Il post seguente è stato tradotto grazie all’esplicita autorizzazione di Schneier on Security
Questa è decisamente notevole:
Molti di noi hanno imparato, da anni, a non attivare file eseguibili da chiavette USB sospette. Ma l’antiquata igiene USB non può fermare quest’infezione dal nuovo sapore: anche se gli utenti sono consapevoli del potenziale degli attacchi, essere certi che il firmware dei loro USB non sia stato manomesso è quasi impossibile. I dispositivi non dispongono di una limitazione nota come “code-signing”, contromisura che assicurerebbe a qualsiasi nuovo codice che venisse aggiunto al dispositivo di avere una firma cifrata non falsificabile del suo produttore. Non c’è nemmeno un firmware USB attendibile per confrontare il codice.
L’elemento della ricerca di Nohl e Lell che l’eleva al di sopra della media minaccia teorica, è l’idea che l’infezione possa viaggiare sia da computer a USB che viceversa. Ogni volta che una chiavetta USB è inserita in un computer, il suo firmware potrebbe essere riprogrammato da malware presente su quel PC, senza che il proprietario del dispositivo USB riesca a rilevarlo. E, allo stesso modo, qualsiasi dispositivo USB potrebbe silenziosamente infettare il computer di un utente.
Questi sono esattamente i tipi di attacchi che l’NSA predilige.
Fonte: The Fundamental Insecurity of USB p>This is pretty impressive:
Most of us learned long ago not to run executable files from sketchy USB sticks. But old-fashioned USB hygiene can’t stop this newer flavor of infection: Even if users are aware of the potential for attacks, ensuring that their USB’s firmware hasn’t been tampered with is nearly impossible. The devices don’t have a restriction known as “code-signing,” a countermeasure that would make sure any new code added to the device has the unforgeable cryptographic signature of its manufacturer. There’s not even any trusted USB firmware to compare the code against.
The element of Nohl and Lell’s research that elevates it above the average theoretical threat is the notion that the infection can travel both from computer to USB and vice versa. Any time a USB stick is plugged into a computer, its firmware could be reprogrammed by malware on that PC, with no easy way for the USB device’s owner to detect it. And likewise, any USB device could silently infect a user’s computer.
These are exactly the sorts of attacks the NSA favors.
Source: The Fundamental Insecurity of USB