Какие права назначить пользователю для управления USB в Linux

Управление правами доступа к USB в Linux

Управление USB-устройствами в Linux требует баланса между безопасностью и удобством. Существует несколько подходов, от простых до более безопасных и контролируемых.

Основные подходы и их назначение

1. Добавление пользователя в группу plugdev или usb

Это самый простой и распространенный способ для стандартных рабочих станций.

sudo usermod -aG plugdev,usb username

После этого пользователь получит доступ к большинству USB-устройств. Однако этот метод дает избыточные права — доступ ко ВСЕМ USB-устройствам, что может быть небезопасно в продакшен-средах.

2. Настройка правил udev (рекомендуемый способ для продакшена)

Udev — это система управления устройствами в Linux. Через файлы правил в /etc/udev/rules.d/ можно назначать детализированные права на конкретные устройства по их атрибутам (ID производителя, модели и т.д.).

Пример создания правила:

1. Определите атрибуты устройства:

# Подключите устройство и посмотрите его атрибуты
lsusb
# Или детальная информация
udevadm info -a -n /dev/ttyUSB0 | grep -E "ATTRS{idVendor}|ATTRS{idProduct}"

1. Создайте файл правила, например /etc/udev/rules.d/99-my-usb.rules:

# Формат: SUBSYSTEM=="usb", ATTRS{idVendor}=="xxxx", ATTRS{idProduct}=="yyyy", MODE="0666", GROUP="plugdev"
SUBSYSTEM=="usb", ATTRS{idVendor}=="1234", ATTRS{idProduct}=="5678", MODE="0660", GROUP="myusbgroup", OWNER="specificuser"

Преимущества этого подхода:

• Гранулярный контроль — права только на конкретные устройства
• Постоянство — правила применяются автоматически при подключении
• Безопасность — минимизация привилегий

3. Создание специализированной группы

Для контролируемого доступа в корпоративной среде:

# Создаем отдельную группу
sudo groupadd usbusers

# Назначаем права на USB-порты
sudo chmod 0660 /dev/ttyUSB*
sudo chgrp usbusers /dev/ttyUSB*

# Добавляем пользователя в группу
sudo usermod -aG usbusers username

Практические рекомендации по безопасности

Для DevOps/продакшен сред:

1. Никогда не используйте MODE="0666" (всем на чтение/запись) — это серьезная уязвимость.
2. Создавайте отдельные группы под конкретные типы устройств:

   serialusers    - для последовательных портов
   printernet     - для сетевых принтеров  
   storageadmins  - для внешних накопителей
   

3. Логируйте доступ через auditd:

   # В правило udev добавляем TAG+="audit"
   SUBSYSTEM=="usb", ATTRS{idVendor}=="1234", TAG+="audit"
   

Пример комплексного правила для продакшена:

# /etc/udev/rules.d/50-mycompany-usb.rules
# Разрешить доступ к конкретному программатору только группе 'firmwaredevs'
SUBSYSTEM=="tty", ATTRS{idVendor}=="0483", ATTRS{idProduct}=="374b", \
  MODE="0660", GROUP="firmwaredevs", SYMLINK+="programmer_%n"

# Разрешить доступ к сканерам штрих-кода группе 'warehouse'
SUBSYSTEM=="usb", ATTRS{idVendor}=="05e0", ATTRS{idProduct}=="1200", \
  MODE="0660", GROUP="warehouse", OWNER="root"

Альтернативные методы для особых случаев

ACL (Access Control Lists) для гибкого управления:

# Устанавливаем ACL для нескольких пользователей
sudo setfacl -m u:user1:rw, u:user2:r /dev/bus/usb/001/002

Polkit для desktop-окружений:

Создайте файл /etc/polkit-1/rules.d/50-usb.rules:

polkit.addRule(function(action, subject) {
  if (action.id == "org.freedesktop.udisks2.filesystem-mount-system" &&
      subject.isInGroup("storageadmins")) {
    return polkit.Result.YES;
  }
});

Резюме и лучшие практики

1. Для персонального использования: добавление в группу plugdev достаточно
2. Для корпоративных рабочих станций: создавайте специализированные группы
3. Для серверов и критичных систем: используйте udev rules с минимальными привилегиями
4. Всегда проверяйте применяемые правила:

   sudo udevadm test /sys/class/tty/ttyUSB0 2>/dev/null
   sudo udevadm control --reload-rules && sudo udevadm trigger
   

Правильная настройка прав USB — это не просто техническая задача, а важный элемент security-политики, предотвращающий несанкционированный доступ к периферийным устройствам и потенциальные атаки через USB.