki badań nad stanem bezpieczeństwa urządzeń z USB, jakie prowadził ze swoimi kolegami z Security Research Labs, Jakobem Lellem i Saszą Krisllerem. Podjęli się ciężkiej pracy – przeanalizowania kontrolerów USB sprzedawanych przez ośmiu największych producentów tego typu elektroniki pod kątem ich podatności na badUSB. Sprawdzono kontrolery firm Phison, Alcor, Renesas, ASmedia, Genesys Logic, FTDI, Cypress oraz Microchip.

Wyniki wprowadziły badaczy w zakłopotanie. Po pierwsze, okazało się, że nie ma łatwej metody sprawdzenia, który to kontroler znajduje się w danym urządzeniu. Jedynym sposobem sprawdzenia tego jest otworzenie pendrive'a czy innego sprzętu i przyjrzenie się napisom na czipie kontrolera. Nazwy handlowe niewiele tu pomogą – często te same modele wykorzystują różną elektronikę, a fakt ten nie jest nigdzie odnotowany. Mamy do czynienia z prawdziwymi czarnymi pudełkami, nikt nie wie co jest w środku. Z badań hakera Richarda Harmana wynika np. że taki Kingston w swoich urządzeniach korzysta przynajmniej z sześciu różnych dostawców kontrolerów, biorąc czipy akurat od tego, który jest w danym miesiącu tańszy, nawet o kilka centów. Z tego powodu nie można przygotować listy całkowicie bezpiecznych urządzeń.

r   e   k   l   a   m   a

Po drugie, z samych testów też nie można wyciągnąć jednoznacznych wniosków. Faktycznie, wszystkie pamięci masowe USB z kontrolerem Phisona są podatne na atak, podczas gdy pamięci masowe z kontrolerem ASmedia są odporne. Jednak już z pamięciami wykorzystującymi czip od Genesysa sytuacja jest bardziej skomplikowana: te z USB 2.0 są odporne, te z USB 3.0 można zaatakować. W innych kategoriach urządzeń jeszcze mniej wiążących ustaleń: znajdziemy tu tanie myszki „no name” najpewniej odporne na atak i drogie myszki Logitecha, które można przystosować do roznoszenia informatycznej zarazy. Tak też jest z adapterami SATA i SD, klawiaturami czy kamerkami internetowymi.

Szczegółowe wyniki testów ludzi z SR Labs znajdziecie na stronie BadUSB Exposure, ale prawda jest taka, że uzyskane tam informacje niewiele dadzą, nawet jeśli zdecydujecie się rozkręcić wszystkie swoje urządzenia. W wielu wypadkach kwestia odporności na BadUSB lub jej braku zależy od drobnych zmian, które akurat uniemożliwiają przeprogramowanie kontrolera. Według Karstena Nohla jedyną drogą, by zabezpieczyć się w przyszłych generacjach sprzętu z USB, jest sięgnięcie po kryptografię. Robi to już firma Ironkey, oferująca kilka modeli pendrive'ów, w których firmware jest podpisane kluczem producenta – i które akceptuje aktualizacje tylko wtedy, jeśli jest ona też podpisana tym kluczem.

Reasumując, należy zakładać, że każde urządzenie USB jest podatne na atak. Sytuacja ta ze względów biznesowych raczej nie ulegnie zmianie, przejrzystość tego rynku jest zerowa. Niestety popularne „kondomy” USB nie są też żadnym rozwiązaniem – służą one raczej do ochrony urządzeń mobilnych przed atakiem ze strony ładowarek USB, odcinając połączenia po liniach danych. Paranoikom można polecić więc zlikwidowanie USB w swoich komputerach.

© dobreprogramy
r   e   k   l   a   m   a
r   e   k   l   a   m   a

Komentarze

r   e   k   l   a   m   a
r   e   k   l   a   m   a
Czy wiesz, że używamy cookies (ciasteczek)? Dowiedz się więcej o celu ich używania i zmianach ustawień.
Korzystając ze strony i asystenta pobierania wyrażasz zgodę na używanie cookies, zgodnie z aktualnymi ustawieniami przeglądarki.