Bezpečnost tiskáren: kancelářská tiskárna ukládá každý dokument a dá se hacknout

Kancelářská tiskárna stojí v rohu a tiše dělá svou práci. Tiskne, skenuje, kopíruje, faxuje. Nikoho nenapadne, že by mohla být bezpečnostním rizikem. Jenže multifunkční tiskárna je ve skutečnosti počítač s pevným diskem, síťovým připojením a firmwarem, který se aktualizuje jen zřídka. Ukládá kopie všeho, co zpracuje, dá se napadnout na dálku a na každou stránku tiskne neviditelné sledovací tečky.

Vaše tiskárna má pevný disk

Většina moderních kancelářských tiskáren a multifunkčních zařízení obsahuje interní pevný disk nebo SSD úložiště. Každý dokument, který vytisknete, naskenujete, zkopírujete nebo odfaxujete, se na tento disk uloží – často natrvalo.

Co se ukládá

• Tiskové úlohy – úplné kopie všech dokumentů odeslaných do tiskárny
• Naskenovaná data – každý naskenovaný dokument, včetně skenů odeslaných e-mailem
• Data z kopírování – dokumenty položené na skener ke kopírování
• Záznamy faxů – odeslané i přijaté faxy s úplným obsahem
• Přihlašovací údaje uživatelů – přihlašovací informace, pokud se tiskárna připojuje ke sdíleným síťovým složkám nebo e-mailovým serverům
• Síťová konfigurace – IP adresy, nastavení DNS, připojená zařízení

Při vyšetřování v roce 2019 nakoupila redakce CBS News použité tiskárny z výprodejů skladů a z jejich pevných disků obnovila desítky tisíc dokumentů – včetně zdravotních záznamů, policejních protokolů a daňových přiznání.

Tiskárny se dají hacknout

Tiskárny mají vlastní operační systém, připojují se k síti a často používají výchozí hesla, která nikdo nikdy nezmění. Patří mezi nejvíce přehlížené vektory útoku ve firemních i domácích sítích.

Běžné zranitelnosti tiskáren

Zranitelnost	Riziko
Výchozí administrátorská hesla	Plná kontrola nad nastavením tiskárny a uloženými daty
Zastaralý firmware	Známé exploity, které nikdo neopraví
Otevřené síťové porty	Přímý přístup z internetu (zejména port 9100)
Integrace LDAP/SMB	Přihlašovací údaje k síťovým prostředkům uložené v paměti tiskárny
Zachycení tiskových úloh	Útok typu man-in-the-middle zachytí dokumenty při přenosu
Zneužití USB portu	Fyzický přístup umožňuje přímé vytažení dat

Skutečné útoky

2017 – Stackoverflowin: Hacker zneužil otevřený port 9100 na více než 150 000 tiskárnách po celém světě a donutil je vytisknout ASCII art s varováním o bezpečnosti tiskáren.

2018 – PewDiePie Printer Hack: Další hacker zneužil stejnou zranitelnost a nechal vytisknout zprávy na více než 50 000 tiskárnách. Ukázal tak, že většina síťových tiskáren nemá prakticky žádné zabezpečení.

2020–2021 – PrintDemon a PrintNightmare: Kritické zranitelnosti ve službě Windows Print Spooler umožňovaly útočníkům spustit libovolný kód se systémovými oprávněními prostřednictvím tiskové služby.

Neviditelné sledovací tečky

Většina barevných laserových tiskáren vkládá na každou vytištěnou stránku téměř neviditelné žluté tečky. Tyto tečky kódují sériové číslo tiskárny a datum a čas tisku. Říká se jim Machine Identification Codes (MIC) neboli steganografie tiskáren.

Jak sledovací tečky fungují

• Vzor: drobné žluté tečky uspořádané do mřížky, opakované po celé stránce
• Velikost: průměr přibližně 0,1 mm – pouhým okem neviditelné
• Obsah: sériové číslo tiskárny, datum a čas tisku
• Viditelnost: lze je spatřit pod modrým světlem nebo při skenování ve vysokém rozlišení
• Účel: původně vyvinuty, aby pomohly orgánům činným v trestním řízení vysledovat padělané bankovky

Kdo tato data využívá

• Orgány činné v trestním řízení – NSA a FBI použily sledovací tečky k identifikaci informátorů. V roce 2017 byla Reality Winner označena za zdroj utajovaného dokumentu NSA mimo jiné díky sledovacím tečkám na vytištěných stránkách.
• Výrobci tiskáren – zakódované sériové číslo vede přímo ke kupujícímu
• Zpravodajské služby – řada vlád vede databáze identifikačních kódů tiskáren

Tiskárny, o kterých je známo, že tisknou sledovací tečky

EFF (Electronic Frontier Foundation) uchovává archivovaný, již neaktualizovaný seznam barevných tiskáren, které viditelné sledovací tečky tisknou nebo netisknou. Jsou v něm zastoupeni téměř všichni velcí výrobci: HP, Canon, Epson, Brother, Xerox, Lexmark, Samsung a Dell. EFF zároveň varuje, že prakticky všechny novější barevné laserové tiskárny pravděpodobně tisknou nějaký forenzní sledovací kód, takže chybějící značka na seznamu není důkazem, že tiskárna nesleduje.

Jak chránit svou tiskárnu

Zabezpečení sítě

1. Změňte výchozí hesla – to je vůbec nejdůležitější krok. Každá tiskárna má administrační rozhraní, obvykle dostupné v prohlížeči na její IP adrese
2. Aktualizujte firmware – kontrolujte aktualizace každé čtvrtletí. Většina tiskáren nebyla od instalace aktualizována
3. Oddělte tiskárny do samostatné VLAN – držte tiskárny v síťovém segmentu odděleném od citlivých systémů
4. Vypněte nepoužívané protokoly – vypněte FTP, Telnet, SNMP v1/v2 a všechny další protokoly, které nepoužíváte
5. Zavřete port 9100 – zablokujte na firewallu přístup k portu pro raw tisk zvenčí
6. Zapněte šifrování – místo nešifrovaného IPP používejte IPPS (šifrovaný tisk)

Ochrana dat

1. Zapněte šifrování disku – mnoho firemních tiskáren podporuje šifrování pevného disku
2. Nastavte automatické přepisování dat – nakonfigurujte tiskárnu tak, aby po každé úloze přepsala uložená data
3. Fyzicky zničte disky – při vyřazení tiskárny disk vyjměte a zničte
4. Vypněte skenování do e-mailu – pokud tyto funkce nepotřebujete, vypněte je, protože ukládají přihlašovací údaje
5. Používejte pull printing – dokumenty se vytisknou až po ověření uživatele přímo u zařízení

Zabezpečení dokumentů

• Pokud je to možné, citlivé dokumenty netiskněte – sdílejte je raději digitálně přes šifrované kanály
• Citlivé dokumenty tiskněte černobíle – sledovací tečky se objevují pouze na barevných laserových výtiscích
• Započítejte sledovací tečky do svého modelu hrozeb, pokud vám záleží na anonymitě dokumentů

Větší problém: sdílení dokumentů

Tiskárna je poslední zastávkou na cestě dokumentu. Důležitý je ale celý řetězec – od vytvoření přes sdílení a tisk až po likvidaci.

K většině úniků dat nedochází u tiskárny, ale při sdílení. Dokumenty odeslané jako přílohy e-mailů, sdílené přes chatovací aplikace nebo uložené v nechráněných cloudových složkách jsou ohroženy mnohem víc než vytištěné kopie.

Když potřebujete sdílet citlivé dokumenty nebo přístupové údaje k nim, používejte šifrované kanály. LOCK.PUB vám umožní vytvářet odkazy chráněné heslem; s Pro můžete nastavit, aby se po určité době přestaly otevírat, nebo aby se poznámka otevřela jen jednou. Místo abyste heslo ke sdílenému dokumentu posílali přes Messenger nebo iMessage – kde zůstane navždy v historii chatu – sdílejte ho pomocí jednorázového odkazu.

Při vyřazování tiskárny

Tiskárny na konci životnosti představují velké riziko úniku dat. Než tiskárnu prodáte, recyklujete nebo zlikvidujete:

1. Obnovení továrního nastavení nestačí – data lze stále obnovit
2. Použijte nástroj výrobce pro bezpečné vymazání dat, pokud je k dispozici
3. Vyjměte pevný disk a fyzicky ho zničte
4. Vymažte všechny uložené přihlašovací údaje, záznamy skenů a historii faxů
5. Odstraňte tiskárnu ze všech seznamů síťového přístupu a adresářových služeb

Závěr

Vaše tiskárna je počítač, který nikdo neaktualizuje, nikdo nemonitoruje a na který nikdo nemyslí. Ukládá vaše dokumenty, dá se napadnout na dálku a každou stránku označuje neviditelnými kódy, které ji identifikují.

Věnujte 15 minut zabezpečení tiskárny: změňte heslo, aktualizujte firmware, zapněte šifrování. A u citlivých dokumentů zvažte, zda je vůbec potřebujete tisknout. Digitální sdílení přes šifrované nástroje s omezenou platností odkazů, jako je LOCK.PUB, nezanechává žádnou fyzickou stopu ani uložené kopie na discích tiskáren.

Nejbezpečnější dokument je ten, který nikdy nebyl vytištěn.