Ein USB-Gerät kann sehr viel sein, so wie der Name Universal Serial Bus bereits andeutet: vom einfachen Speichermedium über ein Audiogerät bis hin zu einer Tastatur. Da aber viele Gerätetypen automatisch ins System eingebunden werden, was sehr oft gewünscht ist, lässt sich dieser Mechanismus auch missbrauchen. Im einfachsten Fall wird an einen nicht überwachten Rechner eine Tastatur angeschlossen und es werden blind Eingaben getätigt oder versierte Benutzer verwenden ein programmierbares USB-Gerät, das sich als ein beliebiges Gerät ausgeben und Aktionen starten kann.

So könnte zum Beispiel ein solches Gerät eine Tastatur simulieren, von der nach dem Anstecken in Windeseile die Eingaben kommen, um den Rechner auszuschalten oder Dateien ins Internet zu senden. Unter Umständen passiert das so schnell, dass man nur ein kurzes Aufblitzen sieht, aber nichts ernsthaft bemerkt. Das Gerät kann dann eine harmlose Funktion einnehmen, so dass es wie ein USB-Stick aussieht. Für den kreativen Umgang mit Technik sind so einige Spielereien möglich.

USB-Geräte nur noch manuell freigeben

Bei Rechnern, die man also nicht ständig im Blick hat – wie zum Beispiel Server oder Rechner an öffentlichen Plätzen für Präsentationen –, sollte man die automatische Einbindung von USB-Geräten unterbinden. Bei Linux kann man dies frühzeitig über die Kernel-Parameter tun, so dass das System von Beginn an, nicht bereitwillig alle USB-Geräte integriert. In der Datei /etc/default/grub trägt man hierfür unter GRUB_CMDLINE_LINUX die Option usbcore.authorized_default=0 ein.

Jedes Gerät, ob USB-Hub oder Maus, muss dann über authorized unterhalb von /sys/bus/usb/devices freigegeben werden; einfach echo 1 > /sys/bus/usb/devices/DEVICE/authorized. Über udev kann man dies aber auch automatisieren, so dass spezielle Geräte oder auch ganze Geräteklassen zugelassen werden, denn udev bietet hier auch schöne Möglichkeiten der Filterung. Ein Beispiel einer Regel zur Freigabe einer Apple-Tastatur für /etc/udev/rules.d/99-apple-keyboard.rules:

ACTION=="add", SUBSYSTEMS=="usb", ATTRS{idVendor}=="05ac", ATTRS{idProduct}=="0250", ATTR{authorized}="1"

Die Filterkriterien kann man zum Beispiel mit udevadm info /sys/bus/usb/devices/usb1 oder udevadm info --attribute-walk /dev/sdc oder mit lsusb bestimmen.

Ob die Einstellungen wie gewünscht passen, kann man mit udevadm test /sys/bus/usb/devices/1-1 prüfen.

Konfiguration für qemu:

# QEMU USB Tablet
ACTION=="add", SUBSYSTEMS=="usb", ATTRS{idVendor}=="0627", ATTRS{idProduct}=="0001", ATTR{authorized}="1"

Siehe auch