刘超转自自由亚洲
问： 有很多人都仍然用USB储存装置，由俗称U盘的USB快闪记忆，到USB硬碟都有。近日有报道指，有黑客成功利用USB的漏洞，可以在作业系统或防毒软件无法侦侧的情况下，植入木马偷取用家资料，这漏洞到底是什么来的？
李建军： 这漏洞叫BadUSB，这漏洞是在今年黑客大会上，由两位研究员提出的概念性漏洞。之后，各路专家为了找出漏洞源头所在，以便解决问题，不断编写不同的实验性质病毒，近日开始出现一些接近可行的漏洞出来。在这两位研究员发表论文前，市场甚少关于USB技术漏洞的公开资料。
这漏洞恐怖在于，这利用USB装置控制硬件操作的内置程式漏洞，令木马可以神不知鬼不觉，利用硬件在作业系统内的高优先权，以及不受作业系统控制的特点偷取电脑资料。亦由于USB装置不受到作业系统管辖，这令现有的防毒软件未能侦测甚至消灭有关木马。只要有人四处派发有问题的硬件，就足以引发严重保安问题。
问： 在中国的情况下，像BadUSB一类的漏洞有可能传播吗？又会怎样传播？
李建军： 其实，中国的一些做假货的人已经掌握不少USB的技术漏洞，像有不少曾经透过淘宝买了一些重量异常轻，又不能够写资料进内的大容量USB硬碟，后来发现那所谓的硬碟，只是很廉价的USB记忆手指假扮的。而中国那些假货商人，便是透过USB硬件控制软件的漏洞，藉此欺骗作业系统，让作业系统误以为那是货真价实的硬碟，藉此欺骗用家。
在中国的情况，BadUSB一类漏洞最有可能传播的地方，便是那些卖U盘的不知名商户，因为本来有不少这类商户，就掌握了USB硬件的技术漏洞，他们很容易制造出内置木马的U盘。只此，只能在有信誉商户购买未拆的U盘，甚至在香港买原厂正货的U盘。
另一个可能让BadUSB漏洞四处传播的地方，可能是中国厂商制造，内置USB储存能力的装置，例如流动宽频的USB装置。因为中国的厂商以及电讯公司可能与当局合作，在当局指令下，替所有卖出的装置安装类似BadUSB的木马。因此，像流动宽频设备一类装置，虽然现时避免买中国品牌的难度颇高，但仍然应避免买中国品牌，甚至改用手机分享互联网的功能。只要你的手机并非中国厂商的产品，在安全程度上应比中国厂商制的流动宽频产品来得好。
但在中国这个环境，更怕BadUSB在一些免费赠送的U盘上传播，例如突然有某县政府或某政府部门大规模派发U盘，那应对这些U盘加以注意，因为这有可能是利用群众贪便宜心理的大规模植入木马行动，有可能为了一点儿的小便宜，而令自己电脑的资料通通送到中国政府手中，这是相当得不偿失。
问： 那BadUSB的问题，有没有解决希望？
李建军： 在找到漏洞具体源头后，很视乎相关漏洞是否与USB技术标准本身有关。如果无关的话，那新一代USB硬件产品有希望免除这个问题，相信一年内都应可以解决。
只不过，如果漏洞与USB技术标准有关的话，就要等到下一代USB标准推出，并普及后才彻底解决问题，那要用至少三四年时间。而就算未来USB技术标准改变了，虽然令用户资料安全了，但有可能令旧的USB装置无法在采用了新标准的电脑上使用。USB这个暂时未非常普及的技术漏洞，有可能因被个别政府滥用而令用户陷于麻烦之中。
