Vorige week werd wederom duidelijk dat fysieke toegang tot een computer vaak volledige toegang betekent. Microsoft loste een ernstig beveiligingslek op om Windows-computers te infecteren. Het aansluiten van een USB-stick was voldoende om een computer volledig over te nemen. Het probleem werd veroorzaakt door de manier waarop Windows USB descriptors uitleest.

Dit is een datastructuur waarin informatie over het USB-apparaat staat. Zelfs als de computer vergrendeld was of de gebruiker niet ingelogd, was het voldoende om een USB-stick met een geprepareerde USB-descriptor aan te sluiten en zo software op de machine met kernelrechten uit te voeren.

Moker
Volgens Microsoft's Dustin Childs laat dit zien dat de derde wet van IT Security nog steeds geldt, namelijk dat als een aanvaller onbeperkte fysieke toegang tot je computer heeft, het niet meer je computer is. "Deze wet is nog steeds van kracht. Er is geen update voor een letterlijke denial-of-service-aanval met een moker."

Microsoft zou echter wel het verschil tussen gewone fysieke toegang en onbeperkte fysieke toegang hebben ontdekt. Childs wijst naar het vorige week gepatchte lek. In tegenstelling tot bijvoorbeeld het lek dat Stuxnet gebruikte of standaard Autorun-wormen, hoeft in dit geval de gebruiker niet ingelogd te zijn.

Schoonmaker
"Daarom kan iemand met gewone fysieke toegang, bijvoorbeeld een schoonmaker die het kantoor schoonmaakt of je een bewaker die zijn ronde doet, eenvoudig een USB-apparaat kunnen inpluggen en willekeurige acties als systeembeheerder kunnen uitvoeren." Dit is volgens Childs een verschil met onbeperkte fysieke toegang, waar iemand via vaak andere methoden gegevens kan proberen te stelen.

Daarbij benadrukt Childs dat bedrijven en gebruikers het probleem niet moeten afdoen als minder bedreigend omdat er fysieke toegang is vereist.

"Gewone fysieke toegang gecombineerd met het uitvoeren van code met kernelrechten is een voldoende belangrijke dreiging dat we een update hebben uitgebracht om het probleem op te lossen."

Oplossing
In een aanvullende webcast over de patchdinsdag van maart laat Childs weten dat het uitschakelen van Autorun geen bescherming tegen dit lek biedt.

Ook het uitschakelen van USB-apparaten via de Windows Group policy biedt geen bescherming, aangezien het probleem zich voordoet voordat ingestelde Group policies van kracht worden.

De beste oplossing is dan ook het installeren van de update, hoewel software van derden waarbij specifieke RNDIS drivers worden uitgeschakeld misbruik ook kan voorkomen.