Forum Debian Users Gang

[quote=Jacekalex]Czyli jakby lapek szedł w uśpienie czy blokadę ekranu w hotelu, to przy wejściu w [b]pm_suspend[/b] albo blokadę ekranu można wyłączyć dostęp nowych urządzeń USB?[/quote]
Napisz to tak bym zrozumiał. xD

[quote=Jacekalex]Żeby nie dalo się obejść logowania przez podłaczenie pendraka, ktorego Nautilus albo Dolphin automatycznie zamontuje włączajac przy tym aktywną sesję?[/quote]
Jeszcze uśpienia i hibernacji nie sprawdzałem, będę wieczorem patrzył to zobaczę jak to działa ale raczej powinno zablokować. Chyba, że te wartości się zresetują po odhibernowaniu/wybudzeniu, wtedy pewnie trzeba by je tuż po tej akcji wpisać na nowo, tak jak to miało/ma miejsce z wartościami w sysctl.

[quote=Jacekalex]W Andku do połączenia USB ADB też musisz autoryzować urządzenie na cegłofonie.
Tylko tam zapamiętuje jakiś klucz kryptograficzny urządzenia.[/quote]
Tak wiem, tylko nawet przy zezwoleniu system odmawia. :]

Ostatnio edytowany przez morfik (2018-08-21 15:29:14)

Chyba raczej tego się nie da zrobić, bo to by wymagało kontroli zwykłego użytkownika, a to już nie jest fajne. xD

Kilka linków, które póki co znalazłem i zawierają ciekawe info.

Prezentacja na temat USB i ataku BadUSB:
https://www.youtube-nocookie.com/embed/JLhcE0O4bt0?rel=0&wmode=transparent

Kawałek appki, która ma za zadanie whitelistować urządzenia:
https://github.com/USBGuard/usbguard

I jeszcze dwa artykuły:
https://codedump.net/blog/using-the-linux-kernels-usb-authorization-support-to-lockdown-usb
https://www.beyondlogic.org/usbnutshell/usb5.shtml#DeviceDescriptors

To tak by mi nigdzie nie zginęło to. xD

Jeszcze jedno zagadnienie, które się wiąże pośrednio z urządzeniami podłączanymi do kompa, to ograniczenie ilości urządzeń typu INPUT (klawiatura, mysza) bezpośrednio w ustawieniach Xserver'a. Póki co, to ten temat mi lekko obił się o oczy i nic jeszcze nie szukałem ale na pewno coś znajdę. xD

Nie trzeba się bawić udev'em. Ten usbguard jest całkiem zajebistą zabawką (jest w repo). To co on potrafi, to jest w zasadzie to czego ja oczekiwałem od tego mechanizmu. W zasadzie to jest to zwykły demon, który patrzy na urządzenia podłączane do portów USB. I po ich wykryciu (wszystko jedno czy dopiero podłączone czy już obecne) uzupełnia odpowiednio pliki od autoryzacji. Ten demon ma konfigurację w postaci tego typu reguł:

allow id 046d:c30f serial "" name "Logitech USB Keyboard" hash "AeboMPFm0qeQNL+6ww7irtu8VKDsn9h09OoUYahjoR8=" parent-hash "xe96rjr8V53Jw+g7q/yi0C1czVxatehiq7r4gn2dH6s=" with-interface { 03:01:01 03:00:00 }

Można dopasowywać w zasadzie po wszystkim co się chce (komunikaty są w logach systemowych, więc można wyciągnąć).

Do tego, ten usbguard ma graficzną appkę usbguard-applet-qt (też w repo). W ustawieniach demona, można określić użytkowników który mogą się za pomocą tej appki łączyć z usbguard, i w ten sposób zarządzać polityką urządzeń, co wygląda mniej więcej tak:

[img]https://i.imgur.com/Lyndvok.png[/img]

I tutaj już można sobie wyklikać co ma być blokowane i zezwolone, a jeśli się zaznaczy permanent, to reguła powędruje do konfiguracji i w zasadzie plik z regułami się może w ten sposób automatycznie uzupełnić. Można pododawać określone urządzenia i odebrać możliwość połączenia appce z demonem albo ją wywalić zupełnie. Trzeba też pamiętać, że przy bardziej restrykcyjnych regułach ma znaczenie nawet do którego portu się wepnie myszę czy klawiaturę i jak się wepnie ją do innego, to nie będzie ona działać i trzeba będzie się przepiąć. Także można sobie poczarować jeśli się ma sporo portów USB. xD

No i oczywiście politykę domyślną demona można też ustawić w jego pliku konfiguracyjnym, by domyślnie blokował wszelkie urządzenia nowe. Są także notyfikacje powiadamiające usera o tym, że nowe urządzenie zostało wykryte i jaką akcję podjąć.

Tak, ten mechanizm jest iście zacny i "approved by morfik". xD

-----
A i jeszcze jak coś jest:

# usbguard generate-policy > rules.conf

Co generuje reguły zezwalające na dostęp wszystkim aktualnie podłączonym do portów USB urządzeniom. To tak by szybciej sobie reguły napisać. xD

Ostatnio edytowany przez morfik (2018-08-21 22:54:39)

Usbguard jest dobry tak dlugo, jak długo  się nie popsuje np z powodu aktualizacji jakieś biblioteki, od której zależy.

Jeżeli da się to zmontować w Udevie, to wolę porzeźbić w Udevie, troszkę pewniejsza opcja, bo Eudev sam z siebie jest bardziej powszechnie używany i bardziej niezawodny.
W przypadku awarii UDeva aktualizacja z poprawką to kwestia niemal minut.

Chociaż widzę, że Usbguard w Debianie już jest w repo, w Gentoo na razie tylko w overlayu Pentoo.

Jak tak dalej pójdzie to ten usbguard wyleci z debiana:
https://tracker.debian.org/pkg/usbguard

Bo ten mój zgłoszony bug https://bugs.debian.org/cgi-bin/bugreport.cgi?bug=908037 dostał parę dni temu status grave. xD

No sam udev nie zrobi takiej konfiguracji co ja sobie zrobiłem na pstryk przy pomocy usbguard. :] Mógłbyś sprawdzić to rozwiązanie z udev, i zobaczyć jako ono jest użyteczne dla przeciętnego kowalskiego. Bo usbguard jest dość miły dla usera, udev nie jest. xD