News Linux: USB-Subsystem des Kernels hat 79 Schwachstellen

[cbtestarossa]

Leider mindestens genauso utopisch wie das Deaktivieren der Anschlüsse.

BIOS -> USB -> deaktivieren.
BIOS -> Bootdevice -> Systemplatte (sonst nichts)
BIOS -> Passwort setzen

 

[FreddyMercury]

Das ist gut und schlecht zugleich. Gut ist das die Fehler schnell behoben werden koennen, das schlechte ist, das die bugs mit einem Fuzzer gefunden werden konnten. Da muss ordentlich was an Code qualitaet nach geholt werden in dem Fall.

 

[Silent1337]

BIOS -> USB -> deaktivieren.

Äh...ich will in der Firma noch Daten untereinander austauschen können. Das geht am einfachsten per USB.

 

[Mickey Cohen]

Hast du schon mal eine zeile code geschrieben?
Falls nein rate ich dir es zu lernen, dann siehst du die dinge realistischer

ja, genau deswegen weiss ich ja, wie unmöglich das ist. (zumindest für mich)

 

[MacroWelle]

Port Control Software ist sehr aufwändig,weil jeder Rechner einfach USB braucht um damit arbeiten zu können. Bei der Einrichtung passieren einfach False Positives, weil es eben so viele unterschiedliche Hardware gibt.
Und zu verlangen, dass in einem Unternehmen nur eine Sorte Hardware eingesetzt wird, ist schlicht relitätsfern.

Bzgl. PXE. Toll zum Aufsetzen frischer Rechner, aber erklär mal Deinen Usern, dass Sie nicht mehr mobil arbeiten können.
Keine Meetings mit Notebook
Keine Kundentermine
Kein HomeOffice

Btw. Stell Dir vor, man kauft mal wieder ein kleines Unternehmen. Dort die eigene IT zu implementieren ohne die Arbeitsabläufe dort über den Haufen zu schmeißen dauert. Und wie soll man dann mit eigenen Systemen dort Arbeiten?

Vom grade so heißen Scheiß "BYOD" fang ich erst gar nicht an...

Da für die in der News angesprochenen Sicherheitslücken sowieso physischer Zugang nötig ist, können wir uns aus guten Gründen auf die Betrachtung besonders sensibler Computer (z. B. Hochsicherheitsbereich) beschränken. Weil physischer Zugang heißt, dass der Angreifer auch ein eigenes Betriebssystem booten kann (wenn genug Zeit) oder einen Keylogger installiert (wenig Zeit). Diese besonders sensiblen Systeme brauchen kein USB - also Treiber blacklisten und Ports verplomben. Kommunikation zwischen diesen Computern kann dann nach Bedarf über ein internes lokales Netzwerk, CDs (nicht beschreibbar) oder schlicht gar nicht stattfinden. Homeoffice darf man dann eh nicht

 

[cbtestarossa]

Äh...ich will in der Firma noch Daten untereinander austauschen können. Das geht am einfachsten per USB.

Genau aus dem Grund gibt es Netzwerkordner für Datentausch an einem speziellen Server.
Am besten natürlich von Antivirensoftware überwacht.
Email oder andere Speziallösungen nur fürs LAN gibt es sicher auch noch.
Oder ein eigener Chatserver nur fürs LAN mittels DCC oder ähnliche Messengersysteme.

Weil physischer Zugang heißt, dass der Angreifer auch ein eigenes Betriebssystem booten kann

Kann er nicht wenn alles im BIOS gesperrt ist.

 

[gaelic]

bla bla bla bla....
...
properitär hat nur einen zweck und das ist nunmal Geld. Und ja auch ich und jeder Linux benutzer braucht geld......

Mit Linux wird viel Geld verdient, mit OS wird viel Geld verdient. Also ist deine Aussage für die Tonne.

 

[Volker-Racho]

Aber es sind wieder nur relativ ungefährliche Schwachstellen - relativ ungefährlich weil man physischen Zugang zum System braucht

Ich gebe zu bedenken, dass es sich um das USB-Subsystem handelt. Ohne physischen Zugang zum System wäre dieser Teil des Kernels also sinnlos. Daher ist die Meldung doch relevanter als du vermutlich gedacht hast.

 

[Wattwanderer]

Natürlich wird man nicht warten, dass jemand einen passend präparierten USB Stick baut und sich Zugang zum Rechner beschafft sondern zügig Updates einspielen.

Dennoch, ich habe keine hunderte von Besuchern täglich in unserem Serverraum die ihren Satz an USB Sticks durchstecken.

Da wären ein Funkmoduladapter am Tastatur und einem Empfänger der die Eingaben mitloggt im Mülleimer zu platzieren einfacher. So muss man nur einmal in das Gebäude einbrechen und die Müllabfuhr abpassen.

 

[Atkatla]

BIOS -> USB -> deaktivieren.

Und wo schliess ich bei den Clients dann Tastatur und Maus an? Bei Servern ist es eh relativ egal, da keine Fremden in den Serverraum können.

 

[Silent1337]

Genau aus dem Grund gibt es Netzwerkordner für Datentausch an einem speziellen Server.
Am besten natürlich von Antivirensoftware überwacht.
Email oder andere Speziallösungen nur fürs LAN gibt es sicher auch noch.
Oder ein eigener Chatserver nur fürs LAN mittels DCC oder ähnliche Messengersysteme.

• Netzwerkordner - gut, hat meine Firma. Ist aber offen für alle, vertrauliche Daten kann ich dort also nicht ablegen.
• E-Mail ist nicht für große Anhänge vorgesehen.
• Gleiches gilt für einen Chatserver - dann muss ich meine Office-Infrastruktur aufbohren, weil die User jetzt riesige Datenmengen verschicken sollen.
• Hier darf man grundsätzlich sein Betriebssystem frei wählen - das muss auch irgendwie auf die Platte.

Deine genannten Lösungen werden zudem alle eine Stange Geld kosten. Lieber werden die eigenen MA noch mal sensibilisiert.

 

[mensch183]

Besucher .... die ihren Satz an USB Sticks durchstecken

Nix Satz. Nix umstecken. Der Besucher hätte nur einen einzigen manipulierten Stick, der dem Rechner gegenüber schnell nacheinander zig verschiedene USB-Geräte vorgaukelt, bis er Erfolg hat.

Daraus ergibt sich auch eine mögliche Verteidigung: USB-Geräte gaaaanz laaaaangsaaaaam registrieren.

 

[cbtestarossa]

Und wo schliess ich bei den Clients dann Tastatur und Maus an?

PS/2 natürlich

Deine genannten Lösungen werden zudem alle eine Stange Geld kosten.

Eigentlich nicht wenn man OS Software verwendet. Zeit kostet das natürlich.

Lieber werden die eigenen MA noch mal sensibilisiert.

Das sowieso.
Aber das Beispiel zeigt halt dass Menschen auch auf die unmöglichsten Ideen kommen könnten wenn sie sich etwas zum Ziel setzen.
Und wenn es nur Neugierde ist was sie dazu bewegt einen fremden USB-Stick an einem Firmenrechner anzuschließen.

 

[Atkatla]

PS/2 natürlich

Ja nee, is klar. ^^ Und jetzt bitte die Frage noch mal für die reale Welt betrachten. Viele Endgeräte in den Unternehmen haben gar kein PS2 mehr. Notebooks, Thin Clients usw... Vor 10 Jahren hätte man die Antwort vielleicht noch gelten lassen können, aber PS/2 ist mittlerweile legacy.

 

[cbtestarossa]

Naja bei Notebooks stimmts wohl.
Aber normale Arbeitsstationen sollten die PS/2 Schnittstellen noch bieten. Gibt selbst noch Boards mit serieller Schnittstelle.
Peripheriegeräte hängen meist eh im LAN/WLan.
Tja so ist das halt und die nächste Lücke wartet bestimmt schon.
So gesehen ist ja selbst UEFI nicht gerade das was man nutzen sollte.