Come disabilitare le porte USB in Windows 10

Disabilitare le porte USB per quei computer che sono utilizzati in condivisione da molti utenti è una pratica che i responsabili della sicurezza dovrebbero tenere in seria considerazione per diminuire drasticamente i rischi di sicurezza in azienda.

L’utilizzo da parte degli utenti delle chiavette USB per spostare file e cartelle da un computer ad un altro è una pratica largamente diffusa tra gli utenti ed ormai consolidata da anni.

Tuttavia, se è vero che in tempi passati copiare contenuti tra computer poteva essere l’unico modo possibile, oggi non è più così; anche se questa abitudine sembra essere dura a morire. Uno dei più comuni errori di sicurezza informatica degli utenti che si configura come uno dei più pericolosi vettori di infezioni da malware.

È bene ricordare che non ha alcuna importanza che l’utente sia convinto o meno della bontà del proprio dispositivo USB; esso può contenere software malevolo o file insicuri che aumentano notevolmente i rischi di sicurezza.

È per i motivi appena citati che è fondamentale disabilitare le porte USB dei computer in modo mirato con uno dei seguenti metodi:

• BIOS (se disponibile). Disabilita completamente l’elettronica delle porte USB;
• Registro di sistema. Disabilita lettura/scrittura dei dispositivi di Storage (Pen Drive, HD esterni);
• Gestione Dispositivi. Disabilita completamente l’utilizzo delle porte USB (mantiene l’alimentazione);
• Criteri di Gruppo. Disabilita lettura/scrittura dei dispositivi USB di Storage.

Preliminari

Prima di eseguire qualsiasi operazione di modifica all’interno del registro di sistema, è buona regola effettuare il Backup del Registro di sistema.

In questo caso può essere sufficiente effettuare il backup solo della chiave del registro che si andrà a modificare. Per ora eviterei di fare il backup dell’intero registro; questa può essere un’operazione lunga e risultare inutile per lo scopo di questo tutorial. Il ripristino dell’intero Registry è un’operazione delicata e ricca di insidie.

Disabilitare le porte USB dal BIOS

Questo metodo può essere utilizzato per disabilitare completamente le porte USB del computer; si applica intervenendo nel BIOS della macchina.

Va detto che ogni Vendor può utilizzare BIOS personalizzati e comunque non tutti i BIOS sono identici. Per questo motivo non abbiamo allegato alcuna immagine di esempio al riguardo.

Per disabilitare le porte USB dal BIOS si raccomanda di seguire le linee guida del costruttore dell’hardware.

Disabilitare le porte USB con il registro di sistema

Questo metodo può essere utilizzato per disabilitare le funzionalità di lettura/scrittura per i dispositivi di Storage collegabili tramite le porte USB; si applica utilizzando il registro di sistema di Windows.

• Avviare il tool regedit.exe (com privilegi di Amministratore);
• Navigare nel registro di sistema fino a raggiungere la seguente directory;

Computer\HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\USBSTOR

• Individuare la chiave di registro “Start” (nel pannello destro) che dovrà essere modificata;
• Quindi doppio-click sulla chiave “Start” per editarne il contenuto;
• Modificare il valore della chiave in “4”;
• Clicca “OK” per salvare e chiudere il box di editing.

Se si prova ora ad inserire un qualsiasi dispositivo USB di Storage, il Drive non sarà neanche visibile nello strumento “Esplora File”.

Nota Importante

La chiave di registro USBSTOR è un DWORD (32bit) espressa in esadecimale, il cui valore di default è “3“: lettura/scrittura abilitati per i dispositivi USB di Storage.

Il valore esadecimale “4” disabilita la lettura/scrittura per i dispositivi USB di Storage.

Se si esegue nuovamente la procedura e si imposta nuovamente il valore “3” il dispositivo di Storage torna ad essere utilizzabile normalmente in lettura ed in scrittura.

Disabilitare le porte USB con la Gestione Dispositivi

Disabilitare le porte USB tramite la Gestione Dispositivi di Windows è una di quelle operazioni estremamente semplice da fare tramite lo strumento per la gestione dei dispositivi.

• Avviare lo strumento Gestione Dispositivi di Windows;
• Espandere il ramo “Controller USB (Universal Serial Bus)”;
• Click con il tasto destro del mouse su “Generic USB Hub”;
• Nel menu contestuale, cliccare su “Disabilita dispositivo”.

Se si prova ora ad inserire un qualsiasi dispositivo USB di Storage, il Drive non sarà neanche visibile in Esplora File.

Disabilitare le porte USB con l’editor dei Criteri di Gruppo

Si possono disabilitare le porte USB anche anche attraverso l’editor di Criteri di gruppo locali (Group Policy Editor).

Anche in questo caso, sarà possibile disabilitare puntualmente le funzionalità di lettura/scrittura dei dispositivi Storage USB, tramite i seguenti passi:

• Avviare il tool gpedit.msc (come Amministratore);
• Nel pannello di sinistra navigare verso Modelli amministrativi -> Sistema -> Accesso agli archivi mobili;
• Nel pannello di destra selezionare “Dischi rimovibili: nega accesso in lettura“;
• Click destro del mouse;
• Nel menu contestuale cliccare “Modifica”.

Si aprirà una nuova finestra, come quella mostrata qui sotto, che consentirà di apportare le modifiche.

• Selezionare “Attivata” per negare l’accesso in Lettura;
• Aggiungere un eventuale un commento che descriva i motivi della modifica;
• Cliccare su “OK” per salvare e chiudere;

Per disabilitare l’accesso in scrittura, eseguire la medesima operazione, selezionando “Dischi rimovibili: nega accesso in scrittura“.

Al termine dell-operazione, se si prova ad inserire un qualsiasi dispositivo USB di Storage, il Drive non sarà neanche visibile in Esplora File.

Conclusioni

Disabilitare le porte USB è una delle operazioni più semplici che l’amministratore di sistema può effettuare in pochi minuti ed con pochi semplici passaggi. Inoltre può scegliere il metodo migliore e più appropriato da applicare tra quelli appena descritti.

Di contro evitare di disabilitare le porte USB, espone a seri ed ingiustificati rischi di sicurezza non solo il computer nel quale si inseriscono le chiavette USB, ma può compromettere tutti i computer dell’azienda.

I computer aziendali sono ormai tutti (o quasi) collegati alla medesima rete.

La diffusione delle infezioni da malware nei computer aziendali, può fin troppo facilmente avvenire attraverso l’uso disinvolto degli USB drive; l’utente inconsapevole può introdurre chiavette USB infette che possono essere portatrici di gravi problemi di sicurezza.

Disabilitare le porte USB degli utenti, può essere un buon modo per mitigare i vettori di infezione.

Condividi