Nutzen von USB zur Festlegung der Host-Identität mit Standardgeräten

Zusammenfassung—Die Bestimmung der Identität eines Computers ist eine Herausforderung von entscheidender Bedeutung für Benutzer, die sicherstellen möchten, dass sie mit dem richtigen System interagieren; sie ist auch für forensische Ermittler äußerst wertvoll. Selbst Hosts, die vertrauenswürdige Computerhardware zur Feststellung der Identität enthalten, können jedoch durch Relay- und Identitätsbetrugsangriffe überwunden werden. In diesem Papier betrachten wir, wie wir die nahezu allgegenwärtige USB-Schnittstelle nutzen können, um Computer basierend auf den Eigenschaften ihrer Hardware, Firmware und Software-Stapel eindeutig zu identifizieren. Wir sammeln USB-Daten zu einem Korpus von über 250 Maschinen mit einer Vielzahl von Hardware- und Softwarekonfigurationen, und durch maschinelles Lernen klassifikatorischer Techniken demonstrieren wir, dass wir, gegeben eine Beobachtungszeit von der Größenordnung von Zehntelsekunden, Hosts basierend auf einer Vielzahl von Attributen wie Betriebssystem, Hersteller und Modell mit einer Genauigkeit von über 90 % unterscheiden können. Über längere Beobachtungszeiträume in der Größenordnung von Minuten zeigen wir die Fähigkeit, zwischen Hosts zu unterscheiden, die scheinbar identisch sind; unter Verwendung von Random Forest-Klassifikation und statistischer Analyse erzeugen wir Fingerabdrücke, die verwendet werden können, um 70 % eines Feldes von 30 Maschinen, die identische OS- und Hardware-Spezifikationen teilen, eindeutig und konsistent zu identifizieren. Darüber hinaus zeigen wir, dass wir das Vorhandensein eines Hypervisors auf einem Computer mit 100 % Genauigkeit erkennen können und dass unsere Ergebnisse resistent gegenüber Konzeptdrift sind, einem Spoofing-Angriff, bei dem böswillige Hosts betrügerische USB-Nachrichten bereitstellen, sowie gegen das Relaying von Befehlen von anderen Maschinen. Unsere Techniken sind somit allgemein in einer benutzerfreundlichen und kostengünstigen Weise anwendbar.