Stai cercando di utilizzare uno strumento tecnico per risolvere un problema sociale. La risposta è che non va bene.

Le tecniche possono fornire una grande sicurezza se usate correttamente, ma solo l'istruzione dell'utente può consentirne un uso corretto. Spesso mi piace il chi è responsabile di cosa domanda. Ciò significa che gli utenti dovrebbero sapere che saranno responsabili di tutto ciò che potrebbe essere fatto con le loro credenziali. Non è sufficiente dimostrare che non l'hanno fatto, devono dimostrare di aver protetto correttamente le loro credenziali.

Anche l'analogia fisica può aiutare. Non lascerebbero incustodita la chiave di una cassaforte fisica. Dovrebbero capire che quando vengono fornite credenziali ragionevolmente protette, dovrebbero vederlo come una chiave fisica e usarlo allo stesso modo. Ma poiché sono abituati al proprio computer di casa senza alcuna protezione, l'istruzione è difficile e le cose devono essere ripetute. Purtroppo non ho mai trovato un modo migliore ...

Mi sembra che uno script di avvio possa verificare la presenza di USB montati e bloccare il wifi / rete se c'è un USB montato mentre mostra un messaggio.

Una semplice funzione di polling potrebbe verificare la presenza di nuove USB collegate.

Tutto ciò è possibile in Powershell.

Ciò risolverebbe il problema di avere le USB montate e costringerebbe l'utente a espellere prima di utilizzare il laptop. Questo non risolve il problema di ciò che l'utente fa successivamente con l'USB. Posso facilmente immaginare che gli utenti si scolleghino per iniziare a utilizzare il laptop, quindi ricolleghino l'USB "per riporlo" una volta chiuso il coperchio.

Questo potrebbe non essere il modo più carino per farlo, e non posso dire di approvarlo, ma l'ho visto usato nella pratica:

Potresti far pattugliare le guardie di sicurezza di notte, prendendo qualsiasi Chiave USB o token collegato a un computer con loro e riempimento di un incidente di sicurezza. Se il giorno successivo gli utenti vanno a prendere le loro cose USB, ricevono un rimprovero ufficiale di persona. Se non lo fanno, ricevono un rimprovero più forte perché non hanno notato o segnalato la loro cosa mancante. Fai in modo che i rimproveri si riflettano male sul loro stipendio o licenzia i dipendenti con troppi rimproveri.

Se applicata, puoi essere certo che questa norma sarà molto impopolare, ma efficace.

Modifica: hai aggiunto in un commento a cui è rivolto il tuo scenario utenti mobili che non sono in sede. Temo che la mia proposta non possa essere applicata in questo caso. Potrei comunque rispondere in quanto potrebbe essere ancora utile per altri che tentano di applicare le politiche di sicurezza nei loro locali.

Non sono così tecnico, ma sembra possibile:

La chiave USB deve eseguire determinate cose, come rispondere all'enumerazione o alle richieste tramite API per convalidare la chiave. Quindi la prima domanda è se quelli possono essere usati. Potrebbe essere necessario controllare la documentazione tecnica per questa possibilità:

• Se i dispositivi sono di proprietà dell'azienda ma mobili , è possibile installare uno script che lo collauda e se un dispositivo rimane enumerato o risponde per più di 2 minuti dopo l'accettazione della convalida iniziale, la convalida / l'accesso viene interrotto. Ciò dovrebbe garantire agli utenti di sviluppare l'abitudine automatica di rimuovere le chiavi: il dispositivo non li lascerà funzionare se non lo fanno.

• Se alcuni dispositivi sono BYO (porta il tuo) allora è più difficile. Forse il metodo di accesso o la chiave stessa consente una sorta di convalida continua, che potrebbe essere riproposta (se è presente un accesso in corso oltre alcuni minuti, terminare). Se necessario, acquista un tipo di chiave che lo consenta.

• Se un controllo lato server o unilateralmente non è possibile, quindi non puoi fare qualcosa sul lato server per controllare lo stato della chiave USB , allora sei costretto a ricorrere al software / script lato client. Se una persona vuole portare il proprio dispositivo, ci sono spesso politiche al riguardo e, a volte e in alcune aziende, l'utente deve eseguire o installare uno script / software / VPN / certificato / qualsiasi cosa se desidera utilizzare il proprio dispositivo sulla rete aziendale, quindi forse questa è un'opzione accettabile.

Perché pensi che questo token USB da solo stia proteggendo il laptop?

Questa è una situazione di autorizzazione a due fattori. Per coloro che non hanno mai incontrato il concetto prima, 2FA è descritto come "qualcosa che conosci e qualcosa che hai". Il dongle USB è il "qualcosa che hai", ma il laptop è ancora protetto dal "qualcosa che conosci", cioè una password. 2FA ha lo scopo di aggiungere un livello che consente a un fattore di essere ridondante, quindi non rende il sistema insicuro se l'attaccante ottiene il token di sicurezza, a condizione che l'utente non abbia anche la password annotata. Ovviamente è meglio che non rompano un braccio della sicurezza, ma il laptop dovrebbe comunque essere protetto se lo fanno.

Anche costringere l'utente a rimuovere la chiave ha un grosso problema. La sicurezza del laptop è un ripensamento, per proteggere i file locali che l'utente potrebbe avere in giro, che è un piccolo sottoinsieme dei dati della tua azienda. La parte di fondamentale importanza è proteggere l'accesso dell'utente alla tua rete. Le reti, in particolare le VPN, sono valide solo quanto la loro sicurezza di accesso. Quindi, se sei preoccupato per la sicurezza, la tua VPN dovrebbe controllare che il token Bitlocker sia presente quando l'utente accede alla VPN e che non lasci mai la macchina durante quella sessione di accesso . In caso contrario, l'utente potrebbe essersi accidentalmente lasciato connesso quando ha chiuso il coperchio e ha pensato che il computer fosse spento o in vari scenari simili. Non si può supporre che "abbiano effettuato l'accesso OK in passato, quindi stanno ancora usando la macchina".

In breve, penso che tu stia pensando troppo a un'area e senza considerare il quadro più ampio di come aiuta la sicurezza dei dati aziendali.

La risposta più semplice per i dongle USB, ovviamente, è insistere sul fatto che vivono sul portachiavi dell'utente con le chiavi di casa o della macchina. Più di un portachiavi? Nessun problema: possono avere tutti i dongle di cui hanno bisogno. Ma questo garantisce che il dongle venga sempre rimosso dal laptop quando l'utente lo lascia, perché ha bisogno del portachiavi per tornare a casa.

Vengo dal mondo della tecnologia di produzione e l'utilizzo di piccole maschere per imporre un certo comportamento manuale sia per la qualità che per la sicurezza è un metodo standard accettato. Non sono d'accordo con la prospettiva che non si possa progettare il comportamento umano ponendo determinati ostacoli, questo viene fatto per la sicurezza umana ed è preso sul serio quanto la sicurezza della rete. Un approccio comune è usare un Poka-yoke, ma si vedono anche interblocchi e interruttore del morto quando sono in gioco vite.

La sfida è come adattare questi concetti alla sicurezza. Anche se sono d'accordo che sarebbe difficile uscire da questo codice in modo affidabile, se allarghi la tua prospettiva per includere lo sviluppo dell'hardware è certamente realizzabile.

Se è importante per te o il tuo datore di lavoro, È possibile progettare un dongle personalizzato che forzi questo comportamento, un approccio sputo sarebbe un taglio temporizzato in cui il dongle si disabilita dopo un certo periodo di tempo sotto tensione. Richiede il ricollegamento.

Se hai un certo controllo sugli utenti e sulla policy del laptop, ma non desideri giocare con la polizia, puoi utilizzare qualsiasi numero di altri impedimenti per incoraggiare il rispetto della tua policy di sicurezza.

Ovviamente, per un utente intraprendente questo è bypassabile, quindi se stai progettando un prodotto di sicurezza venduto ai clienti non sarebbe sufficiente.

Ma credo che l'analogia con poka -yoke è appropriato in quanto aggirare il controllo tecnico da parte di un collega andrebbe contro la politica / procedura e sarebbe soggetto a rimprovero o avvertimento.

Puoi rendere l'USB multiuso rendendo impossibile lasciarlo sul PC. Ad esempio, devono collegarlo a un altro dispositivo per iniziare la loro giornata lavorativa. Puoi dire che vuoi sapere quando vengono al lavoro e l'inizio della loro giornata lavorativa è segnato dalla connessione USB a questo secondo dispositivo.

Questo non è applicabile a tutti i casi, ma lo sto scrivendo con la speranza che possa dare una buona idea a qualcuno.

OK, quindi ora ti sei assicurato in qualche modo che il proprietario del laptop non lasci il suo token collegato.

Tuttavia ora porta con sé quel laptop e il token quando torna a casa e viene rapinato da una spia industriale nel parcheggio. Il risultato è sia il token che il laptop sono come nelle mani di una persona non autorizzata e, peggio ancora, la stessa persona non autorizzata.

Il risultato ovviamente è esattamente lo stesso che sarebbe se il token fosse collegato al laptop, come il malintenzionato può semplicemente collegare il token.

Congratulazioni, hai appena spostato un po 'il limite di sicurezza senza alcun reale guadagno.

Quello che potresti fare è installarne alcuni software sui laptop che blocca lo schermo o addirittura li spegne se il token viene rilevato installato sul laptop dopo l'avvio del sistema operativo. Pronuncia qualcosa che è stato avviato durante l'avvio del sistema operativo e controlla il token ogni pochi minuti. Garantirebbe che il token venga rimosso dopo l'avvio della macchina, ma non impedirebbe il furto sia del token che della macchina.

L'unico modo per garantire questo è un principio a 4 occhi, in cui la macchina non può essere avviata senza che siano presenti almeno 2 persone, una con il token e un'altra con la password.

E questo è un aspetto importante PITA e, soprattutto per i lavoratori remoti, spesso impossibile (poiché i lavoratori remoti tendono a essere soli in un sito).