خطر یو.اس.بی درایوها The Danger of USB Drives

رشته های مرتبط: مهندسی کامپیوتر، امنیت اطلاعات، معماری سیستمهای کامپیوتری و سخت افزار کامپیوتر
آزمایش ما: مرور کلی برای اطمینان یابی از اینکه کاربران درایوهایی که روی زمین پیدا می کنند به ابزار متصل می کنند، آزموایش سطح کلان انجام دادیم که در آن حدود ۳۰۰ فلش درایو در محوطه دانشگاه ایلینویس در فضای اربانا-چمپین انداختیم. در این هجوم، فایل های مورد انتظار را در درایو با فایل های اچ.تی.ام.ال جایگزین نمودیم که حاوی تصویر نهادینه در سرور مرکزی بود که به ما اجازه می داد پیگیری کنیم که درایو به کجا متصل شده است. پی بردیم که کاربران تا ۹۸ درصد درایوها را برداشتند و ۴۵ درصد درایوها به رایانه متصل شدند. به علاوه حمله بسیار آنی بود به طوری که اولین درایو یافت شده ظرف شش دقیقه پس از زمان انداختن به ابزار متصل گردید. مغایر با عقیده عمومی، ظاهر درایو این احتمال را افزایش نداد که فرد آن را به رایانه خود متصل سازد. در عوض، کاربران همه انواع درایو ها را به ابزار متصل نمودند مگر اینکه روش تعیین محل صاحب آن وجود نداشت که نشان می داد بسیاری از شرکت کنندگان انگیزه از خود گذشتگی داشتند. به هر حال، هر چند برخی کاربران ابتدا درایو را با انگیزه از خود گذشتگی متصل نمودند، حدود نیمی از انها تحت تثیر کنجکاوی واقع شده و ابتدا فیل های فریبنده را از جمله عکس های مسافرت، را باز کردند قبل از اینکه سعی کنند صاحب درایو را بیابیند. برای درک بهتر انگیزه کاربران، این انتخاب را برای کاربران پیشنهاد دادیم که نظرسنجی کوتاهی را کامل کنند هنگامی که درایو را متصل نمودند. اکثر انها بیان داشتند که درایو را متصل نمودند تا صاحب آن را بیابند یا اینکه از سر کنجکاوی بوده است هر چند عده کمی اقرار نمودند که برنامه ریزی کرده بودند که درایو را نزد خود نگه دارند. دانشجویان و کارکنان که درایو را متصل کرده بودند، چندان سواد رایانه ای نداشتند و تفاوت عمده ای با هم نظیران خود نداشتند. هنگامی که تحریک شدند، ۶۸ درصد از شرکت کنندگان بیان نمودند که آنها هنگام اتصال درایو هیچ گونه احتیاطی به خرج ندادند. از افرادی که این کار را کردند، ۱۶ درصد درایو را با نرم افزار انتی ویروس خود اسکن کردند و ۸ درصد معتقد بودند که سیستم عامل یا نرم افزار امنیت از آنها محافظت خواهد نمود. در پایان، چند نفر از شرکت کنندگان که احتیاط کردند این کار را به طور ناکارامد انجام دادند و اکثر آنها به هیج وجه احتیاط نکردند. ما از هیئت بازبینی موسسه ای دانشگاه ایلینیوس تاییدیه را دریافت نموده و صحه گذاشتیم و با سهامداران عمده (واحدهای فناوری اطلاعات، قانونی و ایمنی عمومی) ضمن طراحی آزمایش رو به رو شدیم. ما به طور خودکار هر نوع کد را روی سیستم شرکت کنندگان اجرا نکردیم و فقط توانستیم داده ها را جمع آوری کنیم اگر شرکت کنندگان روی فایل های فلش درایو دو بار کلیک می کردند. از شرکت کنندگان اطلاعاتی کسب گردید و فرصت کشیدن درایو را به آنها دادیم.