在今年八月举办的黑帽大会上，安全研究实验室的研究人员Karsten Nohl和Jakob Lell发现了一个严重的USB设备漏洞，并将其称之为“BadUSB”。据此二人透露，黑客可以肆意利用该漏洞，从根本上重新编程任何USB，以造成重大破坏，因为编程后的USB可以模拟其他设备。

　　几个月后，另一组研究人员Adam Caudill和Brandon Wilson已将攻击代码公布于Github，试图向USB制造商施压，迫使其解决这一问题，否则，无数用户将遭受黑客攻击。

　　在肯塔基州路易斯维尔举办的Derbycon安全大会上，Caudill上台向与会者做出了讲解：“我们认为，这一切应当被公开，不应该在这一方面有所隐瞒。因此，我们公布了有我们获得的所信息。我们这样做主要是因为 [SR Labs公司]并没有公开其资料。如果你想证明漏洞存在，你就需要公布这些资料，如此人们便可以对其进行防御。”

　　这些研究人员认为，公开发布USB攻击代码能够促使侵入测试员利用该技术，向客户证明，当前形式的USB几乎不可能保障信息安全。

　　“为这些设备编写代码并非易事，尤其是试图修补现有固件。这不是任何人都可以应对的事情——虽然我们已经采取措施使人们能够更加容易地应用简单补丁，并为这一过程提供了洞见，但这些补丁不会导致基于固件的蠕虫程序或这一类的事物出现——这些补丁类型将对现有功能做小的变动，或增添一些简单的新功能，”Caudill在近期发表的博客文章中写道，“因此，想要任意妄为仍然需要大量的知识和技能——总而言之，正如我刚才所说，无论我们是否公布攻击代码，那些具备一切可以进行攻击条件的人都将会这样做。”

　　因此，公布这一代码的目的是什么呢?对此，Adam Caudill和Brandon Wilson表示，他们这样做旨在迫使制造商以应有的严肃态度谨慎处理此问题，并促使用户认清一个事实，即只要用户对设备存有信任，黑客攻击就有可能发生，并获得成功。

　　Caudill解释道：“设备制造商很快解除了‘BadUSB’的威胁——一方面，在黑帽大会上提出的问题很有可能会通过其他途径被提出，因此，这算不上一个真正的新威胁——但是并没有任何迹象表明，他们试图解决在其控制范围之内出现的问题。”

　　虽然由于当下流通的设备数量庞大，因此，设备制造商做出的改变将需要数年时间才能产生影响，但Caudill敦促道，如果他们继续忽视该问题，那么设备将永远不会得到改善。

　　Caudill向《连线》(Wired)讲道：“人们仔细观察这些事物，但在他们看来这些不过是一些存储设备。他们并没有意识到他们手里所持之物是一个可编程的计算机。”

　　既然被Karsten Nohl称为“无法修补”的设备故障已经被公布于众，USB的安全性将受到威胁，这是毫无疑问的。利用BadUSB的黑客们将获得新的工具，发起更为严重的攻击。这意味着，解决该问题的唯一途径是给USB固件再增添一层安全防护。

　　当用户将USB驱动器插入他们的计算机时，就已经不可避免地引发了攻击，除非用户确切地知道USB的整个生命历程，从在工厂被制造出来到它到达当前用户。

　　市场上有了针对BadUSB的解决方案，即Atmel研发的CryptoAuthentication加密认证设备。这的确是个好消息。硬件加密引擎以及许多其他引擎已经被研发出来，以保护软件、固件和硬件免受这些类型的攻击。这些超小、超安全的设备高效经济，能够被制造商轻易地添加到U盘(和其他外围设备)中，这些制造商正试图通过确保仅使用正确的、有针对性的代码以保护客户。安装入外围设备后，CryptoAuthentication加密认证设备将阻止恶意代码。就是这样。

　　在寻找解决方案以抵御现实世界的攻击时，Atmel的经验尤为重要。是时候对其交出你的信任了!

　　最后，Caudill问道：“这是否被过分夸大了呢?”他回答道：“是的。”

　　点击阅读英文原文