Bol zverejnený kód zraniteľnosti USB, proti ktorej neexistuje obrana. Hrozia veľké problémy.

Pred dvo­ma me­siac­mi vý­skum­ník Kar­sten Nohl na bez­peč­nos­tnej kon­fe­ren­cii Black Hat v Las Ve­gas de­monštro­val útok naz­va­ný Ba­dUSB, kto­rým preu­ká­zal, že je mož­né poš­ko­de­nie aké­ho­koľ­vek za­ria­de­nia USB zá­ker­ným a ne­zis­ti­teľ­ným mal­vé­rom. Vzhľa­dom na zá­važ­nosť toh­to bez­peč­nos­tné­ho prob­lé­mu a neexis­ten­ciu op­ra­vy sa Nohl roz­ho­dol neu­ve­rej­niť kód pou­ži­tý na ten­to útok. No je­ho dva­ja ko­le­go­via už nech­ce­li ďa­lej ča­kať.

Na hac­ker­skej kon­fe­ren­cii Der­by­con 2014 v Louis­vil­le (Ken­tuc­ky, USA) vý­skum­ní­ci Adam Cau­dill a Bran­don Wil­son uká­za­li, že sú schop­ní po­mo­cou re­ver­zné­ho in­ži­nier­stva a rov­na­ké­ho USB fir­mvé­ru, aký pou­ží­val Nohl, rep­ro­du­ko­vať niek­to­ré tri­ky Ba­dUSB. A na roz­diel od Noh­la tá­to dvo­ji­ca uve­rej­ni­la kód úto­kov na Git­Hu­be. Vý­rob­co­via za­ria­de­ní USB te­raz mu­sia urý­chle­ne op­ra­viť prob­lém, inak stov­ky mi­lió­nov pou­ží­va­te­ľov zos­ta­nú v oh­ro­ze­ní.

Dva­ja ne­zá­vis­lí bez­peč­nos­tní vý­skum­ní­ci tvr­dia, že tre­ba zve­rej­niť kód úto­kov na USB, aby pe­net­rač­ní tes­te­ri moh­li pou­žiť tú­to tech­ni­ku pre klien­tov ako dô­kaz to­ho, že ich USB mo­de­my je v sú­čas­nos­ti tak­mer ne­mož­né za­bez­pe­čiť. Na­vy­še je to vraj je­di­ný spô­sob, ako dot­la­čiť vý­rob­cov za­ria­de­ní USB k zá­sad­nej zme­ne sché­my ich za­bez­pe­če­nia. Cau­dill tvr­dí, že ten­to trik s USB už prav­de­po­dob­ne v taj­nos­ti vy­uži­li štát­ne spra­vo­daj­ské agen­tú­ry, ako napr. NSA.

Po­dob­ne ako Nohl aj Cau­dill a Wil­son pou­ži­li re­ver­zné in­ži­nier­stvo na fir­mvér ra­di­čov USB taiwan­skej fir­my Phi­son, čo je je­den z pop­red­ných sve­to­vých vý­rob­cov USB. Po prep­rog­ra­mo­va­ní fir­mvé­ru bo­li schop­ní vy­ko­ná­vať ni­či­vé úto­ky. V jed­nom prí­pa­de do­kon­ca uká­za­li, že in­fi­ko­va­ný ra­dič USB bol schop­ný za­dá­vať na klá­ves­ni­ci obe­te stla­če­nia klá­ve­sov pod­ľa že­la­nia útoč­ní­ka.

Keď­že mal­vér sa tvá­ri ako ov­lá­da­cí sof­tvér ra­di­ča USB, sú­čas­né bez­peč­nos­tné nás­tro­je ho ne­mô­žu roz­poz­nať. Ak sa má za­brá­niť to­mu, aby sa dal fir­mvér za­ria­de­ní USB pre­pí­sať, bu­de sa mu­sieť zá­sad­ne prep­ra­co­vať ich bez­peč­nos­tná ar­chi­tek­tú­ra tak, aby sa žiad­ny kód v za­ria­de­ní ne­dal zme­niť bez nes­fal­šo­va­teľ­né­ho pod­pi­su vý­rob­cu. No ta­ká­to zme­na by pod­ľa Noh­la moh­la tr­vať 10 a viac ro­kov.

Cau­dill a Wil­son dú­fa­jú, že uve­rej­ne­nie kó­du urých­li spus­te­nie toh­to bez­peč­nos­tné­ho pro­ce­su. No aj oni vá­ha­jú s uve­rej­ne­ním všet­kých mož­ných spô­so­bov úto­ku na za­ria­de­nia USB. Chcú však uká­zať, že ich hroz­ba sa do­ká­že auto­ma­tic­ky rep­li­ko­vať a pre­ná­šať z jed­né­ho za­ria­de­nia na dru­hé. Škod­li­vý kód by sa mo­hol pre­niesť nap­rík­lad z ľu­bo­voľ­né­ho dis­ku flash USB na po­čí­tač a z ne­ho po­tom na všet­ky ďal­šie pri­po­je­né za­ria­de­nia USB, kto­ré ma­jú pa­mäť.

Žiaľ, op­ra­va bu­de vy­ža­do­vať dl­ho­do­bý pro­ces a prav­de­po­dob­ne sa dot­kne zá­kla­dov štan­dar­du USB. Bež­ní pou­ží­va­te­lia sa v sú­čas­nos­ti mô­žu pred hroz­bou naj­lep­šie brá­niť tým, že ne­bu­dú k svoj­mu po­čí­ta­ču pri­pá­jať nez­ná­me za­ria­de­nia USB

Video:


Zdroj: wired.com
mas­hab­le.com


Ohodnoťte článok:
 
 
 

24 hodín

týždeň

mesiac

Najnovšie články

EÚ schvá­li­la sys­tém Pri­va­cy Shield na ochra­nu európ­skych dát na ame­ric­kých server­och
Európska únia ukončila rokovania s americkou stranou týkajúce sa odovzdávania osobných údajov spoločnostiam sídliacim v USA. čítať »
 
Hac­ke­ri ov­lád­li dro­ny NA­SA a plá­no­va­li ha­vá­riu Glo­bal Hawk
Hackerskej skupine vystupujúcej pod názvom AnonSec sa podarilo nabúrať do špeciálneho programu na ovplyvňovanie počasia, nad ktorým má v súčasnosti kontrolu americká NASA. čítať »
 
Alian­cii Fair-play a plat­for­me Slo­ven­sko.Di­gi­tal sa ne­poz­dá­va­jú šty­ri IT pro­jek­ty mi­nis­terstiev
Neziskové občianske združenie Aliancia Fair-play (AFP) a Platforma Slovensko.Digital žiadajú ministerstvá vnútra, dopravy a školstva, aby zastavili a prehodnotili obstarávania štyroch veľkých IT projektov, ktoré v rezortoch momentálne prebiehajú. čítať »
 
Mô­že sa zo zmu­to­va­nej zi­ky stať glo­bál­na hroz­ba?
Vírus zika sa začal rýchlo šíriť po celom svete. V teplých oblastiach oboch amerických kontinentov, kam sa dostal začiatkom minulého roka, už možno hovoriť o pandémii. čítať »
 
Jad­ro­vé zbra­ne ma­jú ochrá­niť Zem pred prí­pad­ným ar­ma­ge­do­nom
Aj keď sa o jadrových zbraniach hovorí zväčša v negatívom svetle, vedci v nich paradoxne vidia efektívny spôsob na záchranu Zeme pred prípadnou hrozbou. čítať »
 
Di­gi­tál­na bez­peč­nosť v ro­ku 2016: Inter­net ve­cí, mo­bil­né za­ria­de­nia a ochra­na de­tí
ESET každý rok pripravuje svoj prehľad bezpečnostných tém, ktoré budú v najbližších mesiacoch trápiť bežných používateľov alebo firmy a organizácie. čítať »
 
Len 17-roč­ný mla­dík vy­na­šiel ven­ti­lá­to­ro­vý sys­tém brá­nia­ci ší­re­niu mik­ró­bov v lie­tad­le
Chytiť nejakú chorobu na palube lietadla nie je nič príjemné. Pritom mnohé vírusy nebezpečných chorôb, ako je napr. SARS či vtáčia chrípka, sa v nedávnej minulosti šírili po svete práve prostredníctvom lietadiel. čítať »
 
ESET pri­dá­va do kon­zo­ly vzdia­le­nej sprá­vy ma­na­žo­va­nie iP­ho­nov a iPa­dov
ESET vydáva ESET Virtualization Security. Toto nové riešenie pre VMware vShield nevyžadujúce nasadenie agenta kombinuje využitie ESET Virtualization Security s konzolou vzdialenej správy ESET Remote Administrator tak, aby poskytovalo ochranu oceňovaného skenovacieho jadra spolu s osvedčenou vzdialenou správou. čítať »
 
 
 
  Zdieľaj cez Facebook Zdieľaj cez Google+ Zdieľaj cez Twitter Zdieľaj cez LinkedIn Správy z RSS Správy na smartfóne Správy cez newsletter