Seguridad USB: BadUSB, juice jacking y hábitos seguros

El juice jacking describe el riesgo de que un punto de carga USB público, como uno situado en un aeropuerto, una cafetería o el transporte público, pueda modificarse para intentar también acceder a los datos de un teléfono u otro dispositivo mientras carga, ya que un puerto USB estándar puede transportar tanto energía como datos por el mismo conector. En la práctica, los incidentes reales confirmados han sido escasos, pero el riesgo de fondo es lo bastante real como para que varias organizaciones de seguridad pública hayan emitido advertencias generales al respecto a lo largo de los años.

Un teléfono que muestra un aviso preguntando si confiar en un ordenador conectado, u ofreciendo opciones como solo carga o transferencia de archivos, está mostrando exactamente el tipo de protección diseñada para evitar este escenario, y elegir la opción de solo carga, cuando se ofrece, es una opción por defecto sensata en un punto público desconocido.

Muchas organizaciones establecen políticas que limitan o bloquean los dispositivos de almacenamiento USB en los ordenadores de trabajo, y estas políticas existen por razones que van más allá de los ataques al estilo BadUSB en concreto. Un puerto USB sin restricciones también es una forma sencilla de que los datos salgan de la red de una empresa en una memoria USB personal, o de que software malicioso entre en una red desde un dispositivo infectado traído del exterior, saltándose por completo los controles de seguridad basados en la red.

Donde existen estas políticas, suelen aplicarse mediante una combinación de restricciones físicas en los puertos, software que solo permite tipos de dispositivo aprobados, y normas sobre qué dispositivos puede conectar el personal. Seguir la política de USB de un lugar de trabajo, aunque a veces resulte incómoda para una tarea concreta, generalmente está pensada para proteger frente a una categoría de riesgo real y bien conocida, y no es una restricción arbitraria.

Algunas organizaciones van más allá y desactivan por completo los puertos USB de los ordenadores de sobremesa, o entregan solo dispositivos de almacenamiento aprobados y gestionados centralmente al personal que realmente necesita almacenamiento portátil para su trabajo. Otras confían en software que reconoce identificadores de dispositivo aprobados e ignora silenciosamente cualquier otro, lo que permite que accesorios normales como teclados y ratones sigan funcionando mientras se bloquean los dispositivos de almacenamiento no reconocidos, sin que el personal tenga que cambiar en absoluto sus hábitos diarios.

La mayor parte del riesgo relacionado con el USB puede gestionarse con un pequeño conjunto de hábitos constantes, sin necesitar ningún conocimiento técnico especial.

• Nunca conectar a un ordenador personal o de trabajo un dispositivo USB desconocido encontrado en un lugar público.
• En puntos de carga públicos desconocidos, elegir la opción de solo carga cuando el teléfono la ofrezca, o usar un bloqueador de datos.
• Mantener actualizados los sistemas operativos, ya que algunas protecciones frente a ataques basados en USB están integradas en el software que gestiona cómo se reconocen los dispositivos conectados.
• Seguir la política USB de tu organización en el trabajo, aunque a veces resulte restrictiva para una tarea concreta.
• Comprar cables y accesorios de fuentes de confianza, ya que el aspecto externo de un cable no revela nada sobre lo que hace eléctricamente, como se explica en nuestra guía sobre cómo elegir cables USB.

¿Es realmente peligroso cargar mi teléfono en un puerto USB público?

Los casos reales confirmados son escasos, pero el riesgo de fondo existe porque una conexión USB estándar puede transportar tanto energía como datos. Elegir la opción de solo carga, cuando se ofrece, elimina por completo la preocupación.

¿Puede un antivirus detectar un ataque BadUSB?

Generalmente no, ya que el ataque funciona haciendo que un dispositivo se identifique como otra cosa, como un teclado, en lugar de mediante un archivo que el software de seguridad analizaría normalmente.

¿Merece la pena comprar bloqueadores de datos USB?

Son baratos y eliminan cualquier incertidumbre sobre el acceso a datos al cargar desde un puerto público desconocido, así que son una precaución razonable para quienes viajan con frecuencia.

¿Por qué mi lugar de trabajo bloquea las memorias USB?

Normalmente para evitar que los datos salgan de la organización en un dispositivo personal y para impedir que entre malware en la red desde un dispositivo externo, dos riesgos comunes y bien conocidos.