Warum die Sicherheit von USB ist im Grunde Zerbrochen, WIRED
tumbdrive, Daten. Foto: Josh Valcarcel / WIRED
Computer-Nutzer laufen um USB-Sticks wie Silizium Visitenkarten. Obwohl wir wissen, oft Malware-Infektionen die sie tragen, sind wir auf Anti-Virus-Scans und die gelegentlichen Neuformatierung unsere thumbdrives zu halten von den Trägern für die nächste digitale Epidemie. Aber die Sicherheitsprobleme mit USB-Geräten laufen tiefer, als Sie denken: Ihr Risiko ist nicht nur in dem, was sie tragen, sie # x27; s in den Kern gebaut, wie sie funktionieren.
Das ist das Mitnehmen von Erkenntnissen Sicherheitsforscher Karsten Nohl und Jakob Lell plant nächste Woche zu präsentieren, eine Sammlung von Proof-of-Concept-Schadsoftware demonstriert, die zeigen, wie die Sicherheit von USB-Geräten lange grundsätzlich gebrochen wurde. Die Malware sie erstellt, genannt BadUSB kann auf einem USB-Gerät installiert werden, um vollständig einen PC übernehmen, unsichtbar Dateien vom Memory Stick installiert ändern oder sogar der Internetverkehr des Benutzers umleiten. Da BadUSB liegt in dem Flash-Speicher von USB-Geräten nicht, aber in der Firmware, die ihre Grundfunktionen steuern, kann der Angriffscode verborgen bleiben, lange nachdem der Inhalt des Speichers des Geräts für die durchschnittlichen Benutzer erscheinen würde gelöscht werden. Und die beiden Forscher sagen, es gibt keine einfache Lösung: Die Art des Kompromisses sie # x27; re zeigen fast unmöglich ist, die gemeinsame Nutzung von USB-Geräten zu begegnen, ohne das Verbot oder Ihres Port mit superglue.
„Diese Probleme können nicht gepatcht werden“, sagt Nohl, der Lell beitreten wird die Forschung an der Sicherheitskonferenz Black Hat in Las Vegas präsentieren. „Wir sind sehr Ausnutzen der Art und Weise, dass USB ausgelegt ist.“
> ‚In dieser neuen Denkweise, müssen Sie infiziert einen USB betrachten und es, sobald es einen nicht vertrauenswürdigen Computer berührt wegzuwerfen.‘
Nohl und Lell, Forscher für die Sicherheitsberatung SR Labs, sind kaum die ersten, die USB-Geräte darauf hin, speichern und Malware verbreiten. Aber die beiden Hacker nicht bloß ihre eigenen benutzerdefinierten kodierten kopieren Infektionen in den Speicher USB-Geräte. Sie verbrachten Monate Reverse Engineering die Firmware, die die grundlegenden Kommunikationsfunktionen von USB-Geräten-den läuft Controller-Chips, die die Geräte ermöglichen, mit einem PC zu kommunizieren und lassen Sie Benutzer verschieben Sie Dateien auf und weg von ihnen. Ihre zentrale Erkenntnis ist, dass USB-Firmware, die Formen in unterschiedlichen in allen USB-Geräten vorhanden ist, kann, neu programmiert werden Angriffscode zu verstecken. „Sie können es auf Ihre IT-Sicherheit Menschen geben, sie scannen, einige Dateien löschen, und geben Sie es zurück zu Ihnen sage Ihnen, es ist # X27; sauber, # x27;“, sagt Nohl Aber es sei denn, der IT-Mann die Reverse-Engineering-Fähigkeiten hat zu finden und diese Firmware zu analysieren.‚Der Reinigungsprozess nicht berührt auch die Dateien, wir reden‘.
Die Malware kann geräuschlos Internet-Verkehr kapern, einen Computer # x27 ändern; s DNS-Einstellungen Traffic auf allen Servern Siphon es gefällt. Oder wenn der Code auf einem Telefon oder ein anderes Gerät mit einer Internetverbindung gepflanzt wird, kann sie wirken als Man-in-the-Middle, heimlich auf Kommunikation Spionage, wie es sie von dem Opfer der Maschine weiterleitet.
Die meisten von uns vor langer Zeit gelernt keine ausführbaren Dateien von skizzen USB-Sticks zu laufen. Aber altmodischer USB Hygiene kann # x27; t diesen neueren Geschmack der Infektion stoppen: Auch wenn Benutzer für Angriffe bewusst, das Potenzials sind, sicherzustellen, dass ihre USB # x27; s Firmware hasn # x27; t manipuliert wurde mit fast unmöglich ist. Die Geräte # x27 don t eine Beschränkung haben als „Code-Signierung“ bekannt, eine Gegenmaßnahme, die sicher auf dem Gerät hinzugefügt jede neue Code machen würde, die fälschungssichere kryptografische Signatur seines Herstellers hat. Es # x27; s nicht einmal vertraut USB-Firmware den Code gegen vergleichen.
Das Element von Nohl und Lell Forschung, die es über der Durchschnitt theoretische Bedrohung erhebt, ist die Vorstellung, dass die Infektion sowohl von Computern zu USB und umgekehrt fahren kann. Jedes Mal, wenn ein USB-Stick an einen Computer angeschlossen, kann die Firmware auf diesem PC von Malware neu programmiert werden, ohne einfache Möglichkeit für das USB-Gerät # x27; s Besitzer es zu erkennen. Und ebenso könnte eine beliebige USB-Gerät stumm Computer eines Benutzers infizieren. „Es geht in beiden Richtungen“, sagt Nohl. „Niemand kann niemandem trauen.“
Aber BadUSB Fähigkeit nicht nachweisbar von USB zu PC zu verbreiten und wieder wirft Fragen darüber, ob es möglich ist USB-Geräte sicher überhaupt zu benutzen. „Wir haben alle bekannt, ob, dass Sie geben mir den Zugriff auf den USB-Port, ich schlechte Dinge an Ihrem Computer tun kann“, sagt University of Pennsylvania Informatik-Professor Matt Blaze. „Was dies scheint zu zeigen, dass es auch möglich ist, in die andere Richtung zu gehen, die die Bedrohung durch kompromittiert USB-Geräte legen nahe, ein sehr ernstes praktisches Problem ist.“
> Die Alternative ist, USB-Geräte wie Injektionsnadeln zu behandeln.
Nohl stimmt: Die kurzfristige Lösung BadUSB ist kein technisches Patch so viel wie eine grundlegende Veränderung, wie wir USB-Geräte verwenden. Um den Angriff zu vermeiden, alles, was Sie tun müssen, ist eine Verbindung nicht Ihr USB-Geräts an Computer, die Sie nicht besitzen oder keinen guten Grund zu Vertrauen und schließen Sie nicht die nicht vertrauenswürdige USB-Geräte in Ihren eigenen Computer. Aber Nohl räumt ein, dass die praktischen Scheiben Lagerung macht wir alle in unseren Taschen tragen, unter vielen anderen Geräten, deutlich weniger nützlich. „In dieser neuen Denkweise, können Sie # x27; t ein USB vertrauen, nur weil seine Speicher # x27 doesn; t einen Virus enthalten. Vertrauen muss aus der Tatsache, dass niemand böswillig jemals berührt hat „sagt Nohl.“ Sie haben einen USB-infiziert zu betrachten und es so schnell wegzuwerfen, da sie einen nicht vertrauenswürdigen Computer berührt. Und die # x27; s nicht mit, wie wir USB-Geräte jetzt verwenden „.
Die Umsetzung der neuen Sicherheitsmodell wird zunächst überzeugende Gerätehersteller verlangen, dass die Bedrohung real ist. Die Alternative, sagt Nohl, ist auf USB-Geräte wie Injektionsnadeln zu behandeln, die nicht unter den Benutzern-a gemeinsam genutzt werden können Modell, das Sauen Verdacht und weitgehend der Zweck der Geräte besiegt. „Vielleicht, wenn Sie daran denken, wenn Sie einige USB-Gerät an den Computer von jemandem verbunden haben Sie nicht vollständig vertrauen“, sagt Nohl. „Das bedeutet, dass Sie Ihren Computer nicht mehr vertrauen können. Dies ist eine Bedrohung auf einer Schicht, die unsichtbar ist. Es ist eine schreckliche Art von Paranoia.“
Die eine Kernel der Wahrheit Bei Trump Voter Fraud Summit
Lily Hay Newman
Schauen Sie Hacker ein Segway mit jemandem On It Take Over
Hack Brief: # X27; Devil # x27; s Ivy # x27; Sicherheitsanfälligkeit kann Millionen von IoT-Geräte Afflict
Lily Hay Newman
Hack Brief: Ein Myspace Sicherheit Flaw Lassen Sie jemand irgendwelche Konto Take Over, No Biggie
Twitter # x27; s wird nie Donald Trump nach Ban
Lily Hay Newman