不久前，世界各地的打印機(jī)在不接受打印命令時(shí)，突然“吐出”由ASCⅱⅱ代碼組成的機(jī)器人圖案。事后有黑客承認(rèn)自己成功入侵并控制了16萬(wàn)臺(tái)打印機(jī)，打印這些圖片只是為了提醒大家注意打印安全。

打印機(jī)被攻擊后做了什么

1.拒絕打印

當(dāng)對(duì)打印機(jī)進(jìn)行DDoS攻擊時(shí)，由于打印機(jī)在單線程中處理打印任務(wù)，頻繁的數(shù)據(jù)攻擊會(huì)使打印協(xié)議的通信繁忙，或者使打印機(jī)一直處于打印狀態(tài)，打印機(jī)無(wú)法接受新的打印任務(wù)，因此合法用戶無(wú)法正常打印。

2.打印指定的內(nèi)容

事實(shí)上，上面列出的160，000臺(tái)打印機(jī)受到控制時(shí)就是這種情況。黑客只要控制打印機(jī)的通訊端口，就可以發(fā)送打印數(shù)據(jù)，讓打印機(jī)打印指定的內(nèi)容。

受控打印機(jī)輸出的ASCⅱⅱ碼組成的機(jī)器人圖形

3.獲取或篡改打印內(nèi)容

在控制打印機(jī)之后，攻擊者可以將打印內(nèi)容保留在打印機(jī)上，通過(guò)打印語(yǔ)言的控制命令捕獲或修改打印內(nèi)容中的某個(gè)字段。這不僅會(huì)導(dǎo)致泄漏，還會(huì)導(dǎo)致打印內(nèi)容和實(shí)際內(nèi)容之間的差異。

4.獲取打印機(jī)硬盤上的數(shù)據(jù)

攻擊者借助打印語(yǔ)言的控制命令，訪問(wèn)打印機(jī)內(nèi)存或硬盤中的數(shù)據(jù)，很多企業(yè)和單位也使用一體機(jī)作為打印中心，存儲(chǔ)郵箱地址、服務(wù)器地址甚至密碼。這種情況下，一旦打印機(jī)泄露，往往意味著公司整個(gè)內(nèi)網(wǎng)都被攻陷了。

5.自動(dòng)上傳數(shù)據(jù)

一旦固件被惡意修改或打印機(jī)廠商打開后門，打印機(jī)可能會(huì)按照控制器的意愿處理數(shù)據(jù)，甚至?xí)?shù)據(jù)上傳到指定位置，不可避免地導(dǎo)致重大泄漏。

先天缺陷，打印機(jī)安全漏洞

事實(shí)上，進(jìn)入互聯(lián)網(wǎng)時(shí)代后，網(wǎng)絡(luò)泄漏已經(jīng)成為企業(yè)信息泄漏的主要方式。對(duì)于計(jì)算機(jī)，即使是普通用戶也有一定的計(jì)算機(jī)安全意識(shí)，一般會(huì)安裝使用一些安全軟件。

但是打印機(jī)的信息安全很少被大家關(guān)注，很多網(wǎng)絡(luò)打印機(jī)都在“裸奔”的過(guò)程中?？梢哉f(shuō)捕捉這些網(wǎng)絡(luò)打印機(jī)很容易。就上述16萬(wàn)臺(tái)打印機(jī)被捕獲的案例而言，其實(shí)黑客并沒(méi)有采取什么高端的技術(shù)手段，只是用簡(jiǎn)單的端口掃描和控制，就捕獲了這么多的網(wǎng)絡(luò)打印機(jī)。幸運(yùn)的是，黑客只是警告說(shuō)，如果黑客使用竊取和上傳打印數(shù)據(jù)的惡意方法，這將是一個(gè)嚴(yán)重的漏洞。

為什么打印機(jī)容易受到入侵？這主要是因?yàn)榫W(wǎng)絡(luò)打印機(jī)和計(jì)算機(jī)之間的通信需要協(xié)議，現(xiàn)在使用最廣泛的打印機(jī)是RAW、IPP和LPR，其中RAW是Windows系統(tǒng)中使用最廣泛的協(xié)議，LPR是為與Unix操作系統(tǒng)通信而開發(fā)的，IPP更常用于Linux和Solaris系統(tǒng)。

在這些協(xié)議中，原始協(xié)議訪問(wèn)端口9100，IPP協(xié)議訪問(wèn)端口631，LPR協(xié)議訪問(wèn)端口515。也就是說(shuō)，知道了這些端口，黑客只要能進(jìn)入網(wǎng)絡(luò)，就能輕松監(jiān)控打印機(jī)和打印任務(wù)。

即使對(duì)于內(nèi)部網(wǎng)打印，由于打印機(jī)大多使用最常用的Post和PJL(Print Job Language)語(yǔ)言，這是非常古老的語(yǔ)言，這些語(yǔ)言中存在許多漏洞，因此黑客可以通過(guò)惡意網(wǎng)站中打印機(jī)Post語(yǔ)言的輸出命令將打印機(jī)數(shù)據(jù)發(fā)送回內(nèi)部網(wǎng)用戶的瀏覽器，而惡意網(wǎng)站模擬一組運(yùn)行在TCP 9100端口上的打印服務(wù)，然后將內(nèi)部網(wǎng)的打印機(jī)數(shù)據(jù)轉(zhuǎn)發(fā)給惡意網(wǎng)站——黑客可以竊取內(nèi)部網(wǎng)打印機(jī)的打印數(shù)據(jù)。

更糟糕的是，出于兼容性原因，郵政和PJL(打印作業(yè)語(yǔ)言)語(yǔ)言很難通過(guò)升級(jí)來(lái)消除錯(cuò)誤，因此很難禁止在內(nèi)部網(wǎng)中使用打印機(jī)時(shí)泄露打印機(jī)。

使用TCP9100端口，您可以輕松掃描出不同國(guó)家的100，000臺(tái)活動(dòng)打印機(jī)

惡意更改，打印機(jī)固件是罪魁禍?zhǔn)?/p>

也許是因?yàn)樵蛴C(jī)只能通過(guò)并口或USB接口工作，所以權(quán)限分類不需要考慮打印機(jī)的操作系統(tǒng)和打印語(yǔ)言。因此，即使進(jìn)入網(wǎng)絡(luò)時(shí)代后，許多打印機(jī)仍在繼續(xù)這種想法和實(shí)踐。

在網(wǎng)絡(luò)時(shí)代，這種設(shè)計(jì)意味著黑客只要獲得了打印機(jī)的控制權(quán)，就獲得了打印機(jī)的最高權(quán)限，可以隨意更改打印機(jī)的固件，不僅可以使打印機(jī)處于故障或報(bào)廢狀態(tài)，還可以通過(guò)添加命令讓打印機(jī)將打印任務(wù)發(fā)回指定地址，從而造成嚴(yán)重的漏洞。

為了應(yīng)對(duì)這種情況，很多打印機(jī)廠商使用標(biāo)識(shí)碼來(lái)驗(yàn)證固件的有效性，即在廠商發(fā)布的官方固件和驅(qū)動(dòng)中加入自己的未公開的代碼認(rèn)證系統(tǒng)，以保證軟件包的合法性。一旦軟件中沒(méi)有正確的代碼，禁止安裝或運(yùn)行，使用初始固件進(jìn)行恢復(fù)。

這種措施可以大大減少惡意固件或軟件在打印機(jī)上的安裝。然而，一旦簽名被泄露或未來(lái)出現(xiàn)新的攻擊模式，這種驗(yàn)證模式的努力可能會(huì)付諸東流。可見分級(jí)權(quán)限管理可以避免打印機(jī)底層控制系統(tǒng)的暴露，對(duì)于打印安全的重要性不言而喻。

高端打印機(jī)使用固件簽名驗(yàn)證來(lái)確保固件的可靠性

遠(yuǎn)程固件更新很方便，同時(shí)可能導(dǎo)致重大泄漏

我不得不提防制造商是否有后門

眾所周知，如果廠商在打印機(jī)設(shè)計(jì)、制造、固件等方面預(yù)留后門，就可以輕松獲取打印機(jī)的打印數(shù)據(jù)。這種威脅對(duì)于普通企業(yè)和部門來(lái)說(shuō)可能并不明顯。畢竟數(shù)據(jù)含金量低，打印機(jī)廠商或者其他一些國(guó)家對(duì)獲取這些數(shù)據(jù)不感興趣。

但是，對(duì)于涉及機(jī)密數(shù)據(jù)和敏感數(shù)據(jù)的單位，或者國(guó)家安全機(jī)關(guān)，這種問(wèn)題永遠(yuǎn)不會(huì)允許發(fā)生。尤其是在打印機(jī)市場(chǎng)被外資企業(yè)主導(dǎo)的情況下，打印機(jī)后門的存在和殺傷力是不可低估的。

在這種情況下，雖然國(guó)產(chǎn)打印機(jī)的影響力還很小，產(chǎn)品線還不夠豐富，但由于采用了自己的打印核心和固件設(shè)計(jì)，所以仍然具有更好的安全性，這也是很多保密部門在采購(gòu)打印機(jī)時(shí)指定國(guó)產(chǎn)打印機(jī)的一個(gè)主要原因。

備注:打印機(jī)網(wǎng)絡(luò)泄漏，很難防止

如何保證網(wǎng)絡(luò)安全，可以說(shuō)是困擾個(gè)人、公司乃至每個(gè)國(guó)家的難題。長(zhǎng)期被忽視的印刷安全，已經(jīng)成為泄密的主要來(lái)源。理論上，內(nèi)外網(wǎng)物理隔離，使用高端智能防火墻，加強(qiáng)端口掃描和管理，可以有效減少打印機(jī)的網(wǎng)絡(luò)泄漏。然而，從成本和人員要求來(lái)看，大多數(shù)公司很難做到這一點(diǎn)。

然而，打印機(jī)自身的安全設(shè)計(jì)嚴(yán)重滯后，嚴(yán)重影響了打印的安全性。一方面，有印刷語(yǔ)言的原因，也是因?yàn)閭鹘y(tǒng)的印刷端口設(shè)計(jì)難以滿足網(wǎng)絡(luò)時(shí)代的要求。同時(shí)，一些打印機(jī)的設(shè)計(jì)制造門檻更高，真正擁有核心技術(shù)和產(chǎn)品的廠商更少。打印機(jī)行業(yè)競(jìng)爭(zhēng)并不激烈，有限的市場(chǎng)增量讓廠商不愿意對(duì)整機(jī)的結(jié)構(gòu)進(jìn)行顛覆性的創(chuàng)新。很多起源于單機(jī)時(shí)代的設(shè)計(jì)都用在了網(wǎng)絡(luò)時(shí)代，很容易出現(xiàn)嚴(yán)重的安全問(wèn)題。