Jak USB przez IP rozwiązuje problem bezpieczeństwo kluczy USB

Dongle licencyjne, moduły HSM, karty inteligentne i tokeny FIDO zostały zaprojektowane z założeniem, że będą fizycznie podłączone do urządzenia użytkownika. Dziś takie podejście przestaje się sprawdzać.

Zarządzanie urządzeniami zabezpieczającymi USB w organizacji jest trudniejsze, niż mogłoby się wydawać. Większość firm nadal korzysta z tradycyjnego modelu: urządzenie jest podłączone do stacji roboczej, przekazywane między pracownikami, na noc zamykane w szufladzie albo pozostawiane podłączone do komputera, którego nikt nie monitoruje. Wszystko działa - dopóki przestaje działać. Zgubiony dongle może unieruchomić serwer licencji. Utracony token może zakłócić proces uwierzytelniania całego zespołu. Z kolei port USB w pozostawionym bez nadzoru komputerze staje się potencjalnym wektorem ataku, którego nikt wcześniej nie brał pod uwagę. Istnieje jednak lepsze podejście do tej kwestii. Nie wymaga ono nowej technologii. Problemem jest sposób organizacji dostępu, a odpowiedzią może być odpowiednio zaprojektowana infrastruktura sprzętowa.

Czym jest USB over IP?

USB over IP, określane również jako wirtualizacja urządzeń USB lub USB-over-Ethernet, umożliwia komputerowi dostęp do fizycznie oddalonego urządzenia USB tak, jakby było ono podłączone bezpośrednio do lokalnego portu. Samo urządzenie pozostaje w jednym, bezpiecznym miejscu, podczas gdy oprogramowanie korzysta z niego zdalnie. Mechanizm działania jest prosty. Hub USB zostaje podłączony do sieci IP. Oprogramowanie działające na komputerze użytkownika nawiązuje sesję z odpowiednią grupą urządzeń znajdujących się na hubie. System operacyjny wykrywa urządzenie USB w standardowy sposób, a aplikacje korzystają z niego dokładnie tak, jak gdyby było ono fizycznie podłączone do komputera.

Po zakończeniu sesji urządzenie zostaje zwolnione i może zostać udostępnione kolejnemu użytkownikowi. To cały model działania. Bezpieczeństwo fizyczne zostaje zachowane, ponieważ urządzenia nie muszą opuszczać bezpiecznego miejsca. Dostęp logiczny jest natomiast kontrolowany, ponieważ sesje są uwierzytelniane, a dostęp do urządzenia może być przydzielany wyłącznie jednemu użytkownikowi w danym momencie.

Dlaczego zarządzanie urządzeniami zabezpieczającymi USB ma znaczenie?

Audytorzy pracujący w oparciu o standardy i frameworki takie jak ISO 27001, SOC 2 czy PCI-DSS coraz częściej zwracają uwagę na sposób kontroli urządzeń USB podłączanych do punktów końcowych. Tymczasem wiele organizacji nie jest w stanie jednoznacznie odpowiedzieć, w jaki sposób taki dostęp jest zabezpieczany i kontrolowany. Dongle licencyjny pozostawiony na biurku programisty jest fizycznym zasobem znajdującym się na niekontrolowanym stanowisku. Każda osoba mająca dostęp do tego biurka może mieć również dostęp do dongla.

W przypadku modułów HSM i kart inteligentnych stawka jest jeszcze wyższa. Urządzenia te mogą przechowywać klucze prywatne, dane uwierzytelniające, certyfikaty lub inne poświadczenia bezpieczeństwa. Fizyczny dostęp do tokena może oznaczać fizyczny dostęp do zasobów, które ma on chronić. Przechowywanie takich urządzeń w zamkniętej szafie lub szafie rack, bez konieczności fizycznego kontaktu użytkowników z urządzeniami, nie jest przesadną ostrożnością. Jest podstawową formą kontroli dostępu.

Ten sam problem dotyczy narzędzi programistycznych oraz sprzętowych kluczy bezpieczeństwa. Jedno urządzenie może być wykorzystywane przez wielu użytkowników. W tradycyjnym modelu współdzielenie oznacza, że osoba, która jako ostatnia korzystała z urządzenia, ma je do momentu, aż ktoś poprosi o jego zwrot. Nie ma mechanizmu egzekwowania dostępu, śladu audytowego ani gwarancji, że w danym momencie urządzenie jest dostępne wyłącznie dla jednej osoby.

Wirtualizacja urządzeń zabezpieczających USB rozwiązuje ten problem na poziomie architektury, a nie jedynie poprzez tworzenie kolejnych procedur i zasad.

Jak działa Digi AnywhereUSB Plus?

Digi AnywhereUSB Plus to podłączany do sieci hub USB wykorzystujący technologię USB over IP, który zapewnia hostom bezpieczny i scentralizowany dostęp do urządzeń zabezpieczających USB za pośrednictwem standardowej sieci LAN. Urządzenia są podłączane do portów huba, a sam hub zostaje podłączony do sieci IP. Użytkownicy uzyskują dostęp do urządzeń za pomocą oprogramowania Digi AnywhereUSB Manager działającego na ich komputerze, maszynie wirtualnej lub serwerze. Digi AnywhereUSB Plus pozwala więc przenieść urządzenia zabezpieczające z biurek użytkowników do centralnego, odpowiednio zabezpieczonego miejsca, jednocześnie zachowując sposób ich obsługi z punktu widzenia systemu operacyjnego i aplikacji.

Dostęp do urządzeń jest przydzielany na zasadzie wyłączności. Grupa urządzeń może być w danym momencie zajęta tylko przez jednego klienta. Po rozłączeniu urządzenie lub grupa urządzeń zostaje natychmiast zwolniona. Nie jest potrzebna ręczna koordynacja dostępu ani oczekiwanie, aż poprzedni użytkownik przypomni sobie o odłączeniu urządzenia.

Digi AnywhereUSB Plus jest dostępny w trzech modelach, odpowiadających różnym rozmiarom wdrożeń. Model AW02 oferuje dwa porty i może być stosowany jako urządzenie biurkowe lub montowane panelowo, np. przy pojedynczej stacji roboczej lub stanowisku programistycznym. AW08 zapewnia osiem portów i może pracować jako urządzenie biurkowe lub rackowe, dzięki czemu sprawdzi się jako współdzielona pula dongli licencyjnych lub przy wspólnym dostępie do urządzeń HSM. Największy AW24 oferuje 24 porty i jest przeznaczony do montażu w szafie rack 1U. Wyposażono go w dwa zasilacze oraz dwa interfejsy Ethernet, co pozwala zwiększyć niezawodność infrastruktury i zapewnić redundancję.

Wszystkie modele obsługują urządzenia zgodne z USB 3.1 Gen 1 oraz starszymi standardami USB i wykorzystują gigabitową sieć Ethernet. Modele AW08 i AW24 oferują dodatkowo możliwość wykorzystania sieci 10GbE oraz interfejsów SFP+. AW24 obsługuje również bonding interfejsów Ethernet, zapewniający możliwość przełączenia na drugie połączenie w przypadku awarii.

Tak zaprojektowana infrastruktura pozwala scentralizować urządzenia zabezpieczające USB, ograniczyć ich fizyczne przemieszczanie i jednocześnie zapewnić użytkownikom wygodny dostęp z poziomu ich komputerów, maszyn wirtualnych czy serwerów. Urządzenia mogą pozostawać zamknięte w bezpiecznym miejscu, podczas gdy uprawnieni użytkownicy korzystają z nich dokładnie tak, jak z urządzeń podłączonych lokalnie.

Źródło: Digi International. Tłumaczenie: Gamma Sp. z o.o.

Gamma Sp. z o.o. jest autoryzowanym dystrybutorem firmy Digi International w Polsce. Zapraszamy do kontaktu z naszym działem handlowym.