專家觀點：對USB安全性的質疑毫無根據(jù)

最近SRLabs的兩位研究人員 Karsten Nohl 和 Jakob Lell 所發(fā)布的研究報告受到了許多媒體的關注。這份研究報告試圖證明 USB 裝置如何成為惡意軟體進入電腦和可攜式電子平臺的一種潛在手段。該研究報告并暗示，目前還沒有防止這種特定漏洞的任何有效方法。

雖然這份報告并未造成恐慌，但其語帶挑釁地評論指稱 USB 具有「致命性缺陷」，因此使用者只要在電腦和可攜式電子設備插入一個 USB 隨身碟后，這些設備和內容將不再可靠。這些評論顯然是不切實際的，業(yè)界需要更理性地全面看待這個問題。

在柏林的這兩位研究人員曾經展示證明， USB 隨身碟即使經過格式化和病毒掃描，使其從表面上看起來內容是完全空白的，但事實上仍然具有未能檢測出的惡意程式碼，這些惡意程式碼可能隱藏在介面晶片的韌體內。

根據(jù)兩位研究人員的研究暗示， USB 隨身碟和許多其他 USB 配件即將走向盡頭，而且預計未來的所有商務活動應停止使用 USB 。他們甚至認為，盡管 USB 的使用非常廣泛(全世界有超過60億 USB 埠正進行作業(yè)中)，但根據(jù)這項研究結果， USB 作為一種資料傳輸介質的時代基本上已經結束了。這是一種大膽以及完全沒有根據(jù)的陳述。事實上，相較于其他任何資料傳輸方式，如無線通訊(藍牙/ Wi-Fi )或網際網路連接， USB 并未曝露于更大的惡意攻擊風險之下。

盡管SRLabs所進行的研究強調，現(xiàn)代社會中的每一個元素其實都遭受到越來越危險的網路攻擊，但這當然不表示 USB 的時日已經屈指可數(shù)。值得注意的是，關于韌體易于遭受這種惡意操縱的顧慮通常集中在基于微控制器(MCU)的產品上——為了執(zhí)行一些不必要的額外功能，經?？赡軐ρb置的 MCU 單元進行重新編程設計。雖然這種惡意操縱經常套用在市面上的一些 USB 介面IC，但只要生產USB周邊設備的OEM在產品設計中選擇整合品質更好的USB介面IC，就能大幅地減輕這種威脅。

SRLabs的研究人員甚至公開表示，目前還沒有有效防范 USB 攻擊的辦法，但這個說一點都不正確。某些服務于 USB 市場的現(xiàn)有半導體制造商已經找到經驗證可行的技術，能夠有效克服這些問題。這些技術包括供應商級的 USB 接器晶片，而不只是以往的消費級隨身碟。

FTDI Chip公司提供的 USB 橋接晶片正屬于供應商級，而非隨身碟級的記憶體(大量儲存區(qū))。該元件級產品無法客制化作為一種可替代的元件類型。由于這些晶片設計采用硬線連接(取決于固定功能的 ASIC 建置)，其中并未采用任何韌體，因此不可能會有惡意程式碼被植入，所有的通訊控制也完全透過硬體完成。

在FTDI Chip產品組合中的一些晶片利用少量的 EEPROM 記憶體資源，但這僅僅針對儲存設定，缺乏足夠的空間容納任何形式的惡意軟體。鑒于所有這些特性，F(xiàn)TDI Chip的USB橋接晶片除了完成最初設計時的功能以外，不可能被重新程式設計，因此避免了它被惡意操作的可能性。因為這些晶片屬于供應商級，如果需要存取這些晶片時，需要特定的FTDI驅動程式/應用程式介面(API)。

因此，除了那些基于 MCU 的架構以外，目前市場上還有基于硬體狀態(tài)機架構且無法重編程的現(xiàn)成可用 USB 晶片。上述研究忽略了業(yè)界如何采取措施克服這類問題的細節(jié)，使其得以證實這一整件事只考慮到自我宣傳，而并未顧及公共利益。

對于IT安全領域的人來說，這種透過宣傳噱頭來吸引公眾的關注再尋常不過了，其目的往往是僅服務于他們自己的目的。業(yè)界一直有一種傾向——透過夸大其詞(通常很難知道真相)來哄騙人們投資于其新的套裝軟體等。但問題是，在許多情況下，訴諸危言聳聽的策略可能導致反應過度。

Fred Dart是FTDI Chip公司創(chuàng)辦人兼執(zhí)行長，該公司主要生產電腦連接器晶片，特別是 USB 晶片，F(xiàn)red Dart最近并推動該公司進軍繪圖控制器與微控制器市場。Fred Dart擁有英國斯特拉斯克萊德大學(University of Strathclyde)電子與電氣工程學理學士學位。畢業(yè)后，他曾任職于摩托羅拉(Motorola)和STC公司。在成立FTDI以前，F(xiàn)red Dart曾在Computer Design Concepts Limited設計公司從事諮詢業(yè)務。