Vous essayez d'utiliser un outil technique pour résoudre un problème social. La réponse est que cela ne peut pas convenir.

Les techniques peuvent offrir une grande sécurité lorsqu'elles sont correctement utilisées, mais seule l'éducation des utilisateurs peut permettre une utilisation correcte. J'aime souvent la question qui est responsable de quoi . Cela signifie que les utilisateurs doivent savoir qu'ils seront responsables de tout ce qui pourrait être fait avec leurs informations d'identification. Il ne suffit pas de prouver qu'ils ne l'ont pas fait, ils doivent prouver qu'ils ont correctement protégé leurs informations d'identification.

L'analogie physique peut également aider. Ils ne laisseraient pas la clé d'un coffre-fort physique sans surveillance. Ils doivent comprendre que lorsqu'ils reçoivent des informations d'identification raisonnablement sécurisées, ils doivent la considérer comme une clé physique et l'utiliser de la même manière. Mais comme ils sont habitués à leur propre ordinateur personnel sans aucune sécurité, l'éducation est difficile et les choses doivent se répéter. Malheureusement, je n'ai jamais trouvé de meilleur moyen ...

Il me semble qu'un script de démarrage pourrait vérifier les USB montés et bloquer le wifi / réseau s'il y a un USB monté tout en affichant un message.

Une simple fonction d'interrogation pourrait vérifier si de nouvelles clés USB sont connectées.

Tout cela est possible dans Powershell.

Cela résoudrait le problème du montage des clés USB et forcerait l'utilisateur à s'éjecter avant d'utiliser l'ordinateur portable. Cela ne résout pas le problème de ce que l'utilisateur fait avec l'USB par la suite. J'imagine facilement que les utilisateurs se débranchent pour commencer à utiliser l'ordinateur portable, puis rebranchent l'USB "pour le ranger" une fois qu'ils ont fermé le couvercle.

Ce n'est peut-être pas la meilleure façon de le faire, et je ne peux pas dire que je l'approuve, mais je l'ai vu utilisé dans la pratique:

Vous pourriez avoir des gardes de sécurité patrouiller la nuit, Clé ou jeton USB connecté à un ordinateur avec eux et remplissant un incident de sécurité. Si le lendemain, les utilisateurs vont chercher leurs trucs USB, ils reçoivent une réprimande officielle en personne. S'ils ne le font pas, ils reçoivent une réprimande plus sévère parce qu'ils n'ont pas remarqué ou signalé leur chose manquante. Faites en sorte que les réprimandes reflètent mal leur chèque de paie, ou renvoyez les employés avec trop de réprimandes.

Si elle est appliquée, vous pouvez être sûr que cette politique sera très impopulaire, mais efficace.

Modifier: Vous avez ajouté dans un commentaire que votre scénario est destiné utilisateurs mobiles qui ne sont pas sur site. J'ai bien peur que ma proposition ne puisse pas être appliquée dans ce cas. Je vais quand même laisser peut répondre car cela pourrait encore être utile pour les autres qui essaient d'appliquer des politiques de sécurité dans leurs locaux.

Je ne suis pas si technique, mais cela semble possible:

La clé USB doit faire certaines choses, comme répondre à l'énumération, ou aux requêtes via l'API pour valider la clé. La première question est donc de savoir si ceux-ci peuvent être utilisés. Vous devrez peut-être consulter la documentation technique pour cette possibilité:

• Si les appareils appartiennent à l'entreprise mais sont mobiles , vous pouvez installer un script qui teste cela, et si un appareil reste énuméré ou réactif pendant plus de 2 minutes après l'acceptation de la validation initiale, la validation / l'accès est interrompu. Cela devrait permettre aux utilisateurs de développer automatiquement l'habitude de retirer leurs clés - l'appareil ne les laissera tout simplement pas fonctionner s'ils ne le font pas.

• Si certains appareils sont BYO (apportez le vôtre) alors c'est plus difficile. Peut-être que la méthode d'accès ou la clé elle-même permet une sorte de validation continue, qui pourrait être réutilisée (s'il y a un accès continu au-delà de quelques minutes, terminer). Si nécessaire, achetez un type de clé qui le permet.

• Si une vérification côté serveur ou unilatéralement n'est pas possible, vous ne pouvez donc pas faire quelque chose côté serveur pour vérifier l'état de la clé USB , alors vous êtes obligé de vous rabattre sur le logiciel / script côté client. Si une personne souhaite apporter son propre appareil, il existe souvent des politiques à ce sujet, et parfois et dans certaines entreprises, l'utilisateur doit exécuter ou installer un script / logiciel / VPN / cert / quoi que ce soit fourni par l'entreprise s'il souhaite utiliser leur propre appareil sur le réseau de l'entreprise, c'est peut-être une option acceptable.

Pourquoi pensez-vous que ce jeton USB à lui seul sécurise l'ordinateur portable?

Il s'agit d'une situation d'autorisation à deux facteurs. Pour ceux qui n'ont jamais rencontré le concept auparavant, le 2FA est décrit comme "quelque chose que vous savez et quelque chose que vous avez". Le dongle USB est le «quelque chose que vous avez», mais l'ordinateur portable est toujours protégé par le «quelque chose que vous savez», c'est-à-dire un mot de passe. 2FA est destiné à ajouter une couche qui permet à un facteur d'être redondant, de sorte qu'il ne rend pas le système non sécurisé si l'attaquant obtient le jeton de sécurité, tant que l'utilisateur n'a pas également écrit le mot de passe. Bien sûr, il vaut mieux qu'ils ne cassent pas un bras de la sécurité, mais l'ordinateur portable devrait toujours être sécurisé s'ils le font.

Forcer l'utilisateur à retirer la clé, cela pose également un problème majeur. La sécurisation de l'ordinateur portable est une réflexion après coup, pour protéger tous les fichiers locaux que l'utilisateur pourrait avoir traîner, ce qui est un petit sous-ensemble des données de votre entreprise. La partie extrêmement importante est de sécuriser l'accès de l'utilisateur à votre réseau. Les réseaux, en particulier les VPN, ne sont aussi bons que leur sécurité de connexion. Donc, si vous êtes préoccupé par la sécurité, votre VPN doit vérifier que le jeton Bitlocker est présent lorsque l'utilisateur se connecte au VPN et qu'il ne quitte jamais la machine pendant cette session de connexion fort>. Sinon, l'utilisateur aurait pu se laisser accidentellement connecté en fermant le couvercle et en pensant que l'ordinateur était éteint, ou dans divers scénarios similaires. Vous ne pouvez pas supposer "ils se sont connectés correctement à un moment donné dans le passé, donc ils utilisent toujours la machine".

En bref, je pense que vous surpensez un domaine sans tenir compte de la manière dont il contribue à la sécurité des données de l'entreprise.

La réponse la plus simple pour les dongles USB est bien sûr d'insister pour qu'ils vivent sur le trousseau de clés de l'utilisateur avec leurs clés de maison ou de voiture. Plus d'un porte-clés? Pas de problème - ils peuvent avoir autant de clés dont ils ont besoin. Mais cela garantit que le dongle est toujours retiré de l'ordinateur portable lorsque l'utilisateur le quitte, car il a besoin du porte-clés pour rentrer chez lui.

Je viens du monde de la technologie manufacturière et l'utilisation de petits gabarits pour appliquer un certain comportement manuel à la fois pour la qualité et la sécurité est une méthode standard acceptée. Je ne suis pas d'accord avec la perspective selon laquelle on ne peut pas concevoir le comportement humain en plaçant certains obstacles, cela est fait pour la sécurité humaine et est pris aussi au sérieux que la sécurité du réseau. Une approche courante consiste à utiliser un Poka-yoke, mais on voit également des verrouillages et un interrupteur d'homme mort lorsque des vies sont en jeu.

Le défi est de savoir comment adapter ces concepts à la sécurité. Bien que je convienne qu'il serait difficile de coder pour vous en sortir de manière fiable, si vous élargissez votre perspective pour inclure le développement de matériel, c'est certainement réalisable.

Si c'est important pour vous ou votre employeur, un dongle personnalisé peut être conçu pour forcer ce comportement, le spit-balling une approche serait une coupure chronométrée où le dongle se désactive après un certain temps sous tension. Nécessitant un re-branchement.

Si vous avez un certain contrôle sur les utilisateurs et la politique des ordinateurs portables, mais que vous ne souhaitez pas jouer à la police, un certain nombre d'autres obstacles peuvent être utilisés pour encourager le respect de votre politique de sécurité.

Bien sûr, pour un utilisateur entreprenant, cela peut être contourné, donc si vous concevez un produit de sécurité vendu à des clients, ce ne serait pas suffisant.

Mais je crois que l'analogie avec poka -yoke est approprié car contourner le contrôle d'ingénierie par un collègue irait à l'encontre de la politique / procédure et pourrait faire l'objet d'une réprimande ou d'un avertissement.

Vous pouvez rendre l'USB multifonction en empêchant de le laisser sur le PC. Par exemple, ils doivent le brancher sur un autre appareil pour commencer leur journée de travail. Vous pouvez dire que vous voulez savoir quand ils arrivent au travail et que le début de leur journée de travail est marqué par la connexion USB à ce deuxième appareil.

Ce n'est pas applicable à tous les cas, mais je l'écris avec l'espoir que cela pourrait donner une bonne idée à quelqu'un.

OK, maintenant vous vous êtes assuré d'une manière ou d'une autre que le propriétaire de l'ordinateur portable ne laisse pas son jeton branché.

Cependant, ils emportent maintenant cet ordinateur portable et ce jeton avec eux lorsqu'ils rentrent chez eux, et se font agresser par un espion industriel sur le parking. Le résultat est à la fois un jeton et un ordinateur portable sont entre les mains d'une personne non autorisée et pire, la même personne non autorisée.

Le résultat est bien sûr exactement le même que si le jeton était branché sur l'ordinateur portable, car le méchant peut simplement brancher le jeton.

Félicitations, vous venez de déplacer un peu la limite de sécurité sans aucun gain réel.

Ce que vous pourriez faire, c'est en installer logiciel sur les ordinateurs portables qui bloque l'écran ou même les arrête si le jeton est trouvé installé sur l'ordinateur portable après le démarrage du système d'exploitation. Dites quelque chose qui a commencé dans le cadre du démarrage du système d'exploitation et vérifie le jeton toutes les quelques minutes. Cela garantirait que le jeton est supprimé après le démarrage de la machine, mais n'empêcherait pas à la fois le jeton et la machine d'être volés.

Le seul moyen de s'assurer que c'est un principe à 4 yeux, où la machine ne peut pas être démarrée sans la présence d'au moins 2 personnes, une avec le jeton et une autre avec le mot de passe.

Et c'est un problème majeur PITA et, en particulier pour les travailleurs à distance, souvent impossible (car les travailleurs à distance ont tendance à être seuls sur un site).