Выборочное подключение USB-флешек в Windows XP

[DELLL]

молодец. вроде такая тривиальная задача, а сходу бы сам сразу тоже не решил. познавательно!

[Morfi]

А ключ у флешки нельзя изменить?

[SHIMORINKATO]

Не пробовал, надо покопать в этом направлении.

[Assargin]

Серийный номер можно сменить, даже у Microsoft была утилитка на сайте, меняющая серийник. К сожалению, ссылку дать не могу

[naum]

Вы имеете в виду серийный номер тома (VolumeID), не более того. Это никакого отношения, к счастью, не имеет к решению.

[naum]

Указанная в топе строка — это не ключ, это FirmwareID (по сути идентификатор прошивки), насколько я понимаю. Сменить его софтварно невозможно — только перепрошить и то я не уверен в существовании удачного решения.

Однозначно вариант автора приемлем для среднего уровня защиты. Вариант отличный — взят на заметку, автору поклон. Но если у вас все настолько серьезно, что могут найти людей, перепрошить и т.д. — должны быть совершенно другие решения корпоративного уровня.

[Morfi]

Теперь ясно, Спасибо.

[Torm]

Ну как бы если настолько все серьезно, то я думаю что будет тотальный запрет всех носителей с вытекающими отсюда последствиями.

[naum]

Абсолютно согласен. Вариант для небольшого офиса, к тому же все зависит от целей.

[romx]

Перепрошить можно. Но это, как правильно замечено, нетривиальная задача, требующая довольно существенного багажа специальных знаний (и софта). То есть решение автора для внедрения в NSA, ЦРУ и ФСБ не пойдет, но в «офисном пространстве» — вполне.

[Napolsky]

Скорее сломают WinXP, чем это решение для неё :) Так что для поставленной задачи — хорошее решение. Спасибо

[golmgolm]

Например, есть софтина DeviceLock для такого.

[jfkz]

можно обойтись без перепрошивки. если есть флешка такого же размера, достаточно переписать загрузочный сектор — и она станет «лицензионной» =/ проблема в том, что для этого нужно подержать в руках оригинальную флешку

[naum]

Кстати, отличный вариант! Даже не подумал, только что проверил WinHEX'ом — само собой все работает.

[Carry]

>если у вас все настолько серьезно, что могут найти людей, перепрошить

Проще купить такую же. Все будет работать.

Да, описанный в статье способ не панацея, но в большинстве случаев поможет. Автору спасибо.

[SharkuS]

У меня, после того как особо умные пользователи стали подключать не только флешки но и другие усб устройства, пришлось убрать права на папку inf.

[SharkuS]

Поскольку все юзеры работают под пользовательскими учетками, запрещено всё для групп SYSTEM и Пользователи на папке inf.
Побочных эффектов не наблюдал. Единственное неудобство заключается в том, что если необходимо доустановить или переустановить какое-нибудь оборудование, то приходится временно давать пользователю администраторские права, возвращать доступ к папке, устанавливать оборудоване и возвращать всё назад.

[FilimoniC]

А у двух одинаковых флешек из одной партии это одинаковый идентификатор?

[naum]

Давайте рассмотрим из чего складывается FirmwareID — «Disk&Ven_JetFlash&Prod_TS4GJF185&Rev_8.07»

JetFlash — производитель
Prod_TS4GJF185 — код товара (см. гугл по запросу TS4GJF185)
Rev_8.07 — прошивка/незначительные детали

Делаем однозначный вывод — да, у двух флешек из одной партии этот ID одинаков. Судя по всему ревизия инкрементируется не часто, так что вероятность «флешмоба» существует.

[SHIMORINKATO]

Не стОит торопиться с однозначными выводами — внутри ключа реестра находится много другой интересной информации:

[SHIMORINKATO]

Вот что происходит, если подключать флешки с одинаковым ID:



Так что флэшмоб отменяется.

[Barykin]

Все сделал по статье.
На разрешенную флешку не ругается.
На «левую» выскакивает окно под каким администратором установить устройство.
Нажимает отмену.
Выскакивает последнее из статьи окно с надписью недопустимые данные.
Но в фаре, тотале флешка определилась.
Что я сделал не так? Или что докрутить еще можно.

[eg15]

Народ, делайте, пожалуйста, скриншоты в PNG. И размер файликов будет поменьше, и грязи вокруг букв и тонких линий при этом не будет.

[EugeneKudashev]

Классное решение. И прикольное у вас начальство :) Перенесите, пожалуйста, в какой-нибудь блог, чтобы пост попал на главную; ведь не все читают личные блоги.

[SHIMORINKATO]

Перенести не могу — маленький я еще ;)

[SHIMORINKATO]

Перенес в «Я умный»
Спасибо всем за карму!

[ishua]

думаю «Я умный» не тот блог ;))) системный администратор
или безопасность…

[vserykh]

Вы мне открыли глаза на то, что у разделов реестра есть разрешения.
Как же я их раньше не заметил?
Это так можно много чего назапрещать )

[jfkz]

главное — не перестараться =)

[vserykh]

Во всём нужно знать меру — это точно.

[metakey]

Нифига себе, я сначала подумал, что в первую очередь разъемы напильником обработал, чтобы влезала только определенная флешка.

[Alaunquirie]

Берем бесплатный эмуль от PowerISO (~5mb) и радуемся жизни :)

[Goodkat]

шайтан!

[cybd]

Позновательно, ушел пробовать

[egorinsk]

Как всегда, сообщение винды об ошибке не содержит абсолютно никакойполезной информации.

[DasukiOni]

90% пользователей Windows все равно их не читают.

[egorinsk]

А оставшиеся 10%? Доходит до идиотизма — чтобы понять почему не ставится программа, прихордится смотреть на вывод ProcMon, где он спотыкается, осталось только еще дебаггером выискивать баги.

[DasukiOni]

Есть мнение, что если программа не ставится, то она плохая, не стоит на нее тратить свое время.

[komarov]

потому и не читают!

[DasukiOni]

Вы просто не работали в ТП на большом предприятии ;-)

[SowingSadness]

Вы никогда не пробывали залесть в журнал событий? ;)

[egorinsk]

Бесполезно. Пробовал, например — установщик программы неожиданно отказывается ставить программу, в журнале пусто. Потом, я конечно научился передавать installShield параметры для msiexec, чтобы тот писал логи, но не сказал бы что это простой и очевидный способ (ибо опций типа --help или /?, равно как и мануала у инсталлятора не было).

[SowingSadness]

Сами же и доказали — что не бесполезно -))

[egorinsk]

Логи писались в файл. так что бесполезен.

[tic]

как хорошо, что у меня на работе и флешки и интернет есть.

[SHIMORINKATO]

Именно этого раздела реестра хватает с головой, ибо он отвечает за подключение носителей информации с USB-интерфейсом. Ключевое выражение — USB Storage.

[grokinn]

если пользователь подключит флешку той же модели (как вариант из той же партии) она заработает?
вариант решения — правильная флешка подключается к esata, остальное запрещаем:)

[SHIMORINKATO]

Нет, не заработает.
См. выше: habrahabr.ru/blogs/i_am_clever/52553/#comment_1407010
Все-таки каждая флешка имеет свой уникальный идентификатор.

[buhoy]

DeviceLock умеет такие штуки делать — можно разрешать/запрещать работу с конкретными USB устройствами, да еще и централизованно. Единственный минус — денег стоит :)

[SHIMORINKATO]

Он и был одной из тех программ, за которой меня любезно отправляли Яндекс и Гуголь

[basilisk]

Ну человек же написал — неспортивно это… :)

[yeroo]

к тому же скорее всего теми же средствами пользуется для блокировки, ну контролирует это наверное еще

[GEXmur]

А какими ему еще средствами пользоваться? безопастность реализуется на уровне системы… вот и берут деньги за знания где нужно копнуть…

[welovedoit]

Весьма и весьма. Респект и уважуха!

[linderox]

Самое главное практически без костылей, как в Linux, хотя… :)

[Bal]

А какие костыли в Linux? Одно правило с HAL. Хочешь по UUID тома на флешке, хочешь по серийному её номеру… Если соответствует — разрешить, не соответствует — ничего не делать.

[Azs]

Триста пицот шестьдесят сорок восемь плюсов! Как раз то, что искал сам намедни, но не нашел. Спасибо огромное.

[4ars]

( 1 )
Контроль использования USB-накопителей в Windows Server 2008, подходит и для Windows Vista
www.osp.ru/win2000/2008/02/4866704/

( 2 )
Запрет на исходящие данные на Flash накопители
подходит и для XP и для Vista:
1. REGEDIT
2. HKEY_LOCAL_MACHINE \ SYSTEM \ CurrentControlSet\Control.
3. Создаем новый раздел StorageDevicePolicies.
4. В созданном StorageDevicePolicies создадим DWORD с именем WriteProtect и установим ему значение равным 1
5. Рестарт, готово, данные по USB уже не уйдут

[StirolXXX]

Ваше решение имеет один недостаток — оно конфликтует с изначальной задачей т.е запрещает всем запись на ЛЮБЫЕ флешки.

А если пользователь Администратор на компьютере — ваше ограничение до лампочки.

[4ars]

странный комментарий…

по поводу ( 1 ) — там описывается ровно такой же метод, что приведен в данном топике, только для ОС — Server 2008, Vista

по поводу ( 2 )
да это запрет на любую исходящую информацию, о чем собственно там и сказано
и да Администратору подобное ограничение до лампочки как и ЛЮБЫЕ другие ограничения
(потому как — это как бы нонсенс, пользователи которым нужно поставить запрет на исходящие данные и вместе с тем предоставить привилегии Администратора)

[StirolXXX]

(2) ммм, но там сказано не про любую исходящую информацию, а запрет всех флешек, КРОМЕ одной.

[slam007]

здорово! завтра поэксперементирую… только я всегда флешки блокирую, а если юзеру позарез нужна инфа с флешки, то через себя и по сети перекидываю :)

[Inquirer]

Хорошее решение. Заложу, чтобы использовать в будущем.

[x1shn1k]

в Vista такое можно провернуть настройками в GP

[efoxxi]

а кто запретит загружать компьютер с любой USB-Flash'ки?
можно конечно поставить пароль на BIOS, который можно легко стереть из под той же винды

[d1Mm]

тогда надо еще переписать биос чтобы не было в нем загрузки с usb )

[poludnev]

Видел я совсем жесткий метод — на юсб-порты вешается крышка и закрывается на висячий замок. Но если задаться целью вынести что-нибудь важное, любые препятствия можно побороть.
Другое дело, закрыть доступ кривым рукам офисных работников, которые любят припереть какую-нибудь срань из дому со всевозможным букетом вирусей. Они обычно слова такого не знают… биос… Я молчу про загрузку винды с флэшки.

[efoxxi]

Кстати винду с флешки вполне просто запустить: качается какойнибудь BartPE и записывается с помощью UltraISO на флешку. Выбрать в BIOS'е загрузку с USB-HDD тоже дело 5 секунд.
Вы правы в том, что это защита только от ламера, который не имеет даже общих знаний о компьютере.

[n000b]

В биосе отключена загрузка ото всюду кроме системного диска
Пароль на биос
И старая добрая свинцовая пломба на системном блоке
2 тыка + пломба стоит копейки и вобще вещь незаменимая от шалунов

[efoxxi]

BIOS можно сбросить из под винды, в том числе и пароль на BIOS.
Пломба не спасёт от взлома, а только покажет, что взлом всё-таки произошёл.

[samasam]

Бывает еще жестше, все порты заливают эпаксидной смлолой, а машинка грузится по сети.

[Alaunquirie]

Мусье знает толк в извращениях…

[vladon]

хм, зачем, если можно отключить usb в биосе?

[samasam]

БИОС можно вскрыть или подобрать.

[efoxxi]

Даже в этом случае остаётся возможность подключить маленький ноут или КПК с Ethernet-портом через свой перекрёстный патч-корд и скомпрометировать защищаемую систему, заставив её грузиться по локалке присоединённой к мини-компьютеру.

[GEXmur]

мда, информацию можно унести сделав фотку на камеру мобильного…

[Boyle]

Спасибо за отличное решение!

[ST4NN]

Спасибо, беру метод на вооружение )

[Pozadi]

В описанном методе есть баг:
1) Открываем «Мой компьютер»
2) Делаем все описанное в топике
3) Вставляем флешку (флешка появиться в «Моем компьютере»)
4) Заходим на флешку, и открываем любую поддиректорию до того как появиться картинка, показанная в топике.
5) Собственно все.
Кстати это работает, даже если у пользователя, из-под которого выполняются пункты 1, 3 и 4 нет прав локальным администратором.
Проверенно на XP SP3.