Een fabrikant van USB-sticks stelt dat de datadragers die het maakt niet kwetsbaar zijn voor de BadUSB-aanval die onlangs tijdens de Black Hat conferentie werd gedemonstreerd. Beveiligingsonderzoekers Karsten Nohl en Jakob Lell lieten zien hoe ze de firmware van USB-sticks kunnen aanpassen.

De aangepaste firmware, die de onderzoekers BadUSB noemden, kan vervolgens computers infecteren en ervoor zorgen dat later aangesloten USB-sticks ook besmet raken. De onderzoekers waarschuwden dat zolang USB-controllers te herprogrammeren zijn, USB-apparaten niet met anderen moeten worden gedeeld.

Signeren

Als onderdeel van de oplossing suggereerden de onderzoekers om de code te signeren die voor het updaten van de firmware wordt gebruikt. Als de firmware is aangepast kan de USB-stick die niet authenticeren en zal de update niet uitvoeren, waardoor het apparaat ook niet besmet raakt. Fabrikant Imation stelt dat de IronKey USB-sticks die het maakt immuun zijn voor BadUSB, aangezien de digitale handtekening van de firmware eerst wordt gecontroleerd. Daarnaast zou ook het update-mechanisme van de firmware zelf beveiligd zijn.

De onderzoekers waarschuwden dat er op dit moment echter nog geen enkele effectieve bescherming tegen de BadUSB-aanval is. Implementatiefouten kunnen het nog steeds mogelijk maken om ongeautoriseerde firmware-upgrades te installeren. Daarnaast zou veilige encryptie lastig op de kleine microcontrollers van een USB-stick zijn te implementeren.