140 lines
3.8 KiB
ReStructuredText
140 lines
3.8 KiB
ReStructuredText
.. SPDX-License-Identifier: GPL-2.0
|
||
.. include:: ../disclaimer-zh_CN.rst
|
||
|
||
:Original: Documentation/usb/authorization.rst
|
||
|
||
:翻译:
|
||
|
||
白钶凡 Kefan Bai <baikefan@leap-io-kernel.com>
|
||
|
||
:校译:
|
||
|
||
|
||
=============================
|
||
授权或禁止 USB 设备连接到系统
|
||
=============================
|
||
|
||
版权 (C) 2007 Inaky Perez-Gonzalez
|
||
<inaky@linux.intel.com> 英特尔公司
|
||
|
||
此功能允许你控制 USB 设备是否可以在系统中使用。
|
||
借助它，你可以完全通过用户空间实现对 USB 设备的锁定。
|
||
|
||
目前，当插入一个 USB 设备时，系统会对其进行配置，
|
||
其接口会立即向用户开放。
|
||
有了这项改动，只有在 root 授权设备完成配置后，
|
||
设备才可被使用。
|
||
|
||
|
||
用法
|
||
====
|
||
|
||
授权设备接入::
|
||
|
||
$ echo 1 > /sys/bus/usb/devices/DEVICE/authorized
|
||
|
||
取消对设备的授权::
|
||
|
||
$ echo 0 > /sys/bus/usb/devices/DEVICE/authorized
|
||
|
||
将新连接到 ``hostX`` 的设备默认设为未授权（即锁定）::
|
||
|
||
$ echo 0 > /sys/bus/usb/devices/usbX/authorized_default
|
||
|
||
解除锁定::
|
||
|
||
$ echo 1 > /sys/bus/usb/devices/usbX/authorized_default
|
||
|
||
默认情况下，所有 USB 设备都是授权的。
|
||
向 ``authorized_default`` 属性写入 ``2`` 会使内核
|
||
默认只授权连接到内部 USB 端口的设备。
|
||
|
||
系统锁定示例（比较粗糙）
|
||
------------------------
|
||
|
||
假设你想实现一个锁定功能，只允许类型为 XYZ 的设备接入
|
||
（例如某台带有外露 USB 端口的自助服务终端）::
|
||
|
||
启动系统
|
||
rc.local ->
|
||
|
||
for host in /sys/bus/usb/devices/usb*
|
||
do
|
||
echo 0 > $host/authorized_default
|
||
done
|
||
|
||
给 udev 挂一个脚本，用于处理新插入的 USB 设备::
|
||
|
||
if device_is_my_type $DEV
|
||
then
|
||
echo 1 > $device_path/authorized
|
||
done
|
||
|
||
|
||
``device_is_my_type()`` 才是锁定方案真正见功夫的
|
||
地方。仅仅检查 class、type 和 protocol 是否匹配
|
||
某个值，是你能做出的最糟糕的安全验证之一；
|
||
对想绕过它的人来说，这反而是最容易利用的方案。
|
||
如果你需要真正安全的办法，那就该使用加密、
|
||
证书认证之类的机制。把 USB 存储设备当作
|
||
“钥匙”的一个简单例子可以是::
|
||
|
||
function device_is_my_type()
|
||
{
|
||
echo 1 > authorized # 暂时授权它
|
||
# FIXME: 确保没人能挂载它
|
||
mount DEVICENODE /mntpoint
|
||
sum=$(md5sum /mntpoint/.signature)
|
||
if [ $sum = $(cat /etc/lockdown/keysum) ]
|
||
then
|
||
echo "We are good, connected"
|
||
umount /mntpoint
|
||
# 再做一些额外处理，让其他人也能使用它
|
||
else
|
||
echo 0 > authorized
|
||
fi
|
||
}
|
||
|
||
|
||
当然，这个例子很粗糙；真正要做的话，
|
||
你会想用基于 PKI 的证书校验，这样就不必依赖
|
||
共享密钥之类的东西。不过你应该已经明白意思了。
|
||
任何拿到设备仿真工具包的人都能伪造描述符和设备信息。
|
||
别信这个。
|
||
|
||
接口授权
|
||
--------
|
||
|
||
也有类似的方法用于允许或拒绝特定 USB 接口。
|
||
这使得你可以只阻止某个 USB 设备中的部分接口。
|
||
|
||
授权接口::
|
||
|
||
$ echo 1 > /sys/bus/usb/devices/INTERFACE/authorized
|
||
|
||
取消接口授权::
|
||
|
||
$ echo 0 > /sys/bus/usb/devices/INTERFACE/authorized
|
||
|
||
也可以更改特定 USB 总线上新接口的默认授权值。
|
||
|
||
默认允许接口::
|
||
|
||
$ echo 1 > /sys/bus/usb/devices/usbX/interface_authorized_default
|
||
|
||
默认拒绝接口::
|
||
|
||
$ echo 0 > /sys/bus/usb/devices/usbX/interface_authorized_default
|
||
|
||
默认情况下，
|
||
``interface_authorized_default`` 位为 ``1``，
|
||
因此所有接口默认都处于已授权状态。
|
||
|
||
注意：
|
||
如果把一个先前未授权的接口改为已授权，
|
||
则必须通过将 ``INTERFACE`` 写入 ``/sys/bus/usb/drivers_probe``
|
||
来手动触发驱动探测。
|
||
|
||
对于需要多个接口的驱动程序，应先授权所有必需接口，
|
||
然后再触发驱动探测。这样做可以避免副作用。
|