Как защитить usb порты в linux?

А в чем проблема?

А кто пароль вводить будет?

Разблокировать можно или через файл с ключом на флешке (у меня так) или удаленно (по сети) после ребута, есть мануал про такой вариант, но сам не пробовал :)

Во-вторых, я конечно не читал спеки на USB и инфа не 100%, но очевидной связи между наличием питания на порту и способностью хаба или хост-контроллера детектить линк нет.

Есть очевидная связь. Сигнал на отключение питания подаёт именно хост-контроллер или чип хаба. Т.е. они(чипы) в курсе дел.

через файл с ключом на флешке

порты-то защищены :).

удаленно (по сети) после ребута

Знающий пароли круглосуточно бодрствующий раб как элемент ha-кластера? Ну, тоже вариант...

Есть очевидная связь.

Пока нет ссылок на конкретные куски спеки, где об этом написано, связи нет. Пока никто из нас спеку не прочитал не по диагонали, безопаснее предполагать (так то тема именно о безопасности), что питание порта на состояние линка не влияет.

И это в любом случае не отменяет пункт про мышеклаву, для которых порт должен оставаться активным.

так то тема именно о безопасности

Безопасность это комплексная хрень. Абсолютной она не бывает.
Задача защищающегося от взлома - создавать барьеры разной степени сложности. И чем больше, тем лучше.
Предложенное мной - это барьер, о который сломает зубы большая часть атакующих. Даже в том маловероятном случае, если вдруг окажется, что «питание порта на состояние линка не влияет».

И это в любом случае не отменяет пункт про мышеклаву, для которых порт должен оставаться активным.

Это решается железяками (не электронными, а металлическими). Я такие даже видел, ЕМНИП. Но и в этом случае можно разрезать кабель и прицепится к нему.

А вообще, погугли про взлом банкоматов с помощью сверления отверстия в его лицевой панели. Взломщики через это отверстие цепляются к USB-порту, который выведен на лицевую панель системного блока.
А вот к тем USB-портам, которые находятся прямо на материке(т.е. сзади) получить физический доступ им не удаётся.
Вот бывают такие варианты.

Это решается железяками (не электронными, а металлическими). Я такие даже видел, ЕМНИП. Но и в этом случае можно разрезать кабель и прицепится к нему.

Это решается авторизацией. И разрезание кабеля максимум даст атакующему возможность прикинуться точно тем же устройством, которое уже было подключено.

Эта авторизация - лишь один барьер, который тоже можно как-то сломать. Ведь в стеке USB овердохрена дыр. Впрочем, включать её тоже имеет смысл, но только как один из барьеров.