{"id":24281,"date":"2014-08-01T09:12:12","date_gmt":"2014-08-01T07:12:12","guid":{"rendered":"http:\/\/www.burks.de\/burksblog\/?p=24281"},"modified":"2014-12-05T17:54:30","modified_gmt":"2014-12-05T16:54:30","slug":"why-the-security-of-usb-is-fundamentally-broken","status":"publish","type":"post","link":"https:\/\/www.burks.de\/burksblog\/2014\/08\/01\/why-the-security-of-usb-is-fundamentally-broken","title":{"rendered":"Why the Security of USB Is Fundamentally Broken"},"content":{"rendered":"

\"usb\"<\/a><\/p>\n

Die Karte zeigt \u00fcbrigens eine Reiseroute, die ich 1982 geplant hatte. Meine damalige Lebensabschnittsgef\u00e4hrtin wollte dann aber doch nicht durchs Darien Gap<\/a> (awesome story!) marschieren. (Ja! Zu Fu\u00df und per Boot<\/a> und nicht per Jeep! Das geht!) Wir sind (leider) von Panama nach Kolumbien geflogen. Ich wei\u00df nicht, ob ich da jemals noch hinkomme. Allein w\u00fcrde ich das nicht machen, aber eine Lebensabschnittsgef\u00e4hrtin m\u00fcsste schon sehr tough sein.<\/sup><\/p>\n

Wired<\/a>: „Why the Security of USB Is Fundamentally Broken“:
\nComputer users pass around USB sticks like silicon business cards. Although we know they often carry malware infections, we depend on antivirus scans and the occasional reformatting to keep our thumbdrives from becoming the carrier for the next digital epidemic. But the security problems with USB devices run deeper than you think: Their risk isn\u2019t just in what they carry, it\u2019s built into the core of how they work.<\/i><\/p>\n

Das w\u00e4re ja noch sch\u00f6ner, wenn ich USD-Sticks fremder Leute an meine Rechner lie\u00dfe. Autostart via USB – ohne meine jeweilige ausdr\u00fcckliche Erlaubnis? Igitt. (Und nat\u00fcrlich ist unter Windows auch mein BIOS verrammelt und verriegelt.)<\/p>\n

All manner of USB devices from keyboards and mice to smartphones have firmware that can be reprogrammed\u2014in addition to USB memory sticks, Nohl and Lell say they\u2019ve also tested their attack on an Android handset plugged into a PC.<\/i><\/p>\n

Das Problem haben Karsten Nohl<\/a> (Security Research Labs GmbH<\/a>, Berlin, und Jakob Lell<\/a> (Blog<\/a>) aufgedeckt. Das Thema wird auch auf der Blackhat 2014<\/a> vorgestellt werden:<\/p>\n

This talk introduces a new form of malware that operates from controller chips inside USB devices. USB sticks, as an example, can be reprogrammed to spoof various other device types in order to take control of a computer, exfiltrate data, or spy on the user. We demonstrate a full system compromise from USB and a self-replicating USB virus not detectable with current defenses.<\/i><\/p>\n

Ich geh\u00f6re nicht zu den Leuten, die Artikel schreiben mit dem Tenor „das Ende ist nahe“. Panikmache ist fehl am Platz<\/a>. Das mag daran liegen, dass ich nicht f\u00fcr Geheimdienste arbeite, wie mir von einigen Verschw\u00f6rungstheoretikern vom CCC seit meher als einem Jahrzehnt immer wieder unterstellt wird (vermutlich arbeiten gerade die f\u00fcr Geheimdienste). Die meisten Artikel in deutschen Medien \u00fcber das obige Thema hinterlassen Laien mit dem Gef\u00fchl zur\u00fcck: Die sind schon drin in meinem Computer, und man kann eh nichts tun. Das halte ich f\u00fcr kontroproduktiv, def\u00e4tistisch und erst recht im Sinne der Dienste. <\/p>\n

Ich sehe gerade, dass Heise<\/a> etwas zum Thema berichtet. (H\u00e4tte ich mir denken k\u00f6nnen, ich bin \u00fcber Bruce Schneid<\/del>er<\/a> zur Wired gekommen.)<\/p>\n

Die Kommunikation zwischen PC und USB-Sticks setzt auf das altbew\u00e4hrte SCSI-Protokoll<\/a> auf. Dabei implementieren die Controller-Chips der Sticks mehr oder weniger SCSI-konform zus\u00e4tzliche Hersteller-spezifische Erweiterungen. \u00dcber die kann Software auf dem PC dann etwa die Firmware des Sticks auslesen und auch einen neue, etwas modifizierte Firmware schreiben. Sicherheitsfunktionen, die dies irgendwie absichern w\u00fcrden, gibt es in der Regel nicht. (…) Um dann wiederum weitere Sticks zu infizieren, ben\u00f6tigt der Schadcode zwar Systemrechte, doch die lassen sich in der Regel ohne allzu gro\u00dfen Aufwand beschaffen \u2013 insbesondere, wenn man bereits „an der Tastatur sitzt.<\/i><\/p>\n

Also ich wei\u00df nicht. Das ist ja alles logisch, aber funktioniert nur unter bestimmten Voraussetzungen<\/a>. Wie will jemand zum Beispiel an mein System-Passwort kommen?<\/p>\n

Der Heise-Artikel zeigt auch anschaulich, dass Antiviren-Software Schlangen\u00f6l<\/a> ist. Quod erat demonstrandum.<\/p>\n

\"image_pdf\"<\/a>\"image_print\"<\/a><\/div>
<\/div>