{"id":16007,"date":"2024-07-31T13:14:05","date_gmt":"2024-07-31T11:14:05","guid":{"rendered":"https:\/\/linux-bibel.at\/?p=16007"},"modified":"2024-08-02T08:09:36","modified_gmt":"2024-08-02T06:09:36","slug":"usb-guard-reglementierung-von-usb-geraeten","status":"publish","type":"post","link":"https:\/\/linux-bibel.at\/index.php\/2024\/07\/31\/usb-guard-reglementierung-von-usb-geraeten\/","title":{"rendered":"USB-Guard – Reglementierung von USB-Ger\u00e4ten"},"content":{"rendered":"\n

Es gibt so einige Wege unter Linux, sein System vor unberechtigten Zugriff, bzw. kompromittierten USB-Datentr\u00e4gern zu sch\u00fctzen. Eine M\u00f6glichkeit wurde bereits in diesem Beitrag<\/a> dargestellt.
Wir befassen uns heute mit USB-Guard<\/strong> f\u00fcr Linux – es reglementiert die Nutzung von USB-Ger\u00e4ten. Dieses Tool – von Red Hat entwickelt – kann Ihren Linux-PC vor BadUSB-Angriffen sch\u00fctzen \u2013 also vor USB-Ger\u00e4ten, deren Firmware insoweit ver\u00e4ndert wurde, um gezielt einen Schadcode einzuschleusen.<\/p>\n\n\n\n

Zum Einsatz kommt dabei das im Linux-Kernel integrierte USB-Authorization-Feature. Mit Hilfe von White- & Blacklisting lassen sich Anweisungen erstellen, USB-Ger\u00e4te zuzulassen oder eben zu sperren.<\/p>\n\n\n\n

Installation<\/strong><\/p>\n\n\n\n

USB-Guard ist in den meisten Distribution im Repository verf\u00fcgbar und wird unter Debian, Ubuntu und Linux Mint mit dem Befehl im Terminal:<\/p>\n\n\n\n

sudo apt install usbguard<\/strong><\/code><\/pre>\n\n\n\n
installiert.<\/p>\n\n\n\n
Konfiguration<\/strong><\/p>\n\n\n\n
Den Standard-Regelsatz von USB-Guard erweitern wir Schritt f\u00fcr Schritt mit folgenden Einstellungen in der Datei \/etc\/usbguard\/usbguard-daemon.conf<\/em>.
Dazu \u00f6ffnen wir ein Terminal und f\u00fcgen den Befehl:<\/p>\n\n\n\n
sudo nano \/etc\/usbguard\/usbguard-daemon.conf<\/strong><\/code><\/pre>\n\n\n\n
ein.

Mit der Pfeil-Taste (nach unten) bewegen wir uns ans Ende der Config-Datei…<\/p>\n\n\n\n
\"\"<\/a><\/figure>\n\n\n\n

… und f\u00fcgen hier folgende Zeilen ein:<\/p>\n\n\n\n
PresentDevicePolicy=apply-policy\nPresentControllerPolicy=apply-policy<\/strong>\n<\/code><\/pre>\n\n\n\n
\"\"<\/a><\/figure>\n\n\n\n

Diese zwei Parameter stellen sicher, dass alle Regeln auch f\u00fcr USB-Ger\u00e4te angewendet werden, die vor dem Booten angeschlossen wurden.<\/p>\n\n\n\n
Alle USB-Ger\u00e4te, die keiner Regel zugewiesen sind, werden beim Starten von USBGuard mit folgendem – weiteren – Parameter blockiert:<\/p>\n\n\n\n
ImplicitPolicyTarget=block<\/strong>\n<\/code><\/pre>\n\n\n\n
\"\"<\/a><\/figure>\n\n\n\n

Speichern Sie jetzt diese Erg\u00e4nzungen mit der Tastenkombi [Strg + O], best\u00e4tigen mit [Enter] und verlassen den Nano-Editor mit [Strg + X].<\/p>\n\n\n\n
Initialen Regelsatz (Policy) generieren:<\/strong><\/p>\n\n\n\n
Nach diesen Konfigurationsschritten wird ein initialer Regelsatz (Policy) erzeugt, der die integrierten sowie angeschlossenen USB-Ger\u00e4te freigibt.
Schlie\u00dfen Sie alle h\u00e4ufig ben\u00f6tigten USB-Ger\u00e4te an, die sp\u00e4ter regelm\u00e4\u00dfig benutzt werden.
Das ist zum einem sinnvoll, da sonst Tastatur und Maus nicht mehr korrekt arbeiten.<\/p>\n\n\n\n
Wir erstellen also mit folgenden Befehl die initiale Konfiguration :<\/p>\n\n\n\n
sudo usbguard generate-policy > rules.conf<\/strong><\/code><\/pre>\n\n\n\n
Diese wird nun in das Konfigurationsverzeichnis „\/etc\/usbguard“ kopiert:<\/p>\n\n\n\n
sudo cp rules.conf \/etc\/usbguard\/rules.conf<\/strong><\/code><\/pre>\n\n\n\n
…und die entsprechenden Rechte gesetzt:<\/p>\n\n\n\n
sudo chmod 0600 \/etc\/usbguard\/rules.conf<\/strong><\/code><\/pre>\n\n\n\n
Nach der Initialisierung des Relgelsatzes wird der USBGuard Service mit folgendem Befehl neu gestartet:<\/p>\n\n\n\n
systemctl restart usbguard.service<\/strong><\/code><\/pre>\n\n\n\n
Damit der USB-Guard Service beim Booten automatisch startet:<\/p>\n\n\n\n
systemctl enable usbguard.service<\/strong><\/code><\/pre>\n\n\n\n
Die mehrfach aufpoppenden Passwort-Abfragen best\u00e4tigen Sie bitte jeweils mit der entsprechenden Eingabe.<\/p>\n\n\n\n
USB-Ger\u00e4te auflisten:<\/strong><\/p>\n\n\n\n
Um sich alle angeschlossenen USB-Ger\u00e4te auflisten zu lassen, benutzt man den den Befehl \u201cusbguard\u201d mit der Option \u201clist-devices\u201d:<\/p>\n\n\n\n
usbguard list-devices<\/strong><\/code><\/pre>\n\n\n\n
\"\"<\/a><\/figure>\n\n\n\n
Im Ausgabe-Beispiel ist erkennbar, dass jedes USB-Ger\u00e4t eine eindeutige ID hat, \u00fcber die es angesprochen werden kann.
Alle laut Regelsatz festgelegten USB-Ger\u00e4te sind freigegeben (allow ID 11 – 20) – ein nachtr\u00e4glich angeschlossener „fremder“ USB-Stick mit der Kennung 21 ist hingegen blockiert.<\/p>\n\n\n\n
USB-Ger\u00e4te freigeben und blockieren:<\/strong><\/p>\n\n\n\n
Um den blockierten USB-Stick freizugeben, nutzen wir folgenden Befehl:<\/p>\n\n\n\n
usbguard allow-device 21<\/strong><\/code><\/pre>\n\n\n\n
\"\"<\/figure>\n\n\n\n
Der „fremde“ USB-Stick wurde nun zur Verwendung freigegeben.<\/p>\n\n\n\n
Standardm\u00e4\u00dfig ist die Freigabe eines USB-Ger\u00e4tes nur vor\u00fcbergehend g\u00fcltig. Nach dem Aus- und erneuten Einstecken des USB-Sticks wird dieser wieder blockiert. Durch den Parameter -p wird es dauerhaft erlaubt:<\/p>\n\n\n\n
usbguard allow-device 21 -p<\/strong><\/code><\/pre>\n\n\n\n
Folgender Befehl macht die Freigabe dauerhaft r\u00fcckg\u00e4ngig:<\/p>\n\n\n\n
usbguard block-device 21 -p<\/strong><\/code><\/pre>\n\n\n\n
Die Eingabe von „21“ bezieht sich hier nat\u00fcrlich auf das Beispiel. Verwenden Sie die ID Ihres gesperrten USB-Ger\u00e4tes.<\/p>\n\n\n\n
Verwendung des USB-Guard-Notifier<\/strong><\/p>\n\n\n\n
F\u00fcr USB-Guard ist ein sogenannter Notifier – also Benachrichtigungsdienst verf\u00fcgbar. Wird ein unbekanntes USB-Ger\u00e4t angeschlossen, \u00f6ffnet sich ein Popup-Fenster, das per Mausklick das Mounten gestattet.
Die Verwendung widerspricht eigentlich dem Sicherheitsgedanken hinter USB-Guard.
Hat ein Angreifer unbemerkt Zugang zum PC, k\u00f6nnte er seinen infizierten USB-Stick anschlie\u00dfen und mit einem Mausklick problemlos freigeben – sofern der Bildschirm nicht gesperrt ist.
Zudem verleitet der Dienst dem Anwender einfach immer auf „Allow“ zu klicken, sobald das Fenster erscheint. Diese Bequemlichkeit hat eine verringerte Sicherheit zur Folge.<\/p>\n\n\n\n
M\u00f6chten Sie diesen Dienst trotzdem nutzen, muss das Tool USBGuard-Notifier nachtr\u00e4glich mit folgenden Befehl:<\/p>\n\n\n\n
sudo apt install usbguard-notifier<\/strong><\/code><\/pre>\n\n\n\n
installiert werden.<\/p>\n\n\n\n
Achtung<\/strong> – Die Installation von USBGuard-Notifier sollte erst nach Abschlu\u00df der Einrichtung von USB-Guard erfolgen. Andernfalls laufen Sie Gefahr, Maus und Tastatur nicht mehr bedienen zu k\u00f6nnen!<\/p>\n\n\n\n
Starten Sie den PC neu. Schlie\u00dfen Sie nun einen „fremden“ USB-Stick an, erhalten Sie ein Hinweis-Fenster – mit Klick auf Allow<\/em><\/strong> wird das USB-Ger\u00e4t freigegeben…<\/p>\n\n\n\n
\"\"<\/a><\/figure>\n\n\n\n
…und erhalten anschlie\u00dfend eine Best\u00e4tigung…<\/p>\n\n\n\n
\"\"<\/a><\/figure>\n\n\n\n
<\/p>\n\n\n\n
Nota<\/strong><\/p>\n\n\n\n
F\u00fcr den privaten PC zuhause, i.d.R. ein Einzelarbeitsplatz – an dem lediglich eigene USB-Ger\u00e4te angeschlossen werden – ist die Nutzung einer USB-Sperre abzuw\u00e4gen.
Bei Laptops, die auch unterwegs zum Einsatz kommen, ist diese Methode eine sinnvolle Erg\u00e4nzung zum verschl\u00fcsselten Linux-System.<\/p>\n
\r\n    
\r\n    \r\n                            \"Gef\u00e4llt\r\n            <\/a>\r\n    10    <\/span>\r\n<\/div>
\r\n    \r\n                            \"Gef\u00e4llt\r\n            <\/a>\r\n    <\/span>\r\n<\/div><\/div>","protected":false},"excerpt":{"rendered":"
Es gibt so einige Wege unter Linux, sein System vor unberechtigten Zugriff, bzw. kompromittierten USB-Datentr\u00e4gern zu sch\u00fctzen. Eine M\u00f6glichkeit wurde bereits in diesem Beitrag dargestellt.Wir befassen uns heute mit USB-Guard f\u00fcr Linux – es reglementiert die Nutzung von USB-Ger\u00e4ten. Dieses Tool – von Red Hat entwickelt – kann Ihren Linux-PC vor BadUSB-Angriffen sch\u00fctzen \u2013 also […]<\/p>\n","protected":false},"author":7,"featured_media":16027,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[72,17],"tags":[1245,1243,1246,1244],"class_list":["post-16007","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-sicherheit","category-system","tag-reglementierung","tag-usb","tag-usbguard","tag-zugriffsschutz"],"_links":{"self":[{"href":"https:\/\/linux-bibel.at\/index.php\/wp-json\/wp\/v2\/posts\/16007","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/linux-bibel.at\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/linux-bibel.at\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/linux-bibel.at\/index.php\/wp-json\/wp\/v2\/users\/7"}],"replies":[{"embeddable":true,"href":"https:\/\/linux-bibel.at\/index.php\/wp-json\/wp\/v2\/comments?post=16007"}],"version-history":[{"count":13,"href":"https:\/\/linux-bibel.at\/index.php\/wp-json\/wp\/v2\/posts\/16007\/revisions"}],"predecessor-version":[{"id":16040,"href":"https:\/\/linux-bibel.at\/index.php\/wp-json\/wp\/v2\/posts\/16007\/revisions\/16040"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/linux-bibel.at\/index.php\/wp-json\/wp\/v2\/media\/16027"}],"wp:attachment":[{"href":"https:\/\/linux-bibel.at\/index.php\/wp-json\/wp\/v2\/media?parent=16007"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/linux-bibel.at\/index.php\/wp-json\/wp\/v2\/categories?post=16007"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/linux-bibel.at\/index.php\/wp-json\/wp\/v2\/tags?post=16007"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}