udev - nastavení povolených USB zařízení - whitelist (diskuse)

[Josef Kufner]

Nechceš sepsat feature request do KDE? Aby to integrovali s nějakým desktopovým klikátktem, které by se zeptalo, zda neznámé zařízení povolit?

[Pepan]

Také bych se přimlouval :)

[Indiánský lotr]

Bohužel prostředí KDE nepoužívám.

[Josef Kufner]

Feature request: https://bugs.kde.org/show_bug.cgi?id=347463

[elenril]

Problém tady s tímto jako s bezpečnostním opatřením je ten, že veškeré tyhle informace říká systému samo to USB zařízení. Takže dostatečně odhodlaný útočník si prostě zbastlí nějaký hw, který o sobě říká úplně cokoliv.

[Indiánský lotr]

To je sice pravda, ale i přesto je to pro něj ztížení a pokud útočník o opatření nebude vědět, tak to může mít nějakou výhodu. Útočník se v tom případě musí k hardweru dostat, přečíst si jeho id a zadat jej do svého hw. V případě usb disků mohu jen polemizovat nad tím, že se k němu nedostane a nepřečte si seriové číslo. V případě klávesnice a připojených zařízení to lze řešit tím, že jakmile se jednou odpojí, vyškrtne se ze seznamu a nepůjde znovu připojit dokud to nespravím přes ssh, navíc dvě stejná zařízení by byla také zakázaná. Až tak moc paranoidní ovšem nejsem a počítám že většinu útočníku to odradí.

[pavele]

Pokud se útočník dostane k hardwaru, nějaká klávesnice ho nebude zajímat.

Ale nápad je to dobrý.

[Indiánský lotr]

Klávesnice by ho právě mohla zajímat z důvodu přidání hw keyloggeru.

[rADOn]

USB exploity pracujou na urovni firmwaru, to se do udevu vubec nedostane. Tohle muze byt bezva aby ti lidi nestrkali zavirovany flashky do masin v praci, ale proti NSA to nepomuze :-P

[Kvakor]

Já mám něco podobného, ale zaprvé je to jen pro HID zařízení (ostatní nepovažuju za nebezpečná, alespoň ne v mojí konfiguraci) a zadruhé má konfiguraci mimo konfigurační soubory udevu, takže pro detekci není třeba jeho restart. Skládá se ze tří částí, první je pravdilo 90-blockusbhid.rules:

#Check USB HID devices
ACTION=="add", ATTR{bInterfaceClass}=="03" RUN+="/usr/local/sbin/checkhid"

Druhý je samotný skript checkhid, co kontroluje zařízení podle whitelistu:

#!/bin/sh
logger -t CheckHID "Checking '$PRODUCT' ..."
while read line;
do
  if [ "$PRODUCT" = "$line" ]
  then
    logger -t CheckHID "Device OK"
    exit
  fi
done < /usr/local/etc/enabled_devices.cfg
logger -t CheckHID "Disabling device"
echo 0 > /sys$DEVPATH/../authorized

Skript čte řádku po řádce soubor s povolenými zařízenímy a pokud najde shodu, skončí, v opačném případě zařízení zakáže.

A třetí část je konfigurační soubor enabled_devices.cfg, což je whitelist povolených HID zařízení. Formát souboru je jednoduchý, na každé řádce je to, co skript vypíše do logu mezi apostrofy, třeba USB klávesnice má na řádku 4f2/116/300 a moje UPS 463/ffff/1.

PS: Pokud máte pouze USB klávesnici, během testování si raději zapoznámkujte poslední řádek

[Petr Tomášek]

Hm, kdysi jsem uvažoval nad tím, že by se dal udělat hardwarový USB firewall ....

[jabada]

Dnes vyšel článek na konkurenčním serveru a zmiňují se tam o skriptu v pythonu, tedy konkrétně USBkill, jen pro informaci.

[Dan K.]

Cau, nedavno jsem zacal s implementaci takoveho whitelistu v C++ a ma to momentalne i jednoduche klikatko. Projektove stranky na githubu: https://dkopecek.github.io/usbguard/