專家觀點：對USB安全性的質(zhì)疑毫無根據(jù)

最近SRLabs的兩位研究人員 Karsten Nohl 和 Jakob Lell 所發(fā)布的研究報告受到了許多媒體的關(guān)注。這份研究報告試圖證明 USB 裝置如何成為惡意軟體進入電腦和可攜式電子平臺的一種潛在手段。該研究報告并暗示，目前還沒有防止這種特定漏洞的任何有效方法。

雖然這份報告并未造成恐慌，但其語帶挑釁地評論指稱 USB 具有「致命性缺陷」，因此使用者只要在電腦和可攜式電子設(shè)備插入一個 USB 隨身碟后，這些設(shè)備和內(nèi)容將不再可靠。這些評論顯然是不切實際的，業(yè)界需要更理性地全面看待這個問題。

在柏林的這兩位研究人員曾經(jīng)展示證明， USB 隨身碟即使經(jīng)過格式化和病毒掃描，使其從表面上看起來內(nèi)容是完全空白的，但事實上仍然具有未能檢測出的惡意程式碼，這些惡意程式碼可能隱藏在介面晶片的韌體內(nèi)。

根據(jù)兩位研究人員的研究暗示， USB 隨身碟和許多其他 USB 配件即將走向盡頭，而且預(yù)計未來的所有商務(wù)活動應(yīng)停止使用 USB 。他們甚至認為，盡管 USB 的使用非常廣泛(全世界有超過60億 USB 埠正進行作業(yè)中)，但根據(jù)這項研究結(jié)果， USB 作為一種資料傳輸介質(zhì)的時代基本上已經(jīng)結(jié)束了。這是一種大膽以及完全沒有根據(jù)的陳述。事實上，相較于其他任何資料傳輸方式，如無線通訊(藍牙/ Wi-Fi )或網(wǎng)際網(wǎng)路連接， USB 并未曝露于更大的惡意攻擊風(fēng)險之下。

盡管SRLabs所進行的研究強調(diào)，現(xiàn)代社會中的每一個元素其實都遭受到越來越危險的網(wǎng)路攻擊，但這當(dāng)然不表示 USB 的時日已經(jīng)屈指可數(shù)。值得注意的是，關(guān)于韌體易于遭受這種惡意操縱的顧慮通常集中在基于微控制器(MCU)的產(chǎn)品上——為了執(zhí)行一些不必要的額外功能，經(jīng)?？赡軐ρb置的 MCU 單元進行重新編程設(shè)計。雖然這種惡意操縱經(jīng)常套用在市面上的一些 USB 介面IC，但只要生產(chǎn)USB周邊設(shè)備的OEM在產(chǎn)品設(shè)計中選擇整合品質(zhì)更好的USB介面IC，就能大幅地減輕這種威脅。

SRLabs的研究人員甚至公開表示，目前還沒有有效防范 USB 攻擊的辦法，但這個說一點都不正確。某些服務(wù)于 USB 市場的現(xiàn)有半導(dǎo)體制造商已經(jīng)找到經(jīng)驗證可行的技術(shù)，能夠有效克服這些問題。這些技術(shù)包括供應(yīng)商級的 USB 接器晶片，而不只是以往的消費級隨身碟。

FTDI Chip公司提供的 USB 橋接晶片正屬于供應(yīng)商級，而非隨身碟級的記憶體(大量儲存區(qū))。該元件級產(chǎn)品無法客制化作為一種可替代的元件類型。由于這些晶片設(shè)計采用硬線連接(取決于固定功能的 ASIC 建置)，其中并未采用任何韌體，因此不可能會有惡意程式碼被植入，所有的通訊控制也完全透過硬體完成。

在FTDI Chip產(chǎn)品組合中的一些晶片利用少量的 EEPROM 記憶體資源，但這僅僅針對儲存設(shè)定，缺乏足夠的空間容納任何形式的惡意軟體。鑒于所有這些特性，F(xiàn)TDI Chip的USB橋接晶片除了完成最初設(shè)計時的功能以外，不可能被重新程式設(shè)計，因此避免了它被惡意操作的可能性。因為這些晶片屬于供應(yīng)商級，如果需要存取這些晶片時，需要特定的FTDI驅(qū)動程式/應(yīng)用程式介面(API)。

因此，除了那些基于 MCU 的架構(gòu)以外，目前市場上還有基于硬體狀態(tài)機架構(gòu)且無法重編程的現(xiàn)成可用 USB 晶片。上述研究忽略了業(yè)界如何采取措施克服這類問題的細節(jié)，使其得以證實這一整件事只考慮到自我宣傳，而并未顧及公共利益。

對于IT安全領(lǐng)域的人來說，這種透過宣傳噱頭來吸引公眾的關(guān)注再尋常不過了，其目的往往是僅服務(wù)于他們自己的目的。業(yè)界一直有一種傾向——透過夸大其詞(通常很難知道真相)來哄騙人們投資于其新的套裝軟體等。但問題是，在許多情況下，訴諸危言聳聽的策略可能導(dǎo)致反應(yīng)過度。

Fred Dart是FTDI Chip公司創(chuàng)辦人兼執(zhí)行長，該公司主要生產(chǎn)電腦連接器晶片，特別是 USB 晶片，F(xiàn)red Dart最近并推動該公司進軍繪圖控制器與微控制器市場。Fred Dart擁有英國斯特拉斯克萊德大學(xué)(University of Strathclyde)電子與電氣工程學(xué)理學(xué)士學(xué)位。畢業(yè)后，他曾任職于摩托羅拉(Motorola)和STC公司。在成立FTDI以前，F(xiàn)red Dart曾在Computer Design Concepts Limited設(shè)計公司從事諮詢業(yè)務(wù)。