学生共享USB：设置密码只为写

Question

我是一名学校老师，我想在学生之间以及不同操作系统之间共享 U 盘中的文件。

特别是我想设置一个写入/更改密码，而USB的内容可以被所有人读取。这是为了防止恶意软件的传播。

是否可以？

Answer 1

因为此驱动器将用于您无法控制的系统，或者不是 Linux 且不支持 Linux 权限方案的系统，所以您在这里有点不走运。

但是，如果没有专门的设备，就没有真正的方法可以在磁盘上执行您正在寻找的密码保护，而且作为解决方案，这通常不具有成本效益（如下所述）。

请注意，我是一名 IT 安全专家，所以如果我在这里的信息和回复中显得贬低或斥责，我不是那个意思，我只是在安全方面过于挑剔，因为这是我的工作道路。

（如果您不想听到我对您引入的所有安全风险的咆哮，请向下滚动到“如果您真的想要一种安全的方法来共享闪存驱动器...”部分。）

系统安全规则 0：如果您想限制恶意软件的风险，切勿共享 USB 驱动器！

我说这是规则 0，但这实际上是规则 0B - 规则 0A 是关于对系统的物理访问。

但简单地说，这是一个主要的安全风险。通过尝试使用 USB 来分发数据，您会立即面临无法控制是否将恶意软件放入棒中的风险。这部分被带有只读锁定开关的 USB 记忆棒所规避，例如Kanguru FlashTrust 3.0，但可以通过翻转开关轻松地将它们转为读/写。

作为安全专业人士，我强烈建议您提供一种非 USB 记忆棒替代方法来访问您班级的项目，例如 Box 帐户或从教育机构网络空间内的站点提供的文件。

另一种选择是完全写入、完全锁定的 CD/DVD，它也可以正常工作，并且因为当您完全锁定设备时，它会被完全写入并且上面没有额外的开放空间，磁盘已被视为“只读”。但是，除非您需要共享大文件，否则 DVD 选项可能无法正常工作。 然而，越来越多的设备投放市场时不带 CD/DVD 驱动器，这也意味着这也不是最理想的解决方案。

我也敢打赌，通过分发这个闪存驱动器，你违反了学校计算机系统上关于“授权设备”的一些规则，但我不能说。

如果您真的想要一种安全的方法来共享闪存驱动器...

...您开始进入非常昂贵的设备世界，例如Apricorn Aegis SecureKey 3，它是一种硬件加密拇指驱动器，它允许您为管理员模式设置密码，但也提供只读用户密码作为二级密码装置。这样，磁盘被锁定为非管理员的只读模式，以及管理员代码用户的读/写模式。

这样做的问题是它很贵——一个 16GB 的安全棒需要 129 美元——这主要是由于硬件加密设备的成本（但诸如此类的设备是为一组非常特殊的潜在用例而设计的，因此由于缺乏行业需求，更便宜的产品的可用性为零）。所以这通常不是一个具有成本效益的选择，特别是如果你不信任你的学生。

然而，最终，真的没有简单的免费或经济高效的方法来实现你想要的，同时保持操作系统的交叉兼容性，即使这样你也不能保证安全性。

问题是使用和使用了许多不同的操作系统。即使操作系统不是一个因素，root如果它是一个 Linux 格式的棒，甚至设置了 Linux 权限，那么任何有权力的用户都可以给自己访问权限。没有任何方法可以通过免费或低成本的解决方案来实现 USB 记忆棒的安全性。

不过，这是地球上为数不多的几次通过云（Dropbox、Google Docs、Box，甚至一个 OwnCloud 实例）共享是正确的解决方案之一，因为仅通过下载文件就没有恶意软件感染的风险（除非文件本身是恶意软件）。（并且上述云服务之一被您试图防御的此类恶意软件感染的可能性非常低）

Answer 2

共享 CD 或 DVD 磁盘。

可写磁盘真的很便宜。驱动也很便宜。以不到 30 美元的价格购买一个外置 USB DVD 刻录机，它可以在任何现代计算机上运行，​​而且您可以将它借给没有自己的驱动器的学生。

除了昂贵的磁盘之外，所有磁盘都是一次性写入的，因此您写入磁盘的数据无法重写。但是，您必须确保将磁盘写入其全部容量，否则可以通过在空白区域写入更多数据来修改或替换磁盘上的文件系统。即使您确实留下了空白空间，在光盘上传播的恶意软件也比在闪存驱动器上传播的要少。

这样做的缺点是，如果您想要共享的数据大于几个磁盘（可写 DVD 的容量约为 4 GB），那么大容量闪存驱动器比大量磁盘方便得多。不过，我不希望这适用于您的情况。

Answer 3

共享物理媒体在安全方面是一个糟糕的主意。即使您共享只读 CD，您的学生也可以简单地购买相同品牌的空白 CD，并在其上写入原始内容 + 恶意软件。您必须签名、盖章或以其他方式使您的媒体独一无二，以防止这种情况发生，理想情况下，您的学生应该只从您的手中接受它，而不是从彼此手中接受。否则，原始媒体可能会在一组学生（和您）之间传播，而假媒体将提供给另一组学生。

类似的技巧可以在带有只读密码的加密驱动器上玩：其中一个学生可以保存驱动器映像，使用相同的只读密码编写受感染的图像，然后在其他人之间传播该驱动器。然后可以在驱动器还给您之前恢复原始图像。

为了防止此类威胁，您的学生必须从其他地方（例如学校服务器）获取原始数据的数字签名，并知道如何对其进行验证。实际上，将要共享的文件存储在存储签名的服务器上会简单得多，使共享过程就像为学生提供下载链接一样简单。