BadUSB tauchte im August 2014 auf. Zwei Monate später gelangte ein Proof of Concept ins Web, und in diesem Jahr haben wir herausgefunden, dass die für die Umsetzung benötigte Hardware weniger als 20 Euro kostet. Die genaue Kombination aus ungeschützten USB-Ports und unbekanntem Zubehör kann auf jedem Computer ein Sicherheitschaos auslösen. Wenn du aus irgendeinem Grund häufig viele USB-Geräte anschließen musst, fungiert das Modul USG als eine Art Firewall, die jede böswillige Aktion in Schach hält.
Die Bedrohung
Ich schätze, die Entwickler der USB-Schnittstelle hätten nie gedacht, dass diese Technologie zu einer Sicherheitslücke wird, aber so ist es. Natürlich bedeutet der Zugriff auf die USB-Ports eines Computers ohne Aufsicht das Vorhandensein früherer Sicherheitslücken. Die Geschichte ist jedoch anders, wenn wir uns in der Defensive befinden. Es gibt viele Gründe, warum ein Benutzer mehrere USB-Sticks anschließen muss. Das eigentliche Problem ist, wenn sich einer dieser USB-Sticks nicht wie einer verhält. Er könnte eine Maus oder eine Tastatur imitieren, die im Hintergrund Befehle einfügt. BadUSB ist kein billiger Hollywood-Trick mehr. Ähnliches passiert mit den sogenannten „öffentlichen Ladegeräten“, die zur Erfindung des berühmten „USB-Kondom“ geführt haben, das jetzt SyncStop genannt wird. Was können wir tun, um unseren PC zu schützen?
USG: Die USB-Hardware-Firewall
Eine Option ist das als USG bekannte Gerät, das von Robert Fisk entwickelt wurde. Vereinfacht gesagt ist USG eine USB-Hardware-Firewall, die das durchlässt, was uns interessiert, während sie alle fremden Befehle blockiert. Das Design basiert auf zwei STM32F4-Mikrocontrollern mit ARM-Architektur und ist derzeit mit Mäusen, Tastaturen oder USB-Sticks kompatibel. In Zukunft hofft Fisk, die Unterstützung auf anderes Zubehör (Webcams, Drucker) auszuweiten und die Übertragungsgeschwindigkeit zu erhöhen. Die Mikrocontroller sind USB 1.1, was maximal 12 Megabit pro Sekunde (1,5 MB/s) entspricht.
Die offizielle Seite enthält alle notwendigen Daten, um ein USG selbst zu bauen, oder man kann den Entwickler kontaktieren und den Bau eines Geräts zum passenden Preis koordinieren. Ich vermute, das wird nicht ganz billig (der DIY-Weg erfordert Teile im Wert von 50 Dollar), aber das könnte sich ändern, wenn USG populär wird.
