Comment protéger vos ports USB sous Linux

Publicité

le Bus série universel (USB) Qu'est-ce que l'USB Type-C?Ah, la prise USB. Il est aussi omniprésent maintenant qu'il est notoire de ne jamais pouvoir être branché correctement la première fois. Lire la suite est l'épée à double tranchant qui a révolutionné notre interface avec nos appareils. Sa nature plug and play a rendu le transfert de données entre les appareils simple. Les clés USB ne sont cependant pas sans défauts. Ils sont rapidement devenus le moyen d'infecter des réseaux entiers avec des virus et des logiciels malveillants.

Entrez dans le périphérique USB Kill, qui peut complètement faire frire votre port USB ou détruire votre carte mère. Il y parvient en chargeant ses condensateurs à partir du port USB et en remontant la tension brutale vers le port. Cela se produit plusieurs fois jusqu'à ce qu'il soit débranché ou que l'hôte meure.

Voyons comment vous pouvez essayer d'atténuer les risques liés à ces appareils.

Les bases

Avant d'entrer dans les détails, il y a quelques règles simples que vous pouvez suivre:

• N'insérez pas de clés USB que vous avez trouvées abandonnées par terre.
• N'insérez pas de clés USB fournies par une personne au hasard.
• Demandez à des personnes de confiance de vous envoyer des fichiers via le cloud.
• N'insérez pas Lecteurs USB Comment crypter un lecteur flash: 5 outils de protection par mot de passeVous voulez apprendre à crypter un lecteur flash? Voici les meilleurs outils gratuits pour protéger par mot de passe et sécuriser une clé USB. Lire la suite qui ne proviennent pas de fournisseurs bien connus comme Samsung, SanDisk, etc.
• Ne laissez pas votre ordinateur sans surveillance.

Cette liste devrait couvrir la plupart des cas. Cependant, la sécurité des périphériques USB peut encore être améliorée.

Protégez votre BIOS

Dans le cas où vous avez une machine qui doit être laissée sans surveillance, accéder à cette machine est relativement simple. Tout ce que quelqu'un a à faire est de créer un lecteur USB amorçable et de démarrer à partir du lecteur dans un environnement réel. Cela leur donnera accès à tous les fichiers non cryptés. Dans le cas de Windows, vous pouvez même masquer les mots de passe des utilisateurs. Protéger votre mot de passe Système d'entrée-sortie de base (BIOS) Comment entrer dans le BIOS sur Windows 10 (et versions antérieures)Pour accéder au BIOS, vous appuyez généralement sur une touche spécifique au bon moment. Voici comment accéder au BIOS sous Windows 10. Lire la suite signifie qu'un mot de passe doit être entré avant même que les options de démarrage n'apparaissent.

Consultez la documentation de votre fabricant de matériel pour savoir comment accéder au BIOS. En général, cela se fait en appuyant plusieurs fois sur Supprimer lorsque votre ordinateur démarre, mais cela varie selon les fabricants. Le paramètre de mot de passe doit être sous le Sécurité dans votre BIOS.

USBGuard vous soutient

Devez-vous laisser un PC ou un serveur sans surveillance? Si c'est le cas, vous pouvez empêcher les attaques avec un utilitaire bien nommé, USBGuard. Ceci est conçu pour protéger contre les périphériques USB malveillants également appelés BadUSB Vos périphériques USB ne sont plus en sécurité, grâce à BadUSB Lire la suite . Les exemples incluent les périphériques USB qui peuvent émuler un clavier et émettre des commandes d'un utilisateur connecté. Ces appareils peuvent également usurper des cartes réseau et modifier les paramètres DNS d'un ordinateur pour rediriger le trafic.

USBGuard arrête essentiellement les périphériques USB non autorisés en mettant en œuvre des fonctionnalités de liste noire de base et de liste blanche. Idéalement, vous ne permettriez aucun périphérique USB, à l'exception de quelques-uns en qui vous avez confiance. Lorsque vous branchez un périphérique ou un concentrateur USB, USBGuard analyse d'abord le périphérique. Il examine ensuite séquentiellement son fichier de configuration pour vérifier si ce périphérique est autorisé ou rejeté. La grande chose à propos d'USBGuard est qu'il utilise une fonctionnalité implémentée directement dans le noyau Linux.

Si vous exécutez Ubuntu 16.10 ou une version ultérieure, vous pouvez installer USBGuard en tapant:

sudo apt install usbguard

Si vous êtes sur l'un des anciens buntus *, vous pouvez suivre les instructions sur GitHub [No Longer Available]. Notre exemple suivra un simple Autoriser qui montrera comment autoriser un appareil avec un identifiant spécifique. Pour être opérationnel, utilisez:

usbguard generate-policy> rules.conf. nano rules.conf

Prenez un moment pour examiner la politique qui va être ajoutée. Cette étape ajoutera et autorisera tout ce qui est actuellement connecté à votre machine. Vous pouvez supprimer ou commenter les lignes des appareils que vous ne souhaitez pas autoriser.

sudo install -m 0600 -o root -g root rules.conf /etc/usbguard/rules.conf. sudo systemctl restart usbguard

Mettez-le à l'épreuve

À ce jour, tout appareil que vous connectez à votre machine ne fonctionnera pas, même s'il semble avoir été détecté. IPlug dans un lecteur USB pour vérifier cela en exécutant lsusb pour répertorier tous les périphériques USB connectés au système. Prenez note de l'identifiant SanDisk, nous en aurons besoin plus tard.

Bien que l'appareil ait été détecté dans Ubuntu, il n'y a aucun signe qu'il soit monté Comment monter un périphérique flash USB sous Linux et votre Raspberry PiJetons un coup d'œil aux problèmes entourant les périphériques USB et les cartes SD avec des distributions populaires (nous utilisons Ubuntu) et des distributions moins répandues, telles que le système d'exploitation Raspbian Jessie du Raspberry Pi. Lire la suite !

Pour ajouter ce périphérique à la liste des périphériques autorisés, exécutez ce qui suit:

sudo nano /etc/usbguard/rules.conf

Ajoutez maintenant l'ID SanDisk au rules.conf pour le définir comme l'un des périphériques autorisés.

Tout ce qu'il faut maintenant, c'est un redémarrage rapide du service USBGuard:

sudo systemctl restart usbguard

Débranchez maintenant, puis reconnectez le lecteur USB. USBGuard vérifiera rules.conf, reconnaîtra l'ID comme un périphérique autorisé et autorisera son utilisation.

Immédiatement, votre appareil devient disponible pour une utilisation régulière. Ce fut une méthode simple de simplement autoriser l'appareil par son id. Pour être vraiment précis, vous pouvez ajouter une règle à rules.conf le long de ces lignes:

autoriser 0781: 5151 nom "SanDisk Corp. Cruzer Micro Flash Drive "série" 0001234567 "via le port" 1-2 " rejeter le port via "1-2"

Les règles ci-dessus autoriseront uniquement un périphérique correspondant à cet identifiant, nom, série uniquement sur un port spécifique. La règle de rejet n'autorise aucun autre périphérique connecté à ce port. Les options sont à peu près infinies, mais peuvent être consultées en ligne.

Prophylactiques physiques

USBGuard ne va probablement pas vous protéger contre l'infâme USB Killer. Alors que peux-tu faire? Si vous contrôlez vos ports USB et que vous devez toujours brancher certains lecteurs USB douteux, certaines solutions sont disponibles. Le prix d'un Concentrateur USB 3 raisons pour lesquelles vous avez besoin d'un concentrateur USB (ou peut-être pas)De nos jours, presque tous les appareils utilisent les ports USB d'une manière ou d'une autre. En tant que tel, un concentrateur USB peut s'avérer extrêmement utile pour la plupart des gens. Voici quelques raisons pour lesquelles vous pourriez en vouloir un. Lire la suite par rapport à un nouvel ordinateur portable est microscopique. L’un des avantages énormes de l’utilisation d’une telle technologie chevronnée est que ses accessoires sont largement disponibles et bon marché. Vous pouvez en acheter un de bonne marque et au lieu de brancher des appareils fragmentaires directement sur votre machine, branchez-le via le concentrateur USB. Si la clé USB est un USB Killer, elle fera frire le concentrateur USB et votre machine sera en sécurité.

Une autre solution à votre cas d'utilisation peut être le USG. L'appareil est un pare-feu matériel qui se situe entre un périphérique USB suspect et votre machine. Il est compatible avec les souris, les claviers et les lecteurs flash USB. Il vous protégera contre BadUSB en filtrant l'activité malveillante et en transmettant les données dont vous avez besoin.

N'est-ce pas exagéré?

Selon l'environnement dans lequel vous travaillez, cela peut être le cas. Si vous pouvez vous permettre de ne brancher aucun appareil sur lequel vous n'avez pas le contrôle total et que vous êtes la seule personne à avoir accès à votre machine, ce serait le meilleur des cas. La doublure argentée est qu'en plus des gens qui essaient de trouver des moyens de faire du mal, il y a aussi des gens qui réfléchissent aux moyens de prévenir ce mal.

Avez-vous déjà eu de mauvaises expériences avec des périphériques USB douteux? Comment vous assurez-vous que vous ou votre entreprise disposez de mesures USB sûres? Faites-le nous savoir dans les commentaires ci-dessous!

Crédits image: Frantisek Keclik / Shutterstock