Только используйте Устройства массового хранения на выбранном USB-порте - как?

На данном USB-порте я только хочу принять возможности Массового хранения USB и ничто иное. Никакие устройства HID, никакие адаптеры Bluetooth, преобразователи № RS232, ничто. Существует ли способ сделать это, например, использующий udev? Я знаю, что могу записать пользовательское правило udev для включения драйвера для данного устройства или данного порта, но я могу так или иначе исключить все другие драйверы? Я пытаюсь только позволить один класс устройств, а именно, Массовое хранение USB; существует несметное число различные модели устройства в этом классе, и я не знаю, которые собираются соединиться с портом (клиенты принесут свое собственное, нет никакого способа для меня влиять на это).

Угрозы со стороны повторно запрограммированного встроенного микропрограммного обеспечения USB только собираются ухудшиться в обозримом будущем. Я пытаюсь смягчить их для этого варианта использования: у Меня есть компьютер с внутренне подключенными периферийными устройствами USB (сетевая плата, специализированные периферийные устройства, клавиатура) и один общедоступный USB-порт, который, как только предполагается, используется для передачи файлов. Так, я не могу поместить в черный список другие модули USB в целом; но я хотел бы "санировать" тот конкретный порт, так, чтобы включение другого типа устройства ничего не делало.

Случай физически заблокирован, так, чтобы только этот определенный USB-порт был доступен снаружи, и влезающий в случай, или соединяющий в кабель клавиатуры должно быть достаточно подозрительным для инициирования ответа физической безопасности; кроме того, я не ожидаю, что большинство пользователей будет активно злонамеренным, но я ожидаю, что число невольных поставщиков услуг повторно высвеченных Карт памяти увеличится (как это было с гибкими заражениями загрузочного сектора былого). Насколько безопасность идет, действительно не имеет значения, приносит ли пользователь "вооруженный" диск USB со злонамеренным намерением или просто не знает, что это "заражено".

Я знаю, что идеальная безопасность неосуществима здесь, и пользователь разрешения для взаимодействия с системой всегда опасен - но увы, я должен сбалансировать безопасность относительно удобства использования: компьютер должен быть применимым клиентом. Кроме того, я не пытаюсь защитить от предназначенного, решительного взломщика с этим; скорее я использую это в качестве одного из методов смягчения, так, чтобы система не была низко висящим плодом.