Como bloquear portas USB indesejadas no Linux com udev

O papel do udev no gerenciamento de hardware do Linux

Quando conectamos qualquer dispositivo a um computador com Linux, o núcleo do sistema precisa descobrir que equipamento é esse e como conversar com ele. Esse trabalho invisível e dinâmico nos bastidores é coordenado pelo subsistema udev, que atua como um gerente de recepção sempre atento às novidades. Toda vez que um pendrive, uma impressora ou um mouse é plugado na porta USB, o udev entra em ação para criar os arquivos de acesso rápido na pasta de dispositivos do sistema.

Na prática, isso significa que podemos interceptar esse momento exato de conexão para impor regras de comportamento. Queremos impedir que mouses genéricos ou pendrives desconhecidos funcionem em uma estação de trabalho sensível? O udev permite que examinemos a identidade de fábrica de cada peça e digamos um "não" automático caso o número de série ou o fabricante não estejam em uma lista branca de permissões.

Como descobrir as propriedades físicas do dispositivo USB

Antes de criar qualquer barreira, precisamos conhecer a identidade digital do equipamento que queremos bloquear ou liberar. Cada componente fabricado no mundo possui marcas registradas em seu hardware, conhecidas como ID do vendedor e ID do produto, além de um número de série único. Para pescar essas informações preciosas, usamos uma ferramenta nativa de inspeção chamada udevadm no terminal.

Ao plugar o pendrive indesejado e rodar o comando de rastreamento no terminal, o sistema revela toda a árvore de atributos daquele objeto eletrônico. É exatamente nessa etapa que se diferencia um equipamento legítimo de um intruso. Em muitos casos de manutenção de hardware, assim como investigamos lentidão em unidades NVMe pelo terminal para isolar gargalos, aqui buscamos strings específicas como idVendor e idProduct para alimentar nossa regra de segurança.

Escrevendo sua primeira regra personalizada de bloqueio

Com os números de identificação em mãos, o próximo passo é criar um arquivo de configuração dedicado dentro da pasta onde o sistema lê essas diretrizes. Essas regras seguem uma lógica condicional simples: se o dispositivo conectado corresponder a determinados critérios de fábrica, o sistema aplica uma ação específica, como alterar suas permissões de acesso para zero ou desativar o carregamento do driver correspondente.

Para colocar a mão na massa de forma estruturada, siga estas etapas no seu terminal com privilégios administrativos:

1. Abra o terminal e navegue até a pasta de regras personalizadas do sistema utilizando o comando

   cd /etc/udev/rules.d/

   para garantir que suas alterações fiquem isoladas e não sejam apagadas em futuras atualizações do núcleo.
2. Crie um arquivo de texto com extensão específica para regras usando um editor de texto, como o nano, digitando

   sudo nano 99-block-usb.rules

   para iniciar a edição do arquivo de bloqueio.
3. Insira a linha de comando correspondente ao filtro desejado, por exemplo,

   SUBSYSTEM=="usb", ATTRS{idVendor}=="1234", ATTRS{idProduct}=="5678", ATTR{authorized}="0"

   salvando o arquivo em seguida para que o núcleo passe a ignorar aquele hardware específico sempre que for conectado.

Testando e recarregando o subsistema de hardware

Depois que o arquivo de regras está salvo, o Linux não aplica as mudanças de forma mágica e imediata; é preciso avisar o sistema para ler tudo de novo. Fazemos isso solicitando que o gerenciador de hardware recarregue todas as regras ativas na memória. Esse processo é rápido e não exige a reinicialização completa da máquina, o que poupa tempo precioso em servidores ou estações de trabalho corporativas.

Na prática, o comando que atualiza essas diretrizes diz ao udev para reexaminar o barramento e aplicar as novas restrições instantaneamente. Assim que o comando de recarga é executado, se você plugar o pendrive bloqueado, o led dele pode até piscar indicando energia elétrica, mas o sistema operacional simplesmente fingirá que nada aconteceu, mantendo seus dados protegidos contra cópias não autorizadas.

Cuidados para não bloquear o seu próprio teclado ou mouse

O grande perigo de mexer em regras de baixo nível no sistema operacional é acabar gerando um tiro pela culatra, como trancar a porta da frente e esquecer a chave dentro de casa. Se você criar uma regra muito ampla que bloqueie todo o subsistema USB sem exceções, o seu teclado e o seu mouse USB vão parar de responder imediatamente, deixando você sem nenhuma forma de interagir com a interface gráfica ou o terminal para desfazer o erro.

Para evitar esse tipo de dor de cabeça operacional, sempre crie regras focadas em atributos específicos, como números de série ou combinações exatas de fabricante. Jamais aplique um bloqueio global na controladora inteira a menos que você tenha acesso remoto via rede configurado para salvar a situação caso algo dê errado. Testar a regra em um ambiente controlado ou manter uma sessão SSH aberta é uma precaução de segurança tão importante quanto testar um componente físico com multímetro antes de reinstalá-lo em um circuito crítico.

Considerações finais sobre segurança física no Linux

O bloqueio de portas USB via udev representa uma camada defensiva elegante, barata e extremamente eficaz para proteger computadores contra o uso de mídias não autorizadas. Embora não substitua a integridade física do gabinete ou o uso de travas mecânicas nas portas, essa estratégia baseada em software impede que curiosos copiem arquivos confidenciais ou insiram códigos maliciosos através de dispositivos plugados nas portas externas da máquina.

Compreender o funcionamento do subsistema de hardware do Linux nos dá o poder de transformar um sistema genérico em um ambiente rígido e controlado sob medida. Seja para proteger servidores em gabinetes compartilhados ou estações de atendimento, dominar essas regras básicas garante que o controle do hardware volte inteiramente para as mãos do administrador da máquina.