12.4. Bloquear y autorizar permanentemente un dispositivo USB

Procedimiento

1. Configure SELinux para permitir que el demonio usbguard escriba reglas.

   1. Muestra los booleanos de semanage relevantes para usbguard.

      # semanage boolean -l | grep usbguard
      usbguard_daemon_write_conf     (off  ,  off)  Allow usbguard to daemon write conf
      usbguard_daemon_write_rules    (on   ,   on)  Allow usbguard to daemon write rules

   2. Opcional: Si el booleano usbguard_daemon_write_rules está desactivado, actívelo.

      # semanage boolean -m --on usbguard_daemon_write_rules

2. Lista de dispositivos USB reconocidos por USBGuard:

   # usbguard list-devices
   1: allow id 1d6b:0002 serial "0000:00:06.7" name "EHCI Host Controller" hash "JDOb0BiktYs2ct3mSQKopnOOV2h9MGYADwhT+oUtF2s=" parent-hash "4PHGcaDKWtPjKDwYpIRG722cB9SlGz9l9Iea93+Gt9c=" via-port "usb1" with-interface 09:00:00
   ...
   6: block id 1b1c:1ab1 serial "000024937962" name "Voyager" hash "CrXgiaWIf2bZAU+5WkzOE7y0rdSO82XMzubn7HDb95Q=" parent-hash "JDOb0BiktYs2ct3mSQKopnOOV2h9MGYADwhT+oUtF2s=" via-port "1-3" with-interface 08:06:50

3. Autorizar permanentemente el dispositivo 6 para interactuar con el sistema:

   # usbguard allow-device 6 -p

4. Desautorizar permanentemente y eliminar el dispositivo 6:

   # usbguard reject-device 6 -p

5. Desautorizar permanentemente y retener el dispositivo 6:

   # usbguard block-device 6 -p

Verificación

1. Compruebe que las reglas de USBGuard incluyen los cambios realizados.

   # usbguard list-rules