Dipl.-Inform. Carsten Eilers

USB 2.0 verwendet 4 Leitungen: Zwei für die Stromversorgung (+5 Volt und Masse) und zwei für die Datenübertragung (D+ und D-). Bei USB 3.0 kommen zwei weitere Datenleitungspaare und eine weitere Masseleitung dazu, aber die interessieren hier nicht.

Um ein Gerät mit Strom zu versorgen, zum Beispiel die oben erwähnte E-Zigarette beim Laden, müssen eigentlich nur die beiden Leitungen für die Stromversorgung angeschlossen werden. Die Datenleitungen werden nicht benötigt (zu einer Besonderheit komme ich unten noch). Dem Rechner ist es vollkommen egal, ob die Datenleitungen angeschlossen sind oder nicht, die USB-Anschlüsse werden sowieso ständig mit Strom versorgt, und wer möchte, kann sich daran bedienen. Ohne Anmeldung beim Host-Controller dürfen allerdings nur 100 mA Strom bezogen werden. Was zum Beispiel zum Laden einer E-Zigarette völlig ausreichen dürfte.

Für den Anschluss der Geräte werden meist herkömmliche USB-Kabel oder zumindest -Stecker verwendet, und bei denen sind auch die Datenleitungen angeschlossen bzw. bestückt. Man sieht es einem Kabel also nicht an, ob es nur Strom oder auch Daten übertragen kann. Das gleiche gilt für die Buchsen an den Geräten, sofern die welche haben. Das sind Standardbauteile, und die weisen natürlich alle standardisierten Anschlüsse auf.

... Daten bekommen

Wie es dahinter weiter geht und wie das Gerät im Inneren aussieht, weiß man nicht. Jedenfalls sofern man das Gerät nicht auseinander nimmt. Was oft gar nicht möglich ist, ohne es dabei zu zerstören.

Normalerweise würden im Beispiel der E-Zigarette die beiden Anschlüsse für die Stromversorgung mit dem Ladeteil der Zigarette verbunden und die Datenleitungen wären nirgends angeschlossen. Aber was wäre, wenn jemand das Gerät präpariert und einen kleinen Mikrokontroller oder einfach nur einen USB-Speicherstick darin versteckt und den mit dem USB-Anschluss verbindet? Das Ergebnis sähe für den Benutzer immer noch wie eine harmlose E-Zigarette aus, die über USB geladen werden kann. Für den Rechner, mit dem die E-Zigarette verbunden wird, ist sie aber ein USB-Gerät oder ein USB-Stick.

Angriffe über USB-Geräte sind uralt

Und dieses USB-Gerät oder dieser USB-Stick können dann Angriffe starten. Der Mikrokontroller könnte sich zum Beispiel als Tastatur ausgeben und Tastendrücke an den Rechner schicken, die bestimmte Befehle auslösen. Entsprechende Angriffe haben die Sicherheitsforscher schon vor einer halben Ewigkeit entwickelt. Und Angriffe über USB-Speichersticks oder allgemein USB-Massenspeicher sind ja ein noch älterer Hut, auch wenn Microsoft AutoRun inzwischen für alle nicht-optischen Laufwerke deaktiviert hat. Aber der USB-Stick kann sich ja als optisches Laufwerk ausgeben und dann über AutoRun Code einschleusen. Nicht zu vergessen die Möglichkeit neuer Schwachstellen. Stuxnet ist ja auch zuerst aufgefallen, weil er eine 0-Day-Schwachstelle beim Verarbeiten von LNK-Dateien ausnutzte, um sich über USB-Sticks zu verbreiten.

Gut getarnt ist fast schon gewonnen

Das Gefährliche an diesen Angriffen ist, dass sie niemand erwartet. Mit Schadsoftware infizierte digitale Bilderrahmen, MP3-Player oder Smartphones gab es schon des öfteren. Bei diesen Geräten weiß man aber, dass darauf Daten gespeichert sind und man sie mit Vorsicht behandeln sollte. Aber wer erwartet das bei einem Gerät, dass gar nicht zur Speicherung von Daten oder generell zur Kommunikation mit dem Rechner vorgesehen ist?

Nehmen wir als Beispiel mal nicht die E-Zigaretten, sondern passend zur Jahreszeit den über USB mit Strom versorgten Mini-Weihnachtsbaum. Der besteht normalerweise nur aus etwas Plastik, der Beleuchtung und deren Verkabelung. Aber was wäre, wenn im USB-Stecker, über den er seinen Strom bezieht, ein USB-Mikrokontroller säße? Entsprechend kleine Geräte sind problemlos zu kaufen. Sogar gleich mit passender Software für Angriffe.

Niemand sollte heutzutage noch fremde USB-Sticks in seinen Rechner stecken (trotzdem wird es trotz aller Warnungen immer wieder gemacht, aber das ist ein anderes Problem). Aber selbst sicherheitsbewusste Benutzer hätten wohl kein Problem damit, einen als Werbegeschenk zugeschickten Mini-Weihnachtsbaum zumindest mal kurz auszuprobieren. Und sei es nur, um fest zu stellen, ob der beleuchtet wirklich so kitschig aussieht, wie sie befürchten. Und schon das kurze ausprobieren reicht im Ernstfall, um den Rechner mit Schadsoftware zu infizieren.

In Gegenrichtung ein altbekanntes Problem

Angriffe beim Laden über USB sind schon seit längerem bekannt. Bisher aber nur in der Gegenrichtung: Ein zum Laden an einen Rechner oder eine präparierte Ladestation angeschlossenes Smartphone bekommt nicht nur Strom, sondern auch noch Daten geliefert. Und darüber wird dann Schadcode installiert. Dieser Angriff wird als "Juice-Jacking" bezeichnet. Und funktioniert(e) sogar mit iPhones. Ohne Jailbreak!

Ein USB-Kondom bietet Schutz?

Einen Schutz vor all diesen Angriffen bietet das USB Condom. Das ist ein kleiner Zwischenstecker für USB, der zwar die Stromversorgung durchleitet, die Datenleitungen aber unterbricht. Das USB Condom wurde ursprünglich für Smartphones entwickelt, ist aber natürlich auch in der anderen Richtung wirksam.

Der Nachteil dieser Lösung darf aber nicht übersehen werden: Ohne Anmeldung beim Host-Controller dürfen wie oben erwähnt nur 100 mA Strom bezogen werden, mit Anmeldung 500 mA (USB 2.0) oder 900 mA (USB 3.0). Wenn Sie also ein Gerät mit Strom versorgen wollen, dass diese höheren Ströme benötigt und dazu mit dem Host-Controller kommunizieren muss, funktioniert das nicht mehr, da das USB Condom die Kommunikation verhindert.

Die Lösung des Problems ist aber ganz einfach: Es gibt ein reichhaltiges Angebot an USB-Ladegeräten und -Netzteilen. Die enthalten nichts, was kompromittiert werden könnte (sofern sie nicht zufällig selbst Hardware enthalten, die angeschlossene Geräte kompromittieren soll, aber das können die Angreifer dann ja unter sich aus machen). Damit lassen sich E-Zigaretten laden, Lüfter und Lampen betreiben, und was es sonst noch so gibt.

Vertrauen ist gut, Misstrauen sicherer

Fazit: Vertrauen Sie keinen Geräten, die "nur" etwas Strom aus ihrem Rechner borgen wollen. Man weiß nie, was da drin steckt.

Wenn ein Gerät wirklich nur Strom benötigt, kann es den problemlos aus einem entsprechenden Netzteil bekommen. Das stellt dann auch ohne irgend eine Kommunikation mehr Strom als die 100mA bereit, die ein Rechner ohne Anmeldung liefert. Falls das Gerät dann wirklich präpariert ist und versucht, Daten über den USB-Port zu schicken, läuft der Angriff ins Leere.

Carsten Eilers