Защита от атак BadUSB

Злоумышленники могут использовать уязвимости в прошивке USB-устройства (например, флешки) и перепрограммировать его так, чтобы операционная система определяла такое USB-устройство при подключении как клавиатуру. В результате зараженное подключенное USB-устройство может выполнять команды под вашей учетной записью, например, загружать вредоносное приложение.

Компонент Защита от атак BadUSB позволяет предотвратить подключение к устройству зараженного USB-устройства.

Компонент недоступен для устройств с процессором Эльбрус.

Как работает Защита от атак BadUSB

1. Приложение предлагает авторизовать USB-устройство

   Когда к устройству подключается USB-устройство, приложение предлагает пользователю ввести цифровой код, сформированный приложением. Эта процедура называется авторизацией.

2. Пользователь вводит код авторизации

   Пользователь может ввести код с помощью подключаемого USB-устройства (клавиатуры или сканера штрихкодов) или экранной клавиатуры, если она доступна. Нельзя ввести код с помощью уже подключенного USB-устройства.

3. Приложение разрешает использование авторизованного USB-устройства или блокирует использование USB-устройства, не прошедшего авторизацию

   Если цифровой код введен правильно, приложение сохраняет идентификационные параметры – VID/PID USB-устройства и номер порта, по которому оно подключено, – в списке авторизованных USB-устройств. Авторизация USB-устройства при его повторном подключении или перезагрузке операционной системы не требуется.

   Если цифровой код введен неправильно, приложение формирует новый. Вы можете настроить максимальное количество попыток для ввода цифрового кода. Если цифровой код введен неправильно несколько раз, приложение блокирует ввод с этого USB-устройства на определенное время. По истечении времени блокировки USB-устройства вы можете продолжить попытки авторизации USB-устройства. Вы можете настроить таймаут, по истечении которого можно продолжить попытки ввода кода авторизации.

При подключении авторизованного USB-устройства через другой USB-порт приложение снова запрашивает его авторизацию.

Настройка Защиты от атак BadUSB

1. Включите Защиту от атак BadUSB

   По умолчанию компонент Защита от атак BadUSB выключен. Определите устройства, которые физически доступны недоверенным лицам и которые требуется защитить от внешних злоумышленников, и включите компонент Защита от атак BadUSB на этих устройствах. После включения Защиты от атак BadUSB приложение будет требовать авторизацию подключенных USB-устройств, и пользователь не сможет использовать неавторизованные USB-устройства до тех пор, пока они не будут авторизованы. При этом USB-устройства, подключенные до включения Защиты от атак BadUSB, по умолчанию считаются авторизованными и не требуют авторизации.

   Не подключайте к устройству недоверенные USB-устройства до включения и настройки Защиты от атак BadUSB.

2. Настройте Защиту от атак BadUSB

   В зависимости от типа подключаемых USB-устройств (клавиатуры или сканеры штрихкодов), настройте отображение кода авторизации в виде штрихкода или оставьте числовой код, отображаемый по умолчанию.

   При необходимости настройте авторизацию USB-устройств:

   • максимальное количество попыток ввода кода авторизации;
   • время блокировки USB-устройства при достижении максимального количества попыток.