abclinuxu.cz AbcLinuxu.cz itbiz.cz ITBiz.cz HDmag.cz HDmag.cz abcprace.cz AbcPráce.cz
AbcLinuxu hledá autory!
Inzerujte na AbcPráce.cz od 950 Kč
Rozšířené hledání
×
    dnes 01:11 | Bezpečnostní upozornění

    Red Hat řeší bezpečnostní incident, při kterém došlo k neoprávněnému přístupu do GitLab instance používané svým konzultačním týmem.

    Ladislav Hagara | Komentářů: 0
    včera 23:33 | Nová verze

    Immich byl vydán v první stabilní verzi 2.0.0 (YouTube). Jedná se o alternativu k výchozím aplikacím od Googlu a Applu pro správu fotografií a videí umožňující vlastní hosting serveru Immich. K vyzkoušení je demo. Immich je součástí balíčků open source aplikací FUTO. Zdrojové kódy jsou k dispozici na GitHubu pod licencí AGPL-3.0.

    Ladislav Hagara | Komentářů: 1
    včera 22:33 | IT novinky

    Český telekomunikační úřad vydal zprávy o vývoji cen a trhu elektronických komunikací se zaměřením na rok 2024. Jaká jsou hlavní zjištění? V roce 2024 bylo v ČR v rámci služeb přístupu k internetu v pevném místě přeneseno v průměru téměř 366 GB dat na jednu aktivní přípojku měsíčně – celkově jich tak uživateli bylo přeneseno přes 18 EB (Exabyte). Nejvyužívanějším způsobem přístupu k internetu v pevném místě zůstal v roce 2024 bezdrátový

    … více »
    Ladislav Hagara | Komentářů: 0
    včera 12:11 | Nová verze

    Raspberry Pi OS, oficiální operační systém pro Raspberry Pi, byl vydán v nové verzi 2025-10-01. Přehled novinek v příspěvku na blogu Raspberry Pi a poznámkách k vydání. Jedná o první verzi postavenou na Debianu 13 Trixie.

    Ladislav Hagara | Komentářů: 0
    včera 05:22 | Nová verze

    Byla vydána nová verze 4.6 svobodného notačního programu MuseScore Studio (Wikipedie). Představení novinek v oznámení v diskusním fóru a také na YouTube.

    Ladislav Hagara | Komentářů: 0
    včera 02:22 | Komunita

    Společnost DuckDuckGo stojící za stejnojmenným vyhledávačem věnovala 1,1 milionu dolarů (stejně jako loni) na podporu digitálních práv, online soukromí a lepšího internetového ekosystému. Rozdělila je mezi 29 organizací a projektů. Za 15 let rozdala 8 050 000 dolarů.

    Ladislav Hagara | Komentářů: 4
    1.10. 20:11 | Nová verze

    Svobodný multiplatformní herní engine Bevy napsaný v Rustu byl vydán ve verzi 0.17. Díky 278 přispěvatelům.

    Ladislav Hagara | Komentářů: 0
    1.10. 16:11 | Nová verze

    Bylo vydáno openSUSE Leap 16 (cs). Ve výchozím nastavení přichází s vypnutou 32bitovou (ia32) podporou. Uživatelům však poskytuje možnost ji ručně povolit a užívat si tak hraní her ve Steamu, který stále závisí na 32bitových knihovnách. Změnily se požadavky na hardware. Leap 16 nyní vyžaduje jako minimální úroveň architektury procesoru x86-64-v2, což obecně znamená procesory zakoupené v roce 2008 nebo později. Uživatelé se starším hardwarem mohou migrovat na Slowroll nebo Tumbleweed.

    Ladislav Hagara | Komentářů: 3
    1.10. 16:00 | IT novinky

    Ministerstvo průmyslu a obchodu (MPO) ve spolupráci s Národní rozvojovou investiční (NRI) připravuje nový investiční nástroj zaměřený na podporu špičkových technologií – DeepTech fond. Jeho cílem je posílit inovační ekosystém české ekonomiky, rozvíjet projekty s vysokou přidanou hodnotou, podpořit vznik nových technologických lídrů a postupně zařadit Českou republiku mezi země s nejvyspělejší technologickou základnou.

    … více »
    Ladislav Hagara | Komentářů: 3
    1.10. 12:55 | Nová verze

    Radicle byl vydán ve verzi 1.5.0 s kódovým jménem Hibiscus. Jedná se o distribuovanou alternativu k softwarům pro spolupráci jako např. GitLab.

    Ladislav Hagara | Komentářů: 3
    Jaké řešení používáte k vývoji / práci?
     (40%)
     (47%)
     (14%)
     (16%)
     (17%)
     (14%)
     (17%)
     (14%)
     (14%)
    Celkem 161 hlasů
     Komentářů: 11, poslední dnes 07:30
    Rozcestník

    udev - nastavení povolených USB zařízení - whitelist

    8.5.2015 12:21 | Přečteno: 2359× | Linux | Výběrový blog | poslední úprava: 8.5.2015 18:49

    Dnes jsem přemýšlel jak zařídit, aby systém pracoval jen s usb zařízeními, která si sám povolím a aby ostatní USB zařízení jenž nejsou ve whitelistu ignoroval, což se hodí pro zabezpečení počítače před nezvanými návštěvníky. Ovšem je to jen jedna z věcí, která může pomoci k bezpečnosti, o jiných metodách jako šifrování se zde zmiňovat nebudu. Zápisek dělám i pro sebe kdybych jej ještě někdy potřeboval, abych nemusel znovu hledat způsob tohoto zabezpečení.

    Zápisek je pro neznalé, s udev pravidly jsem se setkal prvně, zkušenější můžou napsat poznámky.

    Našel jsem řešení pomoci pravidel udev, kde první zakážu všechny usb zařízení viz 99-blacklist.rules a poté vytvořím vyjímky s 99-whitelist.rules.

    /etc/udev/rules.d/99-blacklist.rules:

    SUBSYSTEM=="usb", ATTR{authorized_default}="0"
    SUBSYSTEM=="usb", ATTR{authorized}="0"

     

    /etc/udev/rules.d/99-whitelist.rules:

    ACTION=="add", ATTR{bDeviceClass}=="09", RUN+="/bin/sh -c 'echo 1 >/sys$DEVPATH/authorized'"
    ACTION=="add", ATTR{idVendor}=="045e", ATTR{idProduct}=="076d", RUN+="/bin/sh -c 'echo 1 >/sys$DEVPATH/authorized'"

    ACTION=="add", ATTR{idVendor}=="1d6b", ATTR{idProduct}=="0001", RUN+="/bin/sh -c 'echo 1 >/sys$DEVPATH/authorized'"

    ACTION=="add", ATTR{idVendor}=="258a", ATTR{idProduct}=="0001", ATTRS{serial}=="AB0412323093", RUN+="/bin/sh -c 'echo 1 >/sys$DEVPATH/authorized'"

     

    U některých usb zařízení (flash disky, UPSky...) se navíc vyskytuje parametr serial pro přesné určení zařízení, tudíž druhé usb zařízení stejného výrobku se k systému nepřipojí, k získání ATTRS{serial} použiji příkaz:

    udevadm info -a -p $(udevadm info -q path -n /dev/bus/usb/003/018) |grep serial

     

    idVendor a idProduct zjistím pomoci nástroje lsusb, viz:

    Bus 001 Device 002: ID 045e:076d Microsoft Corp. LifeCam HD-5000
    Bus 001 Device 001: ID 1d6b:0002 Linux Foundation 2.0 root hub
    Bus 005 Device 001: ID 1d6b:0001 Linux Foundation 1.1 root hub
    Bus 004 Device 001: ID 1d6b:0001 Linux Foundation 1.1 root hub
    Bus 003 Device 018: ID 258a:0001

     

    Občas se mi po změně udev pravidel požadovaná změna neprojeví. Proto restartuji udev. V systémech založených na Debianu pomoci: sudo service udev restart

     

    Když nyní zapojím například usb disk, tak jej vidím jen pomoci lsusb, ale sám se nenamountuje.

    Dále se může hodit detekce vložení usb zařízení, do souboru 91-local.rules vložíme:

    SUBSYSTEMS=="usb", KERNEL=="*", ACTION=="add", RUN+="/usr/bin/sudo -u user /usr/local/bin/USB %k"

     

    Při vložení zařízení se spustí USB skript, v něm už můžete mít vlastní příkazy. Zkusil jsem zbastlit v bashi skript (je neefektivní a jistě by šel udělat lépe, tudíž je spíše jen jako příklad) jenž podle seznamu povolených zařízení zjistí zdali je zařízení povoleno a bude jej ignorovat nebo bude umožněna další akce.

    Příklad spuštěného skriptu /usr/local/bin/USB:

    #!/bin/bash
    if ! screen -list | grep -q "USB-detect"; then
    screen -S USB-detect -dm    /usr/local/bin/USBdetect
    fi

    Screen zajistí že se nepustí instance znovu.

     

    Příklad skriptu /usr/local/bin/USBdetect:

    #!/bin/bash
    sleep 2
    lsusb > /tmp/lsusb-nove
    cat /etc/usbdetect/lsusb-pozadovane /tmp/lsusb-nove |sort |uniq -u > /tmp/lsusb-vysledek

    while read lineList; do

    bus=`echo $lineList |awk  '{print $2}'`
    device=`echo $lineList |awk  '{print $4}' |sed s/://g`
    udevadm info -a -p $(udevadm info -q path -n /dev/bus/usb/$bus/$device) > /tmp/usbDeviceEcho.log

    idProduct=`cat /tmp/usbDeviceEcho.log |grep ATTR{idProduct}== |sed 's/ATTR{idProduct}==//g;s/"//g;s/ //g'`
    idVendor=`cat /tmp/usbDeviceEcho.log |grep ATTR{idVendor} |sed 's/ATTR{idVendor}==//g;s/"//g;s/ //g'`
    serial=`cat /tmp/usbDeviceEcho.log |grep ATTR{serial} |sed 's/ATTR{serial}==//g;s/"//g;s/ //g'`
    stringUsbDevice=$idVendor:$idProduct:$serial
    knownUSB=0 #0=unknown 1=know

    while read line; do
    line=`echo $line |awk  '{print $1}'`

    if [ "$stringUsbDevice" == "$line" ]
    then
    knownUSB="1"
    fi
    done < /etc/usbdetect/usbDeviceList
    #run script
    if [ "$knownUSB" == 0 ]
    then
    date >> /tmp/usbdetect-alert
    echo $stringUsbDevice "Zarizeni neni v seznamu!! Alert! :-)" >> /tmp/usbdetect-alert
    fi
    done < /tmp/lsusb-vysledek

     

    Soubor /etc/usbdetect/lsusb-pozadovane je vytvořen pomoci lsusb, později lze řádky přidat manuálně.

    Soubor /etc/usbdetect/usbDeviceList je editován ručně v pořadí: $idVendor:$idProduct:$serial  viz příklad:

    04b3:310c: IBM Corp. Wheel Mouse
    1d6b:0001: Linux Foundation 1.1 root hub
    051d:0002:034512253091 American Power Conversion Uninterruptible Power Supply
    1d6b:0001: Linux Foundation 1.1 root hub
    045e:00cb: Microsoft Corp. Basic Optical Mouse v2.0

           

    Hodnocení: 100 %

            špatnédobré        

    Tiskni Sdílej: Linkuj Jaggni to Vybrali.sme.sk Google Del.icio.us Facebook

    Komentáře

    Vložit další komentář

    Josef Kufner avatar 8.5.2015 14:45 Josef Kufner | skóre: 70
    Rozbalit Rozbalit vše Re: udev - nastavení povolených USB zařízení - whitelist
    Nechceš sepsat feature request do KDE? Aby to integrovali s nějakým desktopovým klikátktem, které by se zeptalo, zda neznámé zařízení povolit?
    Hello world ! Segmentation fault (core dumped)
    8.5.2015 17:45 Pepan
    Rozbalit Rozbalit vše Re: udev - nastavení povolených USB zařízení - whitelist
    Také bych se přimlouval :)
    Indiánský lotr avatar 8.5.2015 19:24 Indiánský lotr | skóre: 25 | blog: ucim_sa
    Rozbalit Rozbalit vše Re: udev - nastavení povolených USB zařízení - whitelist
    Bohužel prostředí KDE nepoužívám.
    Josef Kufner avatar 9.5.2015 12:51 Josef Kufner | skóre: 70
    Rozbalit Rozbalit vše Re: udev - nastavení povolených USB zařízení - whitelist
    Hello world ! Segmentation fault (core dumped)
    8.5.2015 19:11 elenril
    Rozbalit Rozbalit vše Re: udev - nastavení povolených USB zařízení - whitelist
    Problém tady s tímto jako s bezpečnostním opatřením je ten, že veškeré tyhle informace říká systému samo to USB zařízení. Takže dostatečně odhodlaný útočník si prostě zbastlí nějaký hw, který o sobě říká úplně cokoliv.
    Indiánský lotr avatar 8.5.2015 19:24 Indiánský lotr | skóre: 25 | blog: ucim_sa
    Rozbalit Rozbalit vše Re: udev - nastavení povolených USB zařízení - whitelist

    To je sice pravda, ale i přesto je to pro něj ztížení a pokud útočník o opatření nebude vědět, tak to může mít nějakou výhodu. Útočník se v tom případě musí k hardweru dostat, přečíst si jeho id a zadat jej do svého hw. V případě usb disků mohu jen polemizovat nad tím, že se k němu nedostane a nepřečte si seriové číslo. V případě klávesnice a připojených zařízení to lze řešit tím, že jakmile se jednou odpojí, vyškrtne se ze seznamu a nepůjde znovu připojit dokud to nespravím přes ssh, navíc dvě stejná zařízení by byla také zakázaná. Až tak moc paranoidní ovšem nejsem a počítám že většinu útočníku to odradí.

    8.5.2015 20:14 pavele
    Rozbalit Rozbalit vše Re: udev - nastavení povolených USB zařízení - whitelist
    Pokud se útočník dostane k hardwaru, nějaká klávesnice ho nebude zajímat. :-)

    Ale nápad je to dobrý.
    Indiánský lotr avatar 8.5.2015 20:35 Indiánský lotr | skóre: 25 | blog: ucim_sa
    Rozbalit Rozbalit vše Re: udev - nastavení povolených USB zařízení - whitelist
    Klávesnice by ho právě mohla zajímat z důvodu přidání hw keyloggeru.
    rADOn avatar 11.5.2015 10:22 rADOn | skóre: 44 | blog: bloK | Praha
    Rozbalit Rozbalit vše Re: udev - nastavení povolených USB zařízení - whitelist
    USB exploity pracujou na urovni firmwaru, to se do udevu vubec nedostane. Tohle muze byt bezva aby ti lidi nestrkali zavirovany flashky do masin v praci, ale proti NSA to nepomuze :-P
    "2^24 comments ought to be enough for anyone" -- CmdrTaco
    8.5.2015 21:53 Kvakor
    Rozbalit Rozbalit vše Re: udev - nastavení povolených USB zařízení - whitelist
    Já mám něco podobného, ale zaprvé je to jen pro HID zařízení (ostatní nepovažuju za nebezpečná, alespoň ne v mojí konfiguraci) a zadruhé má konfiguraci mimo konfigurační soubory udevu, takže pro detekci není třeba jeho restart. Skládá se ze tří částí, první je pravdilo 90-blockusbhid.rules:
    #Check USB HID devices
    ACTION=="add", ATTR{bInterfaceClass}=="03" RUN+="/usr/local/sbin/checkhid"
    
    Druhý je samotný skript checkhid, co kontroluje zařízení podle whitelistu:
    #!/bin/sh
    logger -t CheckHID "Checking '$PRODUCT' ..."
    while read line;
    do
      if [ "$PRODUCT" = "$line" ]
      then
        logger -t CheckHID "Device OK"
        exit
      fi
    done < /usr/local/etc/enabled_devices.cfg
    logger -t CheckHID "Disabling device"
    echo 0 > /sys$DEVPATH/../authorized
    
    Skript čte řádku po řádce soubor s povolenými zařízenímy a pokud najde shodu, skončí, v opačném případě zařízení zakáže.

    A třetí část je konfigurační soubor enabled_devices.cfg, což je whitelist povolených HID zařízení. Formát souboru je jednoduchý, na každé řádce je to, co skript vypíše do logu mezi apostrofy, třeba USB klávesnice má na řádku 4f2/116/300 a moje UPS 463/ffff/1.

    PS: Pokud máte pouze USB klávesnici, během testování si raději zapoznámkujte poslední řádek :-)

    Petr Tomášek avatar 8.5.2015 22:45 Petr Tomášek | skóre: 39 | blog: Vejšplechty
    Rozbalit Rozbalit vše Re: udev - nastavení povolených USB zařízení - whitelist
    Hm, kdysi jsem uvažoval nad tím, že by se dal udělat hardwarový USB firewall :-)....
    multicult.fm | monokultura je zlo | welcome refugees!
    11.5.2015 12:22 jabada
    Rozbalit Rozbalit vše Re: udev - nastavení povolených USB zařízení - whitelist

    Dnes vyšel článek na konkurenčním serveru a zmiňují se tam o skriptu v pythonu, tedy konkrétně USBkill, jen pro informaci.

    14.5.2015 20:06 Dan K.
    Rozbalit Rozbalit vše Re: udev - nastavení povolených USB zařízení - whitelist
    Cau, nedavno jsem zacal s implementaci takoveho whitelistu v C++ a ma to momentalne i jednoduche klikatko. Projektove stranky na githubu: https://dkopecek.github.io/usbguard/

    Založit nové vláknoNahoru

    ISSN 1214-1267   www.czech-server.cz
    © 1999-2015 Nitemedia s. r. o. Všechna práva vyhrazena.