Vrijeme je za paniku

[ Matija Gračanin ]

USB (Universal Serial Bus) ili univerzalna serijska sabirnica tehnološko je rješenje i industrijski standard još od sredine 90-ih godina 20. stoljeća kojim se definira sve što je potrebno za komunikaciju između računala i vanjskih elektroničkih uređaja. Cilj je bio napraviti standardiziran način spajanja i bitno olakšati povezivanje računala s vanjskim uređajima poput pisača, digitalnih kamera, prijenosnih diskova, flash memorija, tipkovnica, miševa i niza drugih uređaja koji ispunjuju našu svakodnevicu.
   Koncept USB-a toliko je uspješan da je, otkad se prvi put pojavio, dramatično utjecao na način na koji koristimo računalo i druge uređaje, a uspješno je zamijenio čitav niz ranijih sučelja za spajanje uređaja: serijska i paralelna sučelja, pa i punjače za prijenosne uređaje (najbolji su primjeri moderni mobilni telefoni). Zapravo, svake se godine proda oko dvije milijarde USB-uređaja, što potvrđuje koliko je taj standard uspješan i rasprostranjen.

Udar s flash memorija
No gotovo svaka tehnološka stvarčica o kojoj postajemo ovisni i koja je toliko rasprostranjena ima i svoju tamnu stranu. Da stvar bude gora, neki se ozbiljniji sigurnosni propusti otkrivaju tek sad – i ne odnose se samo na računala. Ipak, najveći dio ranjivosti odnosi se na korištenje klasičnih uređaja za prijenos i skladištenje podataka koji se priključuju putem USB-a, a najpopularnije su USB flash memorije. S jedne strane, valja se pobrinuti za sigurnost podataka koji se prenose na tim memorijama ili vanjskim diskovima, a s druge se treba pobrinuti za sigurnost samog računala jer su oni idealan medij za inficiranje računala malwareom.
Gubitak flash memorija jedan je od najčešćih primjera narušavanja sigurnosti jer se na njima često prenose podaci osjetljive prirode; od onih osobnih poput lozinki, pa do daleko ozbiljnijih dokumenata koji se, po tradicionalnim sigurnosnim politikama, ni ne bi smjeli prenositi na takvim medijima niti iznositi iz institucija kojima pripadaju - barem ne bez adekvatne zaštite. Zaštita, pak, podrazumijeva štićenje sadržaja lozinkama i šifriranje podataka kako bi u slučaju gubitka podaci ostali nedostupni onome tko je pronašao USB-memoriju.
Na žalost, vrlo je malo korisnika računala (začudo i kompanija) koji se pridržavaju tih metoda, bez obzira što postoji niz rješenja kojima je moguće štititi podatke na prijenosnim memorijama (mnogi su i posve besplatni; npr. dobro poznati softver TrueCrypt), a i mnogi proizvođači USB-memorija u ponudi nude memorije koje raspolažu nekim mehanizmom zaštite i šifriranja podataka (npr. Kingstonov DataTraveler Vault Privacy nudi 256-bitno hardversko šifriranje kriptografskim algoritmom AES). Stoga je vrlo važno u tvrtkama uvesti jasnu sigurnosnu politiku koja propisuje korištenje uređaja sposobnih šifrirati podatke ili uvesti politiku koja propisuje obvezatno korištenje programa za šifriranje podataka. Ali čak ni to nije jamstvo da će podaci ostati sigurni jer su i USB-memorije s hardverskom zaštitom znale biti kompromitirane (srećom, propusti su brzo ispravljeni).
Kompanije kojima je stalo do sigurnosti zato bi trebale otići i korak dalje. Naime, korištenje USB-memorije treba ograničiti na manji dio korisnika kojima su one nužne ili, još bolje, jednostavno zadužiti IT odjel tvrtke da prebacuje i osigurava podatke koristeći se provjerenim metodama. Naime, nerijetko se događa da se prodor malwarea upravo dogodi priključivanjem flash memorije na računalo ili prijenosnik spojen na korporativnu mrežu.
Zbog toga uz osvješćivanje i edukaciju korisnika te uvođenja jasnih i strogih sigurnosnih politika, na računalima treba imati i adekvatnu antivirusnu zaštitu (iako ni to nije jamstvo jer takva zaštita obično ne nudi potpunu zaštitu, osobito ne od ranjivosti zero day) te računala ispravno konfigurirati (isključiti automatsko izvršavanje radnji pri priključenju USB-memorije, tj. onemogućiti mehanizam koji ovisi o datoteci autorun.inf).

USB kao izvor prijetnji
Baš zbog nemogućnosti da se u potpunosti osiguraju podaci, ali i sigurnost računala i mreža, tvrtke u kojima sigurnost mora biti na najvišoj razini pribjegavaju i najrigoroznijim rješenjima – potpunim isključenjem pristupa USB-ulazima na računalima. To se postiže jednostavnim isključivanjem USB-priključaka u BIOS-u računala ili instalacijom specijaliziranih softverskih rješenja kojima se ograničava ili onemogućava pristup uređajima u računalu koji su uklonjivi (USB-ovi, optički pogoni i sl.) kao što je DeviceLock. Potonje je rješenje postalo prikladno popularizacijom USB-priključaka i postupnim istiskivanjem drugih sučelja, kao onih koji su služili za spajanje tipkovnice i miša (PS/2, šestpinsko mini-DIN sučelje). Osim toga, sigurnost je tu obostrana – korisnici ne mogu koristiti USB-uređaje kako bi iznosili podatke niti mogu putem njih, namjerno ili pogreškom, inficirati sustav.
Na žalost, upravo je ta sveprisutnost USB-a uzrokom sasvim novih sigurnosnih prijetnji. Naime, nedavno je Andy Davis, sigurnosni stručnjak u kompaniji NGS Secure, na sigurnosnom skupu Black Hat demonstrirao na koji se način mogu iskoristiti sigurnosni propusti u tehničkom dizajnu USB-a i načinu na koji sama tehnologija funkcionira, bez obzira na operacijski sustav računala (iako se koriste i sigurnosni propusti raznih operacijskih sustava u samoj jezgri i izvršnom stogu).

Cijeli tekst o sigurnosti i nesigurnosti naših USB-ova možete pročitati u tiskanom izdanju Zaštite