BadUSB est apparu en août 2014. Deux mois plus tard, une preuve de concept est arrivée sur le Web, et cette année nous avons découvert que le matériel nécessaire à sa mise en œuvre coûte moins de 20 euros. La combinaison exacte entre ports USB non protégés et accessoires inconnus peut provoquer un chaos de sécurité sur n'importe quel ordinateur. Si pour une raison quelconque vous devez connecter fréquemment de nombreux périphériques USB, le module USG agit comme une sorte de firewall, contenant toute action malveillante.
Je pense que les créateurs de l'interface USB n'ont jamais imaginé voir cette technologie devenir une vulnérabilité, mais c'est le cas. Évidemment, accéder aux ports USB d'un ordinateur sans supervision implique l'existence de failles de sécurité préalables. Cependant, l'histoire est différente lorsque c'est nous qui sommes sur la défensive. Il y a de nombreuses raisons pour lesquelles un utilisateur doit connecter plusieurs clés USB. Le vrai problème est si l'une de ces clés ne se comporte pas comme telle. Elle pourrait émuler une souris, ou un clavier qui injecte des commandes en arrière-plan. BadUSB a cessé d'être un truc bon marché de Hollywood. Quelque chose de similaire se produit avec les « chargeurs publics », qui ont conduit à la création du célèbre « préservatif USB », désormais baptisé SyncStop. Que pouvons-nous faire pour protéger notre PC ?
Une option est le dispositif connu sous le nom d'USG, créé par Robert Fisk. En termes simples, USG est un pare-feu matériel USB, et il laisse passer ce qui nous intéresse tout en bloquant toute commande étrange. La conception repose sur deux microcontrôleurs STM32F4 avec architecture ARM, et pour le moment il est compatible avec les souris, claviers ou clés USB. À l'avenir, Fisk espère étendre le support à d'autres accessoires (webcams, imprimantes), et augmenter la vitesse de transfert. Les microcontrôleurs sont USB 1.1, ce qui équivaut à un maximum de 12 mégabits par seconde (1.5 MB/s).
La page officielle contient toutes les données nécessaires pour monter un USG maison, ou sinon, il est possible de contacter le développeur et de coordonner la construction d'un exemplaire au prix approprié. J'imagine que cela ne sera pas très économique (la voie DIY nécessite 50 dollars de pièces), mais cela pourrait changer si USG devient populaire.
