Na BadUSB podatne jest około 50% urządzeń. Co gorsze, nie wiadomo jak je rozpoznać

Udostępnienie exploitado BadUSB, luki pozwalającej przejąć kontrolery urządzeń USB izamienić je w nośniki złośliwego kodu, to ciężki orzech do zgryzieniadla producentów sprzętu. Tej luki po prostu nie ma jak załatać! Terazokazuje się, że BadUSB nie tylko jest nie do załatania, ale też niebardzo wiadomo, które urządzenia są na niego podatne. Jedynymsposobem ustalenia tego jest oglądanie czipów pod lupą.

Wczoraj niemiecki haker Karsten Nohl przedstawiłna konferencji PacSec w Tokio wyniki badań nad stanem bezpieczeństwaurządzeń z USB, jakie prowadził ze swoimi kolegami z Security Research Labs, JakobemLellem i Saszą Krisllerem. Podjęli się ciężkiej pracy –przeanalizowania kontrolerów USB sprzedawanych przez ośmiunajwiększych producentów tego typu elektroniki pod kątem ichpodatności na badUSB. Sprawdzono kontrolery firm Phison, Alcor,Renesas, ASmedia, Genesys Logic, FTDI, Cypress oraz Microchip.

Wyniki wprowadziły badaczy w zakłopotanie. Po pierwsze, okazałosię, że nie ma łatwej metody sprawdzenia, który to kontroler znajdujesię w danym urządzeniu. Jedynym sposobem sprawdzenia tego jestotworzenie pendrive'a czy innego sprzętu i przyjrzenie się napisom naczipie kontrolera. Nazwy handlowe niewiele tu pomogą – częstote same modele wykorzystują różną elektronikę, a fakt ten nie jestnigdzie odnotowany. Mamy do czynienia z prawdziwymi czarnymipudełkami, nikt nie wie co jest w środku. Z badań hakera RichardaHarmana wynika np. że taki Kingston w swoich urządzeniach korzystaprzynajmniej z sześciu różnych dostawców kontrolerów, biorąc czipyakurat od tego, który jest w danym miesiącu tańszy, nawet o kilkacentów. Z tego powodu nie można przygotować listy całkowiciebezpiecznych urządzeń.

Po drugie, z samych testów też nie można wyciągnąć jednoznacznychwniosków. Faktycznie, wszystkie pamięci masowe USB z kontroleremPhisona są podatne na atak, podczas gdy pamięci masowe z kontroleremASmedia są odporne. Jednak już z pamięciami wykorzystującymi czip odGenesysa sytuacja jest bardziej skomplikowana: te z USB 2.0 sąodporne, te z USB 3.0 można zaatakować. W innych kategoriach urządzeńjeszcze mniej wiążących ustaleń: znajdziemy tu tanie myszki „noname” najpewniej odporne na atak i drogie myszki Logitecha,które można przystosować do roznoszenia informatycznej zarazy. Takteż jest z adapterami SATA i SD, klawiaturami czy kamerkamiinternetowymi.

Szczegółowe wyniki testów ludzi z SR Labs znajdziecie na stronieBadUSBExposure, ale prawda jest taka, że uzyskane tam informacjeniewiele dadzą, nawet jeśli zdecydujecie się rozkręcić wszystkieswoje urządzenia. W wielu wypadkach kwestia odporności na BadUSB lubjej braku zależy od drobnych zmian, które akurat uniemożliwiająprzeprogramowanie kontrolera. Według Karstena Nohla jedyną drogą, byzabezpieczyć się w przyszłych generacjach sprzętu z USB, jestsięgnięcie po kryptografię. Robi to już firma Ironkey, oferującakilka modeli pendrive'ów, w których firmware jest podpisane kluczemproducenta – i które akceptuje aktualizacje tylko wtedy, jeślijest ona też podpisana tym kluczem.

Reasumując, należy zakładać, że każde urządzenie USB jest podatnena atak. Sytuacja ta ze względów biznesowych raczej nie ulegniezmianie, przejrzystość tego rynku jest zerowa. Niestety popularne„kondomy” USB nie są też żadnym rozwiązaniem –służą one raczej do ochrony urządzeń mobilnych przed atakiem zestrony ładowarek USB, odcinając połączenia po liniach danych.Paranoikom można polecić więc zlikwidowanie USB w swoich komputerach.