{"id":16007,"date":"2024-07-31T13:14:05","date_gmt":"2024-07-31T11:14:05","guid":{"rendered":"https:\/\/linux-bibel.at\/?p=16007"},"modified":"2024-08-02T08:09:36","modified_gmt":"2024-08-02T06:09:36","slug":"usb-guard-reglementierung-von-usb-geraeten","status":"publish","type":"post","link":"https:\/\/linux-bibel.at\/index.php\/2024\/07\/31\/usb-guard-reglementierung-von-usb-geraeten\/","title":{"rendered":"USB-Guard – Reglementierung von USB-Ger\u00e4ten"},"content":{"rendered":"\n

Es gibt so einige Wege unter Linux<\/a>, sein System vor unberechtigten Zugriff, bzw. kompromittierten USB<\/a>-Daten<\/a>trägern zu schützen. Eine Möglichkeit wurde bereits in diesem Beitrag<\/a> dargestellt.
Wir befassen uns heute mit USB<\/a>-Guard<\/strong> für Linux<\/a> – es reglementiert die Nutzung von USB<\/a>-Geräten. Dieses Tool – von Red Hat entwickelt – kann Ihren Linux<\/a>-PC vor BadUSB<\/a>-Angriffen schützen – also vor USB<\/a>-Geräten, deren Firmware<\/a> insoweit verändert wurde, um gezielt einen Schadcode einzuschleusen.<\/p>\n\n\n\n

Zum Einsatz kommt dabei das im Linux<\/a>-Kernel integrierte USB<\/a>-Authorization-Feature. Mit Hilfe von White- & Blacklisting lassen sich Anweisungen erstellen, USB<\/a>-Geräte zuzulassen oder eben zu sperren.<\/p>\n\n\n\n

Installation<\/strong><\/p>\n\n\n\n

USB<\/a>-Guard ist in den meisten Distribution<\/a> im Repository<\/a> verfügbar und wird unter Debian<\/a>, Ubuntu und Linux<\/a> Mint mit dem Befehl<\/a> im Terminal<\/a>:<\/p>\n\n\n\n

sudo apt install usbguard<\/strong><\/code><\/pre>\n\n\n\n
installiert.<\/p>\n\n\n\n
Konfiguration<\/a><\/strong><\/p>\n\n\n\n
Den Standard-Regelsatz von USB<\/a>-Guard erweitern wir Schritt für Schritt mit folgenden Einstellungen in der Datei<\/a> \/etc\/usb<\/a>guard\/usb<\/a>guard-daemon<\/a>.conf<\/em>.
Dazu öffnen wir ein Terminal<\/a> und fügen den Befehl<\/a>:<\/p>\n\n\n\n
sudo nano \/etc\/usbguard\/usbguard-daemon.conf<\/strong><\/code><\/pre>\n\n\n\n
ein.

Mit der Pfeil-Taste (nach unten) bewegen wir uns ans Ende der Config-Datei<\/a>…<\/p>\n\n\n\n
\"\"<\/a><\/figure>\n\n\n\n

… und fügen hier folgende Zeilen ein:<\/p>\n\n\n\n
PresentDevicePolicy=apply-policy\nPresentControllerPolicy=apply-policy<\/strong>\n<\/code><\/pre>\n\n\n\n
\"\"<\/a><\/figure>\n\n\n\n

Diese zwei Param<\/a>eter stellen sicher, dass alle Regeln auch für USB<\/a>-Geräte angewendet werden, die vor dem Booten angeschlossen wurden.<\/p>\n\n\n\n
Alle USB<\/a>-Geräte, die keiner Regel zugewiesen sind, werden beim Starten von USB<\/a>Guard mit folgendem – weiteren – Param<\/a>eter blocki<\/a>ert:<\/p>\n\n\n\n
ImplicitPolicyTarget=block<\/strong>\n<\/code><\/pre>\n\n\n\n
\"\"<\/a><\/figure>\n\n\n\n

Speichern<\/a> Sie jetzt diese Ergänzungen mit der Tastenkombi [Strg + O], bestätigen mit [Enter] und verlassen den Nano-Editor<\/a> mit [Strg + X].<\/p>\n\n\n\n
Initialen Regelsatz (Policy) generieren:<\/strong><\/p>\n\n\n\n
Nach diesen Konfiguration<\/a>sschritten wird ein initialer Regelsatz (Policy) erzeugt, der die integrierten sowie angeschlossenen USB<\/a>-Geräte freigibt.
Schließen Sie alle häufig benötigten USB<\/a>-Geräte an, die später regelmäßig benutzt werden.
Das ist zum einem sinnvoll, da sonst Tastatur und Maus nicht mehr korrekt arbeiten.<\/p>\n\n\n\n
Wir erstellen also mit folgenden Befehl<\/a> die initiale Konfiguration<\/a> :<\/p>\n\n\n\n
sudo usbguard generate-policy > rules.conf<\/strong><\/code><\/pre>\n\n\n\n
Diese wird nun in das Konfiguration<\/a>sverzeichnis<\/a> „\/etc\/usb<\/a>guard“ kopiert:<\/p>\n\n\n\n
sudo cp rules.conf \/etc\/usbguard\/rules.conf<\/strong><\/code><\/pre>\n\n\n\n
…und die entsprechenden Rechte gesetzt:<\/p>\n\n\n\n
sudo chmod 0600 \/etc\/usbguard\/rules.conf<\/strong><\/code><\/pre>\n\n\n\n
Nach der Initialisierung des Relgelsatzes wird der USB<\/a>Guard Service mit folgendem Befehl<\/a> neu gestartet:<\/p>\n\n\n\n
systemctl restart usbguard.service<\/strong><\/code><\/pre>\n\n\n\n
Damit der USB<\/a>-Guard Service beim Booten automatisch startet:<\/p>\n\n\n\n
systemctl enable usbguard.service<\/strong><\/code><\/pre>\n\n\n\n
Die mehrfach aufpoppenden Passwort-Abfragen bestätigen Sie bitte jeweils mit der entsprechenden Eingabe.<\/p>\n\n\n\n
USB<\/a>-Geräte auflisten:<\/strong><\/p>\n\n\n\n
Um sich alle angeschlossenen USB<\/a>-Geräte auflisten zu lassen, benutzt man den den Befehl<\/a> “usb<\/a>guard” mit der Option “list-devices”:<\/p>\n\n\n\n
usbguard list-devices<\/strong><\/code><\/pre>\n\n\n\n
\"\"<\/a><\/figure>\n\n\n\n
Im Ausgabe-Beispiel ist erkennbar, dass jedes USB<\/a>-Gerät eine eindeutige ID hat, über die es angesprochen werden kann.
Alle laut Regelsatz festgelegten USB<\/a>-Geräte sind freigegeben (allow ID 11 – 20) – ein nachträglich angeschlossener „fremder“ USB<\/a>-Stick mit der Kennung 21 ist hingegen blocki<\/a>ert.<\/p>\n\n\n\n
USB<\/a>-Geräte freigeben und blocki<\/a>eren:<\/strong><\/p>\n\n\n\n
Um den blocki<\/a>erten USB<\/a>-Stick freizugeben, nutzen wir folgenden Befehl<\/a>:<\/p>\n\n\n\n
usbguard allow-device 21<\/strong><\/code><\/pre>\n\n\n\n
\"\"<\/figure>\n\n\n\n
Der „fremde“ USB<\/a>-Stick wurde nun zur Verwendung freigegeben.<\/p>\n\n\n\n
Standardmäßig ist die Freigabe eines USB<\/a>-Gerätes nur vorübergehend gültig. Nach dem Aus- und erneuten Einstecken des USB<\/a>-Sticks wird dieser wieder blocki<\/a>ert. Durch den Param<\/a>eter -p wird es dauerhaft erlaubt:<\/p>\n\n\n\n
usbguard allow-device 21 -p<\/strong><\/code><\/pre>\n\n\n\n
Folgender Befehl<\/a> macht die Freigabe dauerhaft rückgängig:<\/p>\n\n\n\n
usbguard block-device 21 -p<\/strong><\/code><\/pre>\n\n\n\n
Die Eingabe von „21“ bezieht sich hier natürlich auf das Beispiel. Verwenden Sie die ID Ihres gesperrten USB<\/a>-Gerätes.<\/p>\n\n\n\n
Verwendung des USB<\/a>-Guard-Notifier<\/strong><\/p>\n\n\n\n
Für USB<\/a>-Guard ist ein sogenannter Notifier – also Benachrichtigungsdienst verfügbar. Wird ein unbekanntes USB<\/a>-Gerät angeschlossen, öffnet sich ein Popup-Fenster, das per Mausklick das Mounten<\/a> gestattet.
Die Verwendung widerspricht eigentlich dem Sicherheitsgedanken hinter USB<\/a>-Guard.
Hat ein Angreifer unbemerkt Zugang zum PC, könnte er seinen infizierten USB<\/a>-Stick anschließen und mit einem Mausklick problemlos freigeben – sofern der Bildschirm nicht gesperrt ist.
Zudem verleitet der Dienst dem Anwender einfach immer auf „Allow“ zu klicken, sobald das Fenster erscheint. Diese Bequemlichkeit hat eine verringerte Sicherheit zur Folge.<\/p>\n\n\n\n
Möchten Sie diesen Dienst trotzdem nutzen, muss das Tool USB<\/a>Guard-Notifier nachträglich mit folgenden Befehl<\/a>:<\/p>\n\n\n\n
sudo apt install usbguard-notifier<\/strong><\/code><\/pre>\n\n\n\n
installiert werden.<\/p>\n\n\n\n
Achtung<\/strong> – Die Installation von USB<\/a>Guard-Notifier sollte erst nach Abschluß der Einrichtung von USB<\/a>-Guard erfolgen. Andernfalls laufen Sie Gefahr, Maus und Tastatur nicht mehr bedienen zu können!<\/p>\n\n\n\n
Starten Sie den PC neu. Schließen Sie nun einen „fremden“ USB<\/a>-Stick an, erhalten Sie ein Hinweis-Fenster – mit Klick auf Allow<\/em><\/strong> wird das USB<\/a>-Gerät freigegeben…<\/p>\n\n\n\n
\"\"<\/a><\/figure>\n\n\n\n
…und erhalten anschließend eine Bestätigung…<\/p>\n\n\n\n
\"\"<\/a><\/figure>\n\n\n\n
<\/p>\n\n\n\n
Nota<\/strong><\/p>\n\n\n\n
Für den privaten PC zuhause, i.d.R. ein Einzelarbeitsplatz – an dem lediglich eigene USB<\/a>-Geräte angeschlossen werden – ist die Nutzung einer USB<\/a>-Sperre abzuwägen.
Bei Laptops, die auch unterwegs zum Einsatz kommen, ist diese Methode eine sinnvolle Ergänzung zum verschlüsselten Linux<\/a>-System.<\/p>\n
\r\n    
\r\n    \r\n                            \"Gef\u00e4llt\r\n            <\/a>\r\n    10    <\/span>\r\n<\/div>
\r\n    \r\n                            \"Gef\u00e4llt\r\n            <\/a>\r\n    <\/span>\r\n<\/div><\/div>","protected":false},"excerpt":{"rendered":"
Es gibt so einige Wege unter Linux, sein System vor unberechtigten Zugriff, bzw. kompromittierten USB-Datentr\u00e4gern zu sch\u00fctzen. Eine M\u00f6glichkeit wurde bereits in diesem Beitrag dargestellt.Wir befassen uns heute mit USB-Guard f\u00fcr Linux – es reglementiert die Nutzung von USB-Ger\u00e4ten. Dieses Tool – von Red Hat entwickelt – kann Ihren Linux-PC vor BadUSB-Angriffen sch\u00fctzen \u2013 also […]<\/p>\n","protected":false},"author":7,"featured_media":16027,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[72,17],"tags":[1245,1243,1246,1244],"class_list":["post-16007","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-sicherheit","category-system","tag-reglementierung","tag-usb","tag-usbguard","tag-zugriffsschutz"],"_links":{"self":[{"href":"https:\/\/linux-bibel.at\/index.php\/wp-json\/wp\/v2\/posts\/16007","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/linux-bibel.at\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/linux-bibel.at\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/linux-bibel.at\/index.php\/wp-json\/wp\/v2\/users\/7"}],"replies":[{"embeddable":true,"href":"https:\/\/linux-bibel.at\/index.php\/wp-json\/wp\/v2\/comments?post=16007"}],"version-history":[{"count":13,"href":"https:\/\/linux-bibel.at\/index.php\/wp-json\/wp\/v2\/posts\/16007\/revisions"}],"predecessor-version":[{"id":16040,"href":"https:\/\/linux-bibel.at\/index.php\/wp-json\/wp\/v2\/posts\/16007\/revisions\/16040"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/linux-bibel.at\/index.php\/wp-json\/wp\/v2\/media\/16027"}],"wp:attachment":[{"href":"https:\/\/linux-bibel.at\/index.php\/wp-json\/wp\/v2\/media?parent=16007"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/linux-bibel.at\/index.php\/wp-json\/wp\/v2\/categories?post=16007"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/linux-bibel.at\/index.php\/wp-json\/wp\/v2\/tags?post=16007"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}