Segurança USB: BadUSB, juice jacking e hábitos seguros

O juice jacking descreve o risco de um ponto de carregamento USB público, como um encontrado num aeroporto, café ou transporte público, poder ser modificado para também tentar aceder aos dados de um telefone ou outro dispositivo enquanto carrega, já que uma porta USB padrão consegue transportar tanto energia como dados através do mesmo conector. Na prática, os incidentes reais confirmados têm sido raros, mas o risco subjacente é real o suficiente para que várias organizações de segurança pública já tenham emitido avisos gerais sobre o assunto ao longo dos anos.

Um telefone que mostra um aviso a perguntar se deve confiar num computador ligado, ou a oferecer opções como apenas carregar ou transferir ficheiros, está a mostrar exatamente o tipo de proteção construída para prevenir este cenário, e escolher a opção apenas carregar, quando oferecida, é uma escolha padrão sensata numa porta pública desconhecida.

Muitas organizações definem políticas que limitam ou bloqueiam dispositivos de armazenamento USB em computadores de trabalho, e estas políticas existem por razões que vão além especificamente de ataques estilo BadUSB. Uma porta USB sem restrições também é uma forma simples de dados saírem de uma rede empresarial através de um pendrive pessoal, ou de software malicioso entrar numa rede a partir de um dispositivo infetado trazido de fora, contornando totalmente os controlos de segurança baseados em rede.

Onde estas políticas existem, costumam aplicar-se através de uma combinação de restrições físicas de porta, software que só permite tipos de dispositivos aprovados, e regras sobre que dispositivos os funcionários podem ligar. Seguir a política USB de um local de trabalho, mesmo quando parece inconveniente para uma tarefa específica, costuma existir para proteger contra uma categoria de risco real e bem compreendida, e não é uma restrição arbitrária.

Algumas organizações vão mais longe e desativam completamente as portas USB em computadores de secretária, ou emitem apenas dispositivos de armazenamento aprovados e geridos centralmente aos funcionários que realmente precisam de armazenamento portátil para o seu trabalho. Outras dependem de software que reconhece identificadores de dispositivos aprovados e ignora silenciosamente qualquer outro, o que permite que acessórios normais, como teclados e ratos, continuem a funcionar enquanto bloqueia dispositivos de armazenamento não reconhecidos, sem que os funcionários precisem de mudar os seus hábitos diários.

A maioria dos riscos relacionados com USB pode ser gerida com um pequeno conjunto de hábitos consistentes, sem precisar de qualquer conhecimento técnico especial.

• Nunca ligue um dispositivo USB desconhecido encontrado num local público a um computador pessoal ou de trabalho.
• Em pontos de carregamento públicos desconhecidos, escolha a opção apenas carregar quando um telefone a oferecer, ou use um bloqueador de dados.
• Mantenha os sistemas operativos atualizados, já que algumas proteções contra ataques baseados em USB estão incorporadas no software que gere como os dispositivos ligados são reconhecidos.
• Siga a política USB da sua organização no trabalho, mesmo que ocasionalmente pareça restritiva para uma tarefa específica.
• Compre cabos e acessórios de fontes em que confia, já que o aspeto exterior de um cabo não revela nada sobre o que faz eletricamente, conforme abordado no nosso guia sobre como escolher cabos USB.

Carregar o meu telefone numa porta USB pública é realmente perigoso?

Os casos reais confirmados são raros, mas o risco subjacente existe porque uma ligação USB padrão consegue transportar tanto energia como dados. Escolher a opção apenas carregar, quando oferecida, remove completamente a preocupação.

O software antivírus consegue detetar um ataque BadUSB?

Geralmente não, já que o ataque funciona fazendo um dispositivo identificar-se como outra coisa, como um teclado, em vez de através de um ficheiro que o software de segurança normalmente analisaria.

Vale a pena comprar bloqueadores de dados USB?

São baratos e removem qualquer incerteza sobre o acesso a dados ao carregar numa porta pública desconhecida, pelo que são uma precaução razoável para viajantes frequentes.

Por que o meu local de trabalho bloqueia pendrives USB?

Normalmente para evitar que dados saiam da organização através de um dispositivo pessoal e para impedir que malware entre na rede a partir de um dispositivo externo, ambos riscos bem compreendidos e comuns.