Názor k článku Rozbor malware od Hacking Teamu: jak se používá? od Vít Šesták - „Linuxu to prostě nefunguje“ – co nefunguje? Vím,...

„Linuxu to prostě nefunguje“ – co nefunguje? Vím, že jsem měl nějaké problémy s USB 3, zejména nemohlo být snad žádné zařízení v portu při bootu systému (aspoň na Ubuntu 12.04), ale jinak to fungovalo. Ale to s tím asi nesouvisí.

Ad USB3 only: To ještě neznamená, že musejí mít jen jeden řadič. I když samozřejmě mohou. Na noteboocích s hodně porty je ale šance, že nebudou.

Obávám se, že USB klávesnice zapojená do stejného řadiče jako nějaké nedůvěryhodné USB zařízení, je stejně game over, ať už bychom se snažili na úrovni SW jakkoli. (Předpokládám, že ten, kdo ovládá klávesnici, ovládá i samotný stroj.) Pokud jsem to dobře pochopil, tak libovolné USB zařízení může podvrhávat pakety s jiného USB zařízení, které je připojeno ke stejnému USB controlleru. Software pak nemá šanci poznat, jestli ten stisk klávesy šel ze skutečné klávesnice, nebo z nedůvěryhodného USB zařízení. To bez změny v HW nevyřešíme.

Napadají mě dvě varianty, jak to řešit na úrovni HW:
* Před nedůvěryhodné USB zařízení připojit něco, co takovéto útoky znemožní. Mohl by posloužit i další USB hub, ale nevím, co zde říká specifikace a jak se to v praxi implementuje.
* Použít pro klávesnici jiný protokol, který by stisky kláves posílal autentizovaně. Nutno přizpůsobit SW a zakázat legacy klávesnice.

Tím neřeším odposlouchávání, ale moc nevím, jestli se to nějak prakticky týká klávesnice. Pokud ano, tak to asi bude dost challenge – když uvážím i různé timming attacks. Už tak je můj příspěvek dlouhý, tak to tu nerozepisuju.

Jinak na Qubesu je i možné všechna USB zařízení připojit do dom0 (což je i výchozí volba – právě kvůli USB klávesnicím). Budou fungovat flashky (byť s možností badusb), budou fungovat klávesnice a myši. S hardwarem, který má být připojen přímo k nějaké VM, ale už asi bude problém.

Na druhou stranu, nějaké bezpečnostně suboptimální řešení na Qubesu může být stále přínosem – ve srovnání s klasickými systémy to může být přinejhorším stejně bezpečné a nikde není psáno, že útok musí probíhat skrze USB. Pokud útok přijde z Internetu, tak tuto možnost nemusí mít útočník k dispozici.

BTW: Teď mám USB2 přiřazené k dom0 (tj. privilegovaná VM) – právě kvůli klávesnici, kterou bych si chtěl pořídit. USB3 je pro AppVMs.