Megosztás

A nyomtató mint figyelmen kívül hagyott biztonsági kockázat

Megosztás

Képzelje el azt a céget, ahol a biztonságot komolyan veszik. A számítógépek maguktól frissülnek, a szervereket monitoring felügyeli, a jelszóhasználatot szabályzat kényszeríti ki. A folyosó sarkában azonban áll egy multifunkciós nyomtató, amely ott van azóta, hogy a cég beköltözött. A gyári szoftverrel fut, a beállításokhoz az „admin" jelszóval jut be, és ez idő alatt senki nem indította újra, pláne nem ellenőrizte. Ez senkinek nem tűnik furcsának. Hiszen „csak egy nyomtató".

Csakhogy nem az. Teljes értékű számítógép: saját operációs rendszerrel, processzorral, memóriával, hálózati kapcsolattal és adattároló lemezzel. Pontosan azt csinálja, amit egy számítógéptől várnánk, beleértve olyan dolgokat is, amelyeket nem várunk tőle. Az egyetlen különbség az, hogy senki nem tekinti számítógépnek és éppen ezért évekig elkerüli a figyelmet, miközben mindent mást gondosan védenek.

Megvizsgáltuk, hogy pontosan hol rejlik a kockázat, és hogyan csökkenthető drasztikusan, legtöbbször ingyen, rövid idő alatt.

Miért valódi célpont a nyomtató?

Egy hálózati nyomtató burka alatt egy kis szerver fut. Saját operációs rendszere, hálózati felszereltsége és webes felülete van, amelyen keresztül beállítható. Ez a felület elvből bárki számára elérhető, aki bejut a hálózatba. A támadó számára nem periféria, hanem egy újabb eszköz, saját IP-címmel és nyitott kapukkal.

Javasoljuk

Multifunkciós készüléknél a támadási felület tovább bővül. Ugyanaz a doboz egyszerre szkenner, sokszor fax is vagyis telefonvonal-kapcsolat és adattároló is. Egyetlen pontban egyesíti az adathálózatot, a telefonvonalat és a belső lemezt, amelyet általában senki sem tekint érzékenynek.

Aztán ott van az a mód, ahogy a nyomtató létezik. Folyamatosan üzemel, senki nem kapcsolja ki, nem indítja újra, és senki nem figyeli az „egészségét", ellentétben egy szerverrel, ahol valaki azonnal észrevenné a kiesést vagy a furcsa viselkedést. A számítógépeket védő átlagos vírusvédelem vagy aktivitásfigyelő eszköz nem telepíthető rá, ezért sokszor teljesen a felügyelet hatókörén kívül áll. A legtöbb cégnél ráadásul hiányzik a felügyelt eszközök listájáról is  formálisan mintha nem is létezne. Az eredmény? Egy eszköz, amely tartósan be van kapcsolva, tartósan csatlakoztatva van, és tartósan láthatatlan.

A támadási felület rétegről rétegre

Ha biztonsági szempontból nézzük a nyomtatót, a kockázat több egymástól különböző rétegből épül fel. Egyik sem különleges a probléma az, hogy egymásra rakódnak.

Bejelentkezés. A leggyakoribb belépési pont egyben a legkézenfekvőbb: a gyári jelszó, amelyet senki nem változtatott meg, vagy egyáltalán nincs jelszó. Aki eljut a felügyeleti felületre, tetszése szerint konfigurálhatja az eszközt.

Nyitott protokollok és portok. A nyomtató egyszerre több „nyelven" is kommunikál. A 9100-as port (az ún. raw nyomtatás, más néven JetDirect) közvetlenül fogadja a nyomtatási adatokat, hitelesítés és titkosítás nélkül. Ehhez jönnek a többi nyomtatási protokoll (IPP, LPD), az eszközkezelési protokoll (SNMP), amelyen sokszor a közismert „public" jelszóval lehet belépni –, és néha a régen elavult Telnet, FTP vagy a régi SMB. Minden nyitott és használatlan port egy őrizetlen ajtó.

Frissítetlen szoftver. A nyomtatók többnyire nem rendelkeznek frissítési ciklussal. Míg a számítógépeknél a rendszeres foltok telepítése magától értetődő, a nyomtató firmware-je évekig olyan marad, amilyen a gyárból kijött beleértve azokat a hibákat is, amelyeket a gyártó időközben nyilvánosan leírt és javított.

Tárolt adatok. A készülék belső lemeze vagy memóriája nyomtatási, szkennelési és faxfeladatokat tárol. A régen kinyomtatott dokumentumok fizikailag is megmaradhatnak az eszközön.

Titkosítatlan átvitel. Ha a nyomtatás titkosítás nélkül történik (jellemzően a 9100-as porton), a hálózaton közlekedő feladat lehallgatható. Az érzékeny dokumentum így olvasható formában utazik.

Tárolt bejelentkezési adatok. Az olyan funkciók, mint az e-mailbe szkennelés vagy a vállalati címjegyzékhez való kapcsolódás, megkövetelik, hogy a nyomtató más szolgáltatások jelszavait megjegyezze. Egyes készülékek ezeket kiolvasható formában tárolják a támadó így olyan rendszerekhez szerez hozzáférést, amelyek közvetlenül nem függenek össze a nyomtatóval.

Ugródeszka. És itt áll össze az egész. A nyomtató a hálózatban ül a többi eszköz mellett. Ha valaki átveszi az irányítást felette, nem célpont többé – ugródeszkává válik, egy belső pont a hálózatban, ahonnan továbbléphet oda, ami igazán érdekli.

Kitettség az interneten. A legrosszabb forgatókönyv: a nyomtató (vagy a felhőalapú felügyelete) közvetlenül elérhető az internetről. Ilyenkor a támadónak nem kell előbb betörnie a hálózatba a készüléket a világ bármely pontjáról meg lehet találni és elérni.

Ez nem elmélet

Mindez nem hipotetikus. A nyomtatók elleni támadások dokumentáltak, ismétlődők és jól leírtak.

Létezik például a PRET nevű, szabadon elérhető kutatóeszköz, amelyet a németországi Ruhr University Bochumon fejlesztettek ki. Szerzői különböző gyártók több tíz nyomtatóján tesztelték, és azt találták, hogy mindegyik sebezhető legalább az egyik vizsgált támadással szemben. Az eszköz egyszerű meghibásításoktól egészen a nyomtatási feladatok és rendszerfájlok olvasásáig képes mindenre. Hozzá tud férni a nyomtatón lévő fájlokhoz, képes manipulálni a feladatokat, sőt a készüléket meg is rongálhatja.

Vajon hány nyomtató áll tárva-nyitva? Erre a Shodan adja meg a választ, egy kereső, amely az internetre csatlakoztatott eszközöket térképezi fel. 2017 februárjában több mint 48 000 nyomtatóeszköz volt közvetlenül elérhető az internetről a 9100-as porton. Az ilyen listákból rendszeresen tömeges incidensek születtek: 2016-ban ezrek hálózati nyomtatói, főként amerikai egyetemeken, spontán gyűlöletkeltő szórólapokat kezdtek nyomtatni, és hasonló kampányok azóta többször megismétlődtek. Mindig ugyanazon recept szerint: nyitott portú nyomtatók, bármiféle védelem nélkül.

A legújabb és talán legbeszédesebb példa 2025-ből való. A Rapid7 biztonsági cég nyolc sebezhetőséget tett közzé, amelyek öt gyártó 748 modelljét érintik – a Brother mellett Fujifilm, Ricoh, Toshiba és Konica Minolta készülékeket is. A legsúlyosabb (CVE-2024-51978 azonosítóval, 9,8/10 kritikus pontszámmal) lehetővé teszi a támadónak, hogy távolról generálja a gyári adminisztrátori jelszót: ez ugyanis a sorozatszámból vezethető le, amelyet szintén távolról ki lehet deríteni. Mivel a jelszót már a gyártáskor beállítják, pusztán a szoftverfrissítés nem oldja meg teljesen a problémát az egyetlen megbízható védekezés a jelszó megváltoztatása. Milliónyi eszköz érintett, bár a kutatók szerint egyelőre nincs aktív kihasználásra utaló jel, és a gyártó kiadta a javításokat.

Más szóval: még ha teljesen naprakész is a firmware-je, amíg nem változtatja meg a gyári jelszót, a kockázat egy része megmarad. Ami elvezet minket ahhoz, hogy mit lehet ténylegesen tenni ellene.

 

Illusztráció: AI-generated

A lényeg: 30 perces ellenőrzőlista

Az alábbi lista a ráfordított időre vetített biztonsági haszon sorrendjében van rendezve – a néhány perc alatt elvégezhető, legnagyobb kockázatot elhárító lépésektől egészen a finomhangolásig. A legtöbb elvégezhető a nyomtató webes felületén, és nem kerül pénzbe. Ha kevés az ideje, az első három pontra összpontosítson azok a lényeg.

  • Változtassa meg a gyári adminisztrátori jelszót. Egyértelműen a legfontosabb lépés, és egyben a leggyorsabb is. Ezzel zárja be a leggyakrabban kihasznált ajtót és ahogy a 2025-ös eset megmutatta, néha ez az egyetlen védelem, amely tényleg beválik.
  • Kapcsolja ki a nem használt protokollokat és portokat. Telnet-re és FTP-re szinte soha nincs szükség. A 9100-as porton futó raw nyomtatást kapcsolja ki, ha tudja biztonságosabb alternatívával helyettesíteni. A szabály egyszerű: amit nem használ, kapcsolja ki.
  • Frissítse a firmware-t. Telepítse a gyártó legújabb verzióját, és ha a készülék lehetővé teszi, kapcsolja be az automatikus frissítéseket. Ezzel lezárja az ismert és nyilvánosan leírt sebezhetőségeket.
  • Ellenőrizze, hogy a nyomtató nem érhető-e el az internetről. Keresse meg a nyilvános IP-címét, és nézze meg, nem tárult-e ki a külvilág felé. Segíthet, ha ezt a címet megkeresi az említett Shodanban. A nyomtató nem való a nyilvános internetre ha ott van, ez az első számú prioritása.
  • Kapcsolja be a titkosítást. A beállításokhoz HTTPS-en keresztül érjen el, ne nem biztonságos HTTP-n, és ahol a készülék támogatja, használjon titkosított nyomtatást (IPPS). Ezzel lehallgathatatlanná teszi a bejelentkezést és a nyomtatási feladatokat.
  • Rendezze az SNMP kérdését. Ha nincs rá szüksége, kapcsolja ki. Ha igen, cserélje le az alapértelmezett „public" jelszót sajátra. Különben az eszköz adatait bárki lekérdezheti, aki érdeklődik.
  • Helyezze a nyomtatókat saját hálózati szegmensbe (VLAN). Ezzel korlátozza, hogy egy esetlegesen átvett nyomtatóból meddig lehet eljutni. Némileg összetettebb feladat, és hálózati beavatkozást igényel, de jelentősen csökkenti a károkat a legrosszabb esetben.
  • Ellenőrizze a tárolt bejelentkezési adatokat. Nézze át az e-mailbe szkennelés és a címjegyzék-csatlakozás beállításait. A lényeg: ellenőrizze, hogy az eszköz más szolgáltatások jelszavait nem tárolja-e olvasható formában – ha igen, forduljon a gyártóhoz, vagy korlátozza a funkciót.
  • Kapcsolja be a tárolt feladatok törlését és a lemeztitkosítást. Ha a modellje lehetővé teszi, állítsa be a befejezett feladatok automatikus törlését és a belső lemez titkosítását. Így megszabadul az ott feleslegesen tárolt adatoktól.
  • Kapcsolja ki a felesleges felhőalapú funkciókat. A távelérést és a felhőszolgáltatásokat ott kapcsolja ki, ahol valóban nem használja őket. Minden bekapcsolt funkció újabb felület, amelyet felügyelni kell.

Az egész lista végigvételéhez egyetlen nyomtatón nagyjából fél óra kell. A kockázat legnagyobb részét már az első négy pont lefedi.

Nagyobb környezetek: ha nem öt, hanem ötven nyomtató van

Ha tucatnyi eszközt felügyel, az ellenőrzőlista kézi végigvétele hosszú távon nem tartható és ahol egy egyszeri akció nem elegendő, ott rendszerre van szükség. A nyomtatóknak ugyanúgy benne kell lenniük a felügyelt eszközök listájában és a monitorozásban, mint a számítógépeknek és szervereknek; ami nincs nyilvántartva, azt nem frissítik és nem felügyelik. A firmware-t érdemes központilag kezelni, nem eszközről eszközre.

Külön téma a biztonságos nyomtatás (pull printing), amelynek lényege, hogy a dokumentum csak akkor kerül nyomtatásra, amikor az eszköznél azonosítja magát. Addig a feladat „vár", és nem hever a tálcán, ahol bárki elolvashatná. Ez egyszerre oldja meg a biztonságot és az érzékeny dokumentumok diszkréciójának kérdését. Ezt a területet külön fogjuk részletesen tárgyalni; itt elég annyit tudni, hogy nagyobb eszközszám esetén az improvizáció nem kifizetődő, és érdemes a nyomtatókat a szokásos biztonsági folyamatokba integrálni.

Az élettartam vége adatszivárgással egyenlő

Szinte mindig figyelmen kívül marad egy pillanat: mi történik a nyomtatóval, amikor lejár a szolgálati ideje. Selejtezéskor, eladáskor vagy lízingvisszaadáskor a belső lemezzel együtt megy és azon lehetnek azok a dokumentumok, amelyek átmentek rajta. Számlák, szerződések, személyes adatok. Az a nyomtató, amely évekig bizalmas anyagokat nyomtatott, kilépéskor ugyanolyan kockázatot jelent, mint egy kidobott számítógép csak senki nem veszi észre.

A megoldás egyszerű: az eszköz átadása előtt törölje biztonságosan a lemezt a gyártó erre szolgáló funkciójával, vagy vegye ki fizikailag, és semmisítse meg. Bérelt eszközöknél rögzítse az adatkezelés módját közvetlenül a szerződésben. Néhány perc munka, amely meghatározza, hogy a dokumentumai nem az idős nyomtatóval együtt kerülnek-e egy idegen kezébe.

Összefoglalás

A nyomtatók biztonságában van valami szokatlan: a haszon és a ráfordítás aránya rendkívül kedvező. A lépések többsége ingyenes vagy olcsó. A nyomtató webes felületén végezhető el, perceket vesz igénybe, mégis azokat az ajtókat zárja be, amelyeken keresztül ténylegesen támadnak. Ez nem drága technológiába való befektetés, hanem fél óra figyelem, amelyet egy olyan eszköz kap meg, amelyet eddig nem kapott.

A kockázat nem kitalált. A nyomtatókat gyártótól függetlenül régóta és rendszeresen szkennelnek, átveszik az irányítást felettük, és ugródeszkának használják. Az első lépés teljesen konkrét: válasszon ma ki egy nyomtatót, nyissa meg a beállításait, és vegye végig az ellenőrzőlista első három pontját. Jelszócsere, a felesleges protokollok kikapcsolása, frissítés. Tíz perc, és a kockázat nagy részétől megszabadul.


Kis fogalomtár

PRET (Printer Exploitation Toolkit) – szabadon elérhető kutatóeszköz, amelyet egy német egyetemen fejlesztettek ki nyomtatók biztonságának tesztelésére. Csatlakozik az eszközhöz, és megvizsgálja, hogy a gyengeségein keresztül el lehet-e jutni az adatokhoz, vagy át lehet-e venni az irányítást. Eredetileg kutatóeszköz, de egy támadó számára is éppúgy használható.

Shodan – olyan kereső, amely weboldalak helyett az internetre csatlakoztatott eszközöket – kamerákat, routereket, nyomtatókat – kutat fel. Segítségével megtalálható például az összes nyílt porttal rendelkező, internetről elérhető nyomtató; ezért kedvelt eszköze biztonsági kutatóknak és támadóknak egyaránt.

9100-as port (raw nyomtatás / JetDirect) – a nyomtató „bejárata", amelyen keresztül jelszó és titkosítás nélkül fogadja a nyomtatási adatokat közvetlenül. Nyomtatáshoz praktikus, de ha kívülről elérhető, bárki küldhet rajta keresztül bármit a nyomtatóra.

Firmware – közvetlenül az eszközbe épített szoftver, amely vezérli azt (a számítógép operációs rendszerének megfelelője). Mint minden más szoftver, frissítéseket igényel, amelyek javítják a felfedezett hibákat.

SNMP – hálózati eszközök távoli kezeléséhez és felügyeletéhez használt protokoll. A probléma általában az, hogy sokszor be van kapcsolva a közismert „public" gyári jelszóval – vagyis olyan hozzáféréssel, amelyet mindenki ismer.

VLAN – módszer arra, hogy egyetlen fizikai hálózatot több elkülönített részre osszanak fel. A nyomtatók saját VLAN-ba helyezése azt jelenti, hogy egy átvett nyomtatóból a támadó nem jut el közvetlenül a hálózat többi részéhez.

CVE – az egyes biztonsági sebezhetőségek jelölésére szolgáló világméretű rendszer. Minden sebezhetőség egyedi kódot (pl. CVE-2024-51978) és 0-tól 10-ig terjedő súlyossági pontszámot kap, hogy egyértelműen lehessen azonosítani és követni a javítást.

Pull printing (biztonságos nyomtatás) – olyan üzemmód, amelyben a dokumentum csak akkor kerül kinyomtatásra, miután az eszköznél azonosítja magát (kártyával vagy kóddal). Addig a feladat nem hever kinyomtatva a tálcán, ahonnan bárki elolvashatná vagy elviheti.

Blog További érdekes cikkek
Az Ön kosara
Üres a kosár
TonerDepot.hu – Tonerek, tintapatronok és patronok raktárról
Bejelentkezés
Nincs fiókja? Regisztráljon most
Menü