Zum Inhalt springen
Version 32.2 von Tobias Wintrich am 2024/10/25 13:53
Verstecke letzte Bearbeiter
tobias 9.4 1 {{info}}
2 USBGuard ist ab der Firmware 10.00 amd64 build 155 im Basissystem von RangeeOS enthalten
3 {{/info}}
4
5 Mittels des USBGuard behalten Sie die Kontrolle über die am Gerät angeschlossenen USB-Geräte.
6
Tobias Wintrich 29.2 7 {{toc/}}
8
tobias 9.4 9 = USBGuard aktivieren =
10
11 {{info}}
12 Wird der USBGuard erstmalig aktiviert, wird automatisch ein neuer Regelsatz erstellt, welcher den Zugriff auf alle in diesem Moment angeschlossen USB-Geräte erlaubt. Per Default wird der Zugriff auf alle späteren Geräte blockiert.
13 {{/info}}
14
Tobias Wintrich 23.2 15 Der USBGuard ist in unserer Firmware standardmäßig ausgeschaltet. Zum aktivieren setzen Sie die Option "USBGuard verwenden" unter {{status title="Peripherie"/}} -> {{status title="USB-Geräte"/}} -> **USBGuard-Daemon-Konfiguration**
tobias 9.4 16
Tobias Wintrich 29.2 17 [[image:usb_guard_01.png||alt="USB Guard aktivieren" width="600"]]
tobias 9.4 18
19 = Geräte Verwalten =
20
rangee rangee 16.1 21 Ist der USBGuard aktiviert können Sie die angeschlossenen USB-Geräte und die entsprechenden Regeln unter {{status title="Peripherie"/}} -> {{status title="USB-Geräte"/}} -> **USBGuard-Geräteverwaltung** verwalten.
tobias 9.4 22
23 Bereits angelegte Regeln können über die Spalte "Target" bearbeitet werden.
Tobias Wintrich 28.1 24 Bereits definierte Regeln können über den "Löschen"-Button entfernt werden. Das Gerät verhält sich anschließend wieder wie ein unbekanntes neu angeschlossenes Gerät.
25 Für Geräte ohne hinterlegte Regel kann über den Button "Regel erstellen" eine neue Regel angelegt werden.
tobias 9.4 26
rangee rangee 10.1 27 (% class="box warningmessage" %)
28 (((
tobias 9.4 29 Wenn die Standardregel für neu angeschlossene Geräte auf "Ablehnen" gesetzt ist, tauchen neue Geräte nicht in der Geräteliste auf.
rangee rangee 10.1 30 )))
tobias 9.4 31
Tobias Wintrich 28.1 32 (% class="wikigeneratedid" %)
Tobias Wintrich 29.2 33 [[image:usb_guard_02.png||alt="USB Guard konfigurieren" width="800"]]
Tobias Wintrich 28.1 34
tobias 9.4 35 = Verfügbare Geräte Berechtigungen =
36
rangee rangee 11.1 37 (% class="box warningmessage" %)
38 (((
Tobias Wintrich 29.2 39 Die automatisch erstellten Geräteregeln gelten immer exakt für eine Kombination aus USB-Gerät + USB-Port. Wird das USB-Gerät an einen anderen Port gesteckt, kann eine andere Regel definiert werden bzw. wird die Standardregel für neue Geräte angewendet.
rangee rangee 11.1 40 )))
tobias 9.4 41
42 Sowohl als Standardregel in der "USBGuard-Daemon-Konfiguration" als auch für einzelne Geräte über die "USBGuard-Geräteverwaltung" können folgende Regeln definiert werden:
43
rangee rangee 11.1 44 (% style="list-style-type:square" %)
tobias 9.4 45 * **Zulassen**
46 Erlaubt die Verwendung des entsprechenden Geräts exakt an dem aktuell verwendeten USB-Port.
47 * **Blockieren**
48 Unterbindet das laden der entsprechenden Gerätetreiber - das Gerät kann an diesem Port nicht verwendet.
49 * **Ablehnen**
50 Das Gerät taucht nicht in der Systemkonfiguration auf, neu angeschlossene Geräte können nicht konfiguriert werden.
Tobias Wintrich 29.2 51
52 = USB-Guard und TCMS / Expertenkonfiguration =
53
54 Mit den Standardeinstellungen speichert generiert jedes Gerät individuelle Konfigurationsdateien für den USB Guard. Erhält ein Gerät per Gruppenkonfiguration die Aufforderung USB-Guard zu nutzen, so generiert es beim ersten aktivieren automatisch eine Konfiguration entsprechend der aktuell angeschlossenen Geräte. Alle später angeschlossenen Geräte müssen händisch konfiguriert werden.
55
56 Will man eine zentrale Konfiguration für alle Geräte pflegen und z.B.: alle Eingabegeräte, Webcams.... generell erlauben, so kann man hierzu den "Expertenmodus" verwenden. Sobald der Expternemodus aktiviert ist, wird die vom System erstellte Konfiguration mit an den TCMS und damit auch auf andere Geräte übertragen.
57
58 {{warning}}
59 Wenn Sie den Expertenmodus aktivieren **müssen **Sie die automatisch generierte Konfiguration händisch Anpassen. Wenn die automatisch generierte Konfiguration auf ein anderes Gerät übertragen wird, werden dort keinerlei USB-Geräte mehr funktionieren, da die Konfiguration Port und Seriennummer der angeschlossenen Geräte enthalte und diese auch von Gerät zu Gerät unterscheiden.
60 {{/warning}}
61
Tobias Wintrich 32.1 62 Den Expertenmodus aktivieren Sie unter {{status title="Peripherie"/}} (% id="cke_bm_78664S" style="display:none" %){{status title="Peripherie"/}}(%%) -> {{status title="USB-Geräte"/}} -> **USBGuard-Daemon-Konfiguration. **Sobald er aktiviert ist, steht Ihnen ein Textfeld "Benutzerdefinierte Regeln" in der **USBGuard-Geräteverwaltung** zur Verfügung.
Tobias Wintrich 29.2 63
Tobias Wintrich 29.3 64 [[image:usb_guard_03.png||alt="USB Guard Expertenkonfiguration" width="1000"]]
Tobias Wintrich 29.2 65
Tobias Wintrich 32.1 66 Der automatische Inhalt dient erstmal als "Platzhalter" und sorgt dafür, dass Sie mir Ihrem Gerät an dem Sie die Regeln erstellen und Testen noch weiterarbeiten können. Sobald Sie eigene Regeln geschrieben haben, können Sie den generierten Inhalt löschen.
Tobias Wintrich 29.2 67
Tobias Wintrich 32.1 68 == Benutzerdefinierte Regeln erstellen ==
Tobias Wintrich 29.2 69
Tobias Wintrich 32.1 70 Per Default werden neue Geräte bereits blockiert. Das heißt Sie in den regeln nur die Geräte oder Geräteklassen definieren die Sie zulassen möchten.
71
72 === Einzelnes Gerät an allen Plätzen erlauben ===
73
74 Haben Sie Beispielsweise ein spezielles Maus-, Tastatur- oder Webcam Modell, so können Sie dieses eine Gerät für alle Plätze freigeben. Hierzu müssen Sie zunächst über (% id="cke_bm_155072S" style="display:none" %) (%%) {{status title="Peripherie"/}} (% id="cke_bm_78664S" style="display:none" %){{status title="Peripherie"/}}(%%) -> {{status title="USB-Geräte"/}} die PID:VID (Product & Vendor ID) zu Ihrem Produkt ermitteln. Anhand diesem kann ein Gerätemodell eindeutig identifiziert werden.
75
76 [[image:usb_guard_04.png||alt="USB Guard Expertenkonfiguration" width="800"]]
77
Tobias Wintrich 32.2 78 Eine Regel für die im Screenshot zu sehende "Microdia USB 2.0 Camera" könnte so aussehen:
Tobias Wintrich 32.1 79
Tobias Wintrich 32.2 80 allow id 0c45:636e
Tobias Wintrich 32.1 81
Tobias Wintrich 32.2 82 Sie können hier beliebig viele dieser Regeln untereinander schreiben. Zusätzlich sollte auf alle Fälle diese Zeile mit in die Konfiguration aufgenommen werden um den zugriff auf über einen HUB angeschlossene Geräte zu ermöglichen:
83
84 allow with-interface one-of { 09:*:* }
85
86 === Geräteklassen erlauben ===
87
88 Geräteklassen werden anhand Ihrer Inferace Klasse definiert und freigeben. Es gibt 9 Geräteklassen die Sie erlauben können:
89
Tobias Wintrich 32.1 90 1. Mass Storage Class (MSC): **08**
91 1. Human Interface Device Class (HID): **03**
92 1. Communication Device Class (CDC): **02**
93 1. Audio Device Class (ADC): **01**
94 1. Printer Device Class (PDC): **07**
95 1. Image Device Class (IDC): **06**
96 1. Still Image Capture Device Class (SICDC): **06**
97 1. Video Device Class (VDC): **0E**
98 1. HUB: **09**
99
100 Eine Regel um zum Beispiel alle HID Geräte (Maus/Tastatur + HUBs) zu erlauben sähe dann so aus:
101
102 allow with-interface one-of { 09:*:* 03:*:* }
103
104 Sie können beliebig viele Inferfaceklassen hintereinander schreiben. Mit dieser  Kombination würden Sie HUBs + HIDs + Kameras + Audio Geräte erlauben:
105
Tobias Wintrich 32.2 106 allow with-interface one-of { 09:*:* 03:*:* 0E:*:* 01:*:* }
Tobias Wintrich 32.1 107
108 Bitte beachten Sie, dass wenn Sie die HUB Klasse (09) entfernen, verlieren Sie automatisch auch den Zugriff auf daran angeschlossene Geräte, auch wenn deren Klassen freigegeben sind.