Newsgroup: it.comp.sicurezza.windows
Titolo: Negare l'uso di porte USB.

Salve, non so se posto nel newsgroup giusto ma ci provo.
Ho la necessitï¿œ, per motivi di sicurezza, di mettere in piedi un pc con 
windows, in cui sia impossibile entrare con dispositivi fisici quali 
masterizzatore, chiavette ecc..Per eliminare l'utilizzo delle USB, ï¿œ 
possibile creare un utente che non abbia tali diritti.
E' semplice farlo ?
Altre soluzioni ?

 Altre soluzioni ?
Spegnerle da bios?
M.
-- 
"Ho perso le parole" (Ligabue)
"Mi restano un po' di parolacce" (Smith)

 E' semplice farlo ?
Ci sono software specializzati che lo fanno: vedi ad esempio 
www.safend.com
; non so se nell'opensource ci sia qualcosa di simile.
Ciao
Luca

 masterizzatore, chiavette ecc..
============================
vedi se ti pu� interessare questo
http://www.megalab.it/2906/disabilitare-la-scrittura-sulle-periferiche-usb
ciao, Gigino 

 Altre soluzioni ?
Le smonti.
Il CD lo togli e le prese USB o le smonti oppure gli metti un lamierino davanti.
Ciao,
luigi
-- 
/
+--[Luigi Rosa]--
\
(1) Everything depends.
(2) Nothing is always.
(3) Everything is sometimes.


Per un solo utente non so, ma modificando una voce del registro inibisci la 
possibilit� di collegare periferiche di archiviazione USB.
Il percorso � il seguente:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\USBSTOR
Bisogna modificare la voce "Start" da 3 (valore standard) a 4 (col 3 
abiliti, col 4 disabiliti).
Dal riavvio successivo le periferiche di archiviazione USB non verranno pi� 
viste dal sistema.
n.b. solo quelle di archiviazione; eventuali altre periferiche come 
stampanti, scanner, mouse, ecc... continueranno a funzionare
-- 
Skywalker Senior
http://www.christianbisti.net
http://www.flickr.com/photos/skywalkersenior/
 

 
Ragazzi chiedo scusa, preso dalla fretta ho postato una nuova richiesta 
uguale a questa. Allora ricapitolando, girando in rete ho trovato 
proprio la soluzione sopra, l'ho messa in pratica andando anche a 
cambiare i diritti ad alcuni file di sistema come riportato qui:
http://support.microsoft.com/?scid=kb%3Bit%3B823732&x=16&y=9
Il fatto ï¿œ che quando un utente "limitato" inserisce una chiavetta usb 
mai vista prima, il sistema la installa andando a ripristinare il valore 
della chiave di registro!

 valore della chiave di registro!
Qualora si desideri applicare le restrizioni USB Storage a livello
utente, e' possibile farlo senza particolari problemi tramite GPO su
Client Vista :
==
- 
http://technet.microsoft.com/en-us/library/cc731387(WS.10).aspx
- Start\Esegui -> gpedit.msc
- Configurazione Utente > Modelli amministrativi
- Sistema > Accesso archivi rimovibili
Per quanto riguarda invece client 2000/XP la situazione si complica,
visto che in primis il controllo di gestione dei supporti rimovibili e'
implementabile in modo nativo solo a livello di sottosistema driver (e
quindi applicato a livello computer/macchina), e poi proprio per le
questioni, che hai rilevato & che sono note :
==
http://www.intelliadmin.com/blog/2007/01/disable-usb-flash-drives.html
E' possibile comunque implementare una disabilitazione per-user like
con la seguente procedura :
==
1. Scarica SubInACL, che e' uno strumento fornito da Microsoft per
   modificare autorizzazioni/proprieta' degli oggetti di sistema
   (comprese le chiavi di registro) :
   ==
   -
http://www.microsoft.com/downloads/details.aspx?displaylang=en&FamilyID=e8ba3e56-d8fe-4a91-93cf-ed6985e3927b
   ==
   ed installalo nella nuova directory C:\SUBINACL .
2. Crea 2 file .REG (scrivendoli 
p.es
. con il blocco note e cambiandone
   poi l'estensione), che salverai in C:\SUBINACL :
   ==
   * usbstor3.reg
   --------------------------------------------------------------------
   Windows Registry Editor Version 5.00
 
   [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\USBSTOR]
   "Start"=dword:00000003
   --------------------------------------------------------------------
 
   * usbstor4.reg
   --------------------------------------------------------------------
   Windows Registry Editor Version 5.00
 
   [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\USBSTOR]
   "Start"=dword:00000004
   --------------------------------------------------------------------
3. Crea 2 file .BAT (scrivendoli 
p.es
. con il blocco note e cambiandone
   poi l'estensione) di 2 righe ciascuno, che salverai sempre in
   C:\SUBINACL :
   ==
   * usbno.bat
   --------------------------------------------------------------------
   regedit /s usbstor4.reg
   subinacl.exe /keyreg system\currentcontrolset\services\usbstor
/deny=system
   --------------------------------------------------------------------
 
   * usbsi.bat
   --------------------------------------------------------------------
   regedit /s usbstor3.reg
   subinacl.exe /keyreg system\currentcontrolset\services\usbstor
/grant=system
   --------------------------------------------------------------------
4. Accedi alle proprieta' della cartella SUBINACL ed impostane la
   condivisione, indicando come nome di condivisione netlogon .
5. Accedi alle proprieta' dei file ubsi.bat e ubstor3.reg e modifica le
   autorizzazioni di proprieta', lasciando solo quelle relative a 
   SYSTEM e Administrators = in questo modo i file non possono essere
   aperti/eseguiti da altri profili utente.
6. Apri Gestione Computer (Start\esegui -> compmgmt.msc), vai su Utenti
   e gruppi locali \ Users, quindi accedi alle proprieta' degli account
   utente -> nella scheda Profilo andra' indicato lo script d'accesso
   da utilizzare :
   ==
   - Utenti autorizzati USB -> usbsi.bat
   - Utenti non autorizzati USB -> usbno.bat   
-- 
|� \/� | /�\ /�__/�__|<|> *FAX/Mail Server  : 
+39 - 02700426582
 <|
|�|\/|�|/�_�\|(__\__ \<|> *Casella Vocale   : 
+39 - 0230312251
  <|
|_|  |_/_/ \_\___|___/<|> *FAQ ITGF 
http://plany.fasthosting.it
 <|
|>- RST - Plany/MACS -<|> *FAQ GCN  
http://faq.news.nic.it/
 ____<|

 /grant=system
Come temevo, postando il messaggio, e' risultato un 'a capo fasullo'
sulle seconde righe = l'esecuzione del comando subinacl deve stare
ovviamente tutta su una riga sola :
==
... ... ...\usbstor /deny=system
... ... ...\usbstor /grant=system 


Macs ha scritto:

grazie, prover� al pi� presto e vi far� sapere

 
Per ora sono arrivato qui.
Credo che la soluzione migliore (non ho avuto il tempo di provarle 
tutte) sia quella di andare a creare le group policies proprio come 
indicato dal link sopra postato da Macs (gentilissimo) ed abbinare il 
software windows SteadyState per eliminare alcune funzionalit� 
sfruttabili da chiunque (bug, exploit...).
Il tutto a costo 0.
Opterei per le group policies piuttosto che andare a modificare la 
chiave di registro USBStore (come indicato in vari siti Internet tra cui 
 
http://www.parlandosparlando.com/view.php/id_471/lingua_0/whoisit_1
) 
per 2 motivi:
1) appena si installa una chiavetta mai vista prima, il sistema rimuove 
la limitazione ripristinando il valore della chiave di registro (questo 
� vero per windows XP)
2) rimane possibile l'installazione di altre periferiche quali una 
chiavetta usb bluetooth con la quale estrarre dati dal pc.
Con le group policies, viceversa, � possibile fare in modo che nessuna 
periferica di nessun tipo venga installata (di tipo USB)
Spero di non aver fatto confusione e che questi risualtati siano di 
aiuto a qualcuno.
Grazie a macs per le dritte, ora prover� la altre soluzioni.

Macs ha scritto:

In sostanza, quest'ultimo metodo come funziona ?
Il file bat viene eseguito ad ogni login dell'utente al quale � associato ?
Al logout i valori modificati delle chiavi vengono ripristinati ?
Cliccando 2 volte sul bat, non dovrebbero cambiare i valori relativi 
delle chiavi implicate ?

 sfruttabili da chiunque (bug, exploit...).
L'approccio GPO per la disabilitazione per-user dall'accesso ad USB
Storage e' valido solo pero' su client con OS Vista (ed anche con W7).
Per quanto riguarda invece i client 2000/XP l'approccio tramite GPO e'
applicabile solo a livello di computer/macchina = la disabilitazione si
applica a tutti gli utenti (compresi quelli con privilegi locali di
Amministrazione). 
In tal caso richiede comunque l'aggiunta di un modello amministrativo
ad-hoc, che agisca non solo disabilitando la chiave USBSTOR, ma anche
rimuovendone le autorizzazioni d'accesso da parte di SYSTEM, onde
evitare appunto le situazioni (che pure tu hai riscontrato) di reset
della modifica al registro. Tale modello sara' impostabile/applicabile,
disabilitando lato GPO nel sottomenu Visualizzazione/Filtri il
mascheramento dei criteri non gestibili completamente. 
Un tale modello amministrativo puo essere realizzato, riprendendo 
p.es
.
quelli su :
==
- 
http://support.microsoft.com/?scid=kb%3Ben-us%3B555324&x=5&y=17
- 
http://www.petri.co.il/software/usb_removable_drives_adm.zip
Se il tuo interesse e' semmai quello di definire le restrizioni stile
per-user mode su client 2000/XP, devi seguire invece un approccio stile
quello che ti ho indicato nel mio messaggio precedente. 
In tal senso ti proporrei di utilizzare a questo punto la seguente
variante, che consentirebbe l'accesso ad USB Storage realmente solo ad
Administrators, tagliando fuori non solo i profili Users con privilegi
limitati, ma anche i Power Users e altre tipologie di account utente 
(e.g. personalizzati) non appartenti al gruppo Administrators :
==
00.Effettua il logon sul computer con un profilo utente appartenente
   al gruppo Administrators.
01.Scarica SubInACL, che e' uno strumento fornito da Microsoft per
   modificare autorizzazioni/proprieta' degli oggetti di sistema
   (comprese le chiavi di registro) :
   ==
   -
http://www.microsoft.com/downloads/details.aspx?displaylang=en&FamilyID=e8ba3e56-d8fe-4a91-93cf-ed6985e3927b
   ==
   ed installalo nella nuova directory C:\SUBINACL .
02.Crea 2 file .REG (scrivendoli 
p.es
. con il blocco note e cambiandone
   poi l'estensione), che salverai in C:\SUBINACL :
   ==
   * usbstor3.reg
   --------------------------------------------------------------------
   Windows Registry Editor Version 5.00
 
   [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\USBSTOR]
   "Start"=dword:00000003
   --------------------------------------------------------------------
 
   * usbstor4.reg
   --------------------------------------------------------------------
   Windows Registry Editor Version 5.00
 
   [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\USBSTOR]
   "Start"=dword:00000004
   --------------------------------------------------------------------
03.Crea 2 file .BAT (scrivendoli 
p.es
. con il blocco note e cambiandone
   poi l'estensione) di 3 righe (*) ciascuno, che salverai sempre in
   C:\SUBINACL :
   ==
   * usbno.bat
   --------------------------------------------------------------------
   net stop usbstor
   regedit /s usbstor4.reg
   subinacl.exe /keyreg system\currentcontrolset\services\usbstor
/deny=system
   --------------------------------------------------------------------
 
   * usbsi.bat
   --------------------------------------------------------------------
   regedit /s usbstor3.reg
   subinacl.exe /keyreg system\currentcontrolset\services\usbstor
/grant=system
   net start usbstor
   --------------------------------------------------------------------
   (*) Non farti ingannare dall'"a capo" del posting = /grant=system e
       /deny=system chiudono la riga delle istruzioni subinacl .
04.Accedi alle proprieta' della cartella SUBINACL ed impostane la
   condivisione, indicando come nome di condivisione netlogon .
05.Accedi alle proprieta' dei file usbsi.bat e usbstor3.reg e clicca su
   Protezione\Avanzate, quindi disabilita l'eredita' di autorizzazioni
   e clicca su Copia -> a quel punto puoi modificarle, lasciando solo
   quelle relative a SYSTEM e Administrators = in questo modo i file non
   possono essere aperti/eseguiti da altri profili utente.
06.Accedi alle proprieta' dei file usbstor.inf e usbstor.pnf nella dir
   Windows\inf e clicca su Protezione\Avanzate, quindi disabilita
   l'eredita' di autorizzazioni e clicca su Copia -> a quel punto puoi
   modificarle, lasciando solo quelle relative a SYSTEM e Administrators
   (in modo che i file non possano essere aperti/eseguiti da altri
   profili utente).
07.Apri Gestione Computer (Start\esegui -> compmgmt.msc), vai su Utenti
   e gruppi locali \ Users, quindi accedi alle proprieta' degli account
   utente -> nella scheda Profilo andra' indicato lo script d'accesso
   da utilizzare :
   ==
   - Utenti autorizzati USB -> usbsi.bat
   - Utenti non autorizzati USB -> usbno.bat   
08.Apri la console di gestione GPO (Start\esegui -> gpedit.msc), vai su
   Configurazione utente\Impostazioni di Windows\Script, quindi accedi
   alle proprieta' di Uscita -> aggiungi usbno.bat come script di
   uscita per il logoff delle sessioni utente.
09.Sempre dalla console GPO vai su Configurazione Computer\Impostazioni
   di Windows\Script, quindi accedi alle proprieta' degli script per
   definire la policy di disabilitazione indipendentemente dalle
   sessioni utente, aggiungendo il relativo script :
   ==
   Esecuzione automatica -> usbno.bat
   Chiudi sessione -> usbno.bat
10.Accedi al registro (Start\Esegui -> regedit), tasto destro sulla
   chiave HKLM\System\CurrentControlSet\Services\USBSTOR e clicca su
   Autorizzazioni e poi su Avanzate, quindi disabilita l'eredita' di
   autorizzazioni e clicca su Copia -> a quel punto puoi modificarle,
   rimuovendo quelle relative a SYSTEM & impostando quelle degli altri
   utenti (Administrators esclusi) in sola lettura.
A quel punto riavvia la macchina e verifica = vedrai che - in assenza
di sessioni Administrator in corso sul computer - non sara' possibile
l'accesso ad USB storage "vecchi/nuovi" da parte di utenti, che non
rientrino tra gli Amministratori locali della macchina.


*newsnew* bifonchio':
[...]
E il mio post non lo caghi nemmeno di striscio, eh?
Alla faccia...
PLONK
-- 
Don Fizzy �
       /)/)
     (  '.')
   o(_('')('')

 
Scusa ma non vedo nessun post con il nome Don Fizzy, nï¿œ tanto meno con 
il tuo indirizzo mail!

PLONK
Visto che l'hai plonkato (per cos� poco, susscettibile eh?), e quindi
non lo leggi, ti voglio avvertire che newsnew ti ha risposto, ed ha
RAGIONE, che il tuo post NON SI VEDE!
cicero�
--
Pilato a Ges�: "Quid est veritas"?
Ges� a Pilato: "Est vir qui adest"


wrote:
Azz! Ho toppato! Newsnew ha cambiato il subject!


 RAGIONE, che il tuo post NON SI VEDE!
Ehm, � in un altro thread, visto che newsnews ne ha inviati DUE, di
post, uno con negare l'uso ... , e l'altro con disattivare porte ...
-- 
           |Save our planet!
    Ciao   |Save wildlife!
   roberto |For your E-MAIL use ONLY recycled Bytes  !!
           |roberto poggi   
rpo...@softhome.net

 Il CD lo togli e le prese USB o le smonti oppure gli metti un lamierino davanti.
Se non ricordo male, qui dentro c'è qualcuno che ha preferito invertire le polarità dei connettori...
-- 
R.

 
Parli con me?
Eh, dico, parli con me?
Con il mio sistema, i vari virus con autorun.inf non hanno vita facile.
