Podstawy bezpieczeństwa drukarek

payload.pl 4 lat temu

Większość ludzi myśli o bezpieczeństwie IT przez pryzmat komputerów, serwerów, czy sprzętu sieciowego, jednak bardzo często ignoruje urządzenia takie jak drukarki czy skanery. Miało to sens 20 lat temu, gdy takie urządzenia były w pełni pasywne i jedynym ryzykiem była możliwość przypadkowego zostawienia wydrukowanej kartki w niewłaściwym miejscu. Dzisiaj jednak możliwości takiego sprzętu są zupełnie inne.

Pod koniec listopada 2018, 50 tysięcy drukarek z całego świata zaczęło nagle drukować dziwny manifest nawołujący do subskrybowania kanału PewDiePie w serwisie Youtube. Jak to możliwe? Otóż hacker o pseudonimie Giraffe chciał pokazać światu, jak bardzo kuleją zabezpieczenia drukarek. Znalazł w wyszukiwarce Shodan aż 800 tysięcy drukarek z otwartym dostępem z Internetu, po czym puścił wydruk na pierwsze 50 tysięcy z nich.

Co się zmieniło od tamtego czasu? Niewiele, co pokazuje ten news z końca sierpnia 2020, mówiący o przejęciu 28 tysięcy drukarek w ramach kolejnego eksperymentu. Można stwierdzić, iż wszystko to tylko eksperymenty, w ramach których nie zrobiono nikomu żadnej krzywdy, nie skradziono żadnych danych itd. I o tych eksperymentach wiemy. Ale jeżeli są z łatwością prowadzone na tak wielką skalę, to nasuwa się pytanie: o ilu nadużyciach związanych z drukarkami nie wiemy?

Główne zagrożenia dla drukarek

Konkretne podatności bardzo mocno się różnią pomiędzy poszczególnymi producentami, a choćby konkretnymi modelami drukarek. Generalnie jednak można mówić o pięciu klasach ataków:

Denial of Service - czyli wszelkiego rodzaju prymitywne ataki polegające na zadrukowaniu całego dostępnego papieru, tonera, tuszu, głowicy itp., ale też nieco bardziej zaawansowane ataki prowadzące do trwałego uszkodzenia sprzętu
Ominięcie systemów kontrolno-rozliczeniowych - i np. drukowanie całych książek na koszt np. pracodawcy, bez jego wiedzy i zgody
Dostęp do zawartości drukowanych plików - możliwość ich ściągnięcia z pamięci lub systemu plików, ale również możliwość wymuszenia ich ponownego wydrukowania i przechwycenia w postaci wydrukowanej
Dostęp do nazw zadań drukowania - metadane typu np. "Wypowiedzenie Jan Kowalski" też mogą mieć wymierną wartość (np. w celu wykrycia próby zwolnienia i odpowiednio wczesnego ulotnienia się z siedziby firmy)
Możliwość wykonania własnego kodu (na samej drukarce lub na komputerach z podatnym sterownikiem) - np. w celu podłożenia jakiegoś własnego systemu na przyszłość, np. na wypadek zwolnienia administratora, na wypadek wojny

Powyższe klasy ataków dotyczą stricte funkcji drukowania. Należy jednak pamiętać o tzw. urządzeniach wielofunkcyjnych, czyli drukarkach połączonych ze skanerem. W ich przypadku dochodzi kilka dodatkowych klas ataku:

Dostęp do zawartości zeskanowanych plików - tylko pozornie jest to ta sama klasa ataku co wyżej, ponieważ wbudowany w drukarkę skaner tak naprawdę jest całkowicie osobnym urządzeniem (wspólną z drukarką ma co najwyżej część mechaniki, elektronikę do obsługi USB/Ethernetu i zasilacz), z osobnymi sterownikami i najczęściej bardzo słabą lub żadną ochroną zeskanowanych plików
Możliwość wykonania własnego kodu - ponownie, z uwagi na całkowicie osobne sterowniki, jest to kolejne zagrożenie, o nieco odmiennej charakterystyce i najczęściej dotyczy bezpośrednio komputera ze sterownikami

Metody obrony

Przede wszystkim należy sobie uświadomić, iż specyfika ataków na drukarki jest dość nietypowa. Istnieją dwie grupy ataków:

dość prymitywne i najczęściej realizowane na chybił-trafił ataki z Internetu: badanie podatności poszczególnych modeli, różne eksperymenty, czasem próby kradzieży przypadkowych danych, aby potem próbować to zmonetyzować itp. - w przypadku drukarek i skanerów jest to jednak mniejszość
przeważającą większością są ataki wewnętrzne - realizowane nie tylko z poziomu sieci firmowej, ale wręcz przez osoby z wewnątrz firmy - a co za tym idzie, choćby najlepszy firewall nie wystarczy

Podstawowe metody obrony przed atakami to:

odcięcie dostępu na firewallu - przede wszystkim dostępu z Internetu, ale też z podsieci, które nie powinny używać drukarek (np. serwery, komputery do obsługi magazynu itp.) - zapobiegnie to większości ataków z zewnątrz, oraz podniesie poprzeczkę dla napastnika wewnętrznego
użycie protokołów drukowania innych niż RAW (np. IPP) i całkowite zablokowanie na firewallu portu TCP 9100
wyłączenie w panelu konfiguracyjnym drukarki wszystkich usług, których nie planuje się używać (np. dostępu FTP)
zabezpieczenie tego panelu konfiguracyjnego hasłem, najlepiej ograniczenie dostępu do niego na firewallu
unikanie drukarek ze znanymi poważnymi problemami z bezpieczeństwem (a mając taką drukarkę, przepięcie jej na zewnętrzny print serwer)
aktualizowanie sterowników na komputerach, oraz firmware samej drukarki (w miarę dostępności takich aktualizacji)
ograniczenie dostępu (np. do posiadaczy pracowniczej karty zbliżeniowej) i/lub monitoring wizyjny pomieszczeń z drukarkami
fizyczne odłączenie lub uszkodzenie portu USB w drukarkach, które z założenia mają pracować w trybie sieciowym (aby zapobiec wymuszeniu ponowienia ostatnich wydruków sieciowych z poziomu komunikacji USB)
wdrożenie systemu rozliczającego wydruki, oraz aktywacji zadań wydruku przez przyłożenie karty do czytnika (np. Brother Secure Print+)