USB-veiligheid: BadUSB, juice jacking en veilige gewoontes

Juice jacking beschrijft het risico dat een openbaar USB-oplaadpunt, zoals eentje op een luchthaven, in een café of op openbaar vervoer, aangepast zou kunnen zijn om ook te proberen data van een telefoon of ander apparaat te benaderen terwijl het oplaadt, omdat een standaard USB-poort zowel stroom als data via dezelfde connector kan overbrengen. In de praktijk zijn bevestigde incidenten uit de echte wereld zeldzaam, maar het onderliggende risico is echt genoeg dat verschillende organisaties voor openbare veiligheid er in de loop der jaren algemene waarschuwingen over hebben afgegeven.

Een telefoon die een melding toont die vraagt of een aangesloten computer moet worden vertrouwd, of die opties biedt zoals alleen opladen of bestandsoverdracht, toont precies het soort bescherming dat is gebouwd om tegen dit scenario te beschermen, en de optie alleen opladen kiezen, indien aangeboden, is een verstandige standaardkeuze bij een onbekend openbaar oplaadpunt.

Veel organisaties stellen beleid op dat USB-opslagapparaten op werkcomputers beperkt of blokkeert, en dit beleid bestaat om redenen die verder gaan dan alleen BadUSB-achtige aanvallen. Een onbeperkte USB-poort is ook een simpele manier voor data om een bedrijfsnetwerk te verlaten via een persoonlijke USB-stick, of voor kwaadaardige software om een netwerk binnen te komen via een geïnfecteerd apparaat dat van buitenaf is meegebracht, waarbij netwerkgebaseerde beveiligingscontroles volledig worden omzeild.

Waar zulk beleid bestaat, geldt het meestal via een combinatie van fysieke poortbeperkingen, software die alleen goedgekeurde apparaattypes toestaat, en regels over welke apparaten medewerkers mogen aansluiten. Het USB-beleid van een werkplek volgen, ook als het voor een specifieke taak onhandig lijkt, is over het algemeen bedoeld om te beschermen tegen een echte en goed begrepen risicocategorie, in plaats van een willekeurige beperking te zijn.

Sommige organisaties gaan verder en schakelen USB-poorten op desktopcomputers helemaal uit, of geven alleen goedgekeurde, centraal beheerde opslagapparaten aan medewerkers die daadwerkelijk draagbare opslag nodig hebben voor hun werk. Andere vertrouwen op software die goedgekeurde apparaat-ID's herkent en al het andere stilzwijgend negeert, waardoor gewone accessoires zoals toetsenborden en muizen kunnen blijven werken terwijl onherkende opslagapparaten worden geblokkeerd, zonder dat medewerkers hun dagelijkse gewoontes hoeven te veranderen.

De meeste USB-gerelateerde risico's kunnen worden beheerd met een kleine set consistente gewoontes, zonder speciale technische kennis nodig te hebben.

• Steek nooit een onbekend USB-apparaat dat op een openbare plek is gevonden in een persoonlijke of werkcomputer.
• Kies bij onbekende openbare oplaadpunten voor een alleen-opladen-optie als een telefoon die aanbiedt, of gebruik een databeveiliger.
• Houd besturingssystemen up-to-date, omdat sommige beschermingen tegen USB-gebaseerde aanvallen zijn ingebouwd in de software die beheert hoe aangesloten apparaten worden herkend.
• Volg het USB-beleid van je organisatie op het werk, ook al voelt het soms beperkend aan voor een specifieke taak.
• Koop kabels en accessoires bij bronnen die je vertrouwt, want het uiterlijk van een kabel onthult niets over wat hij elektrisch doet, zoals behandeld in onze gids over het kiezen van USB-kabels.

Is mijn telefoon opladen bij een openbaar USB-punt echt gevaarlijk?

Bevestigde gevallen uit de echte wereld zijn zeldzaam, maar het onderliggende risico bestaat omdat een standaard USB-verbinding zowel stroom als data kan overbrengen. Kiezen voor een alleen-opladen-optie, indien aangeboden, neemt de zorg volledig weg.

Kan antivirussoftware een BadUSB-aanval detecteren?

Over het algemeen niet, omdat de aanval werkt doordat een apparaat zich identificeert als iets anders, zoals een toetsenbord, in plaats van via een bestand dat beveiligingssoftware normaal zou scannen.

Zijn USB-databeveiligers de moeite waard om te kopen?

Ze zijn goedkoop en nemen alle onzekerheid weg over datatoegang bij het opladen via een onbekend openbaar punt, dus zijn ze een redelijke voorzorgsmaatregel voor frequente reizigers.

Waarom blokkeert mijn werkplek USB-sticks?

Meestal om te voorkomen dat data de organisatie verlaat via een persoonlijk apparaat en om te stoppen dat malware het netwerk binnenkomt via een extern apparaat, beide goed begrepen en veelvoorkomende risico's.