印表機網路泄密，解決起來是難題

不久前，世界各地不同地方的印表機突然不約而同地，在未接受列印命令時，「吐出」了由ASCⅡ碼組成的機器人圖案。事後，一名黑客承認，他已經成功入侵併控制了16萬台印表機，而列印出這些圖像，只是為了提醒大家對列印安全的關注。

印表機被攻擊後有什麼表現

1.拒絕列印

在對印表機進行DDoS攻擊時，由於印表機是單線程處理列印任務的，頻繁的數據攻擊會讓列印協議的通信忙碌，或者讓印表機執行死循環一直處於列印狀態中，印表機就無法接受新的列印任務，這樣合法用戶也就無法進行正常的列印。

2.列印指定內容

實際上，上面列舉的16萬台印表機被控制正是這種情況，黑客只要控制了印表機的通信埠，就可以發送列印數據，讓印表機列印出指定的內容。

被控制的印表機輸出的由ASCⅡ碼組成的機器人圖案

3. 獲取或篡改列印內容

在控制印表機後，攻擊者可以藉助列印語言的控制命令，在印表機上留存列印內容、捕獲或修改列印內容中的某個欄位。這樣不僅造成泄密，還可能造成列印內容與實際內容不符的情況。

4.獲取印表機硬碟上的數據

藉助列印語言的控制命令，攻擊者訪問印表機的內存或硬碟內的數據，而不少企業和單位還將一體機作為文印中心，存儲有郵箱地址、伺服器地址甚至密碼，在這種情況下，一旦印表機泄密，往往就意味著公司整個內網被攻陷。

5.自動上傳數據

一旦固件被惡意修改或是印表機廠家開啟後門，那麼印表機就可能根據控制者的意願處置數據，甚至將數據上傳到指定位置，由此造成的重大泄密也就無可避免了。

先天缺陷，印表機安全存BUG

實際上，在進入互聯網時代後，網路泄密一直是企業信息泄密的主要方式。對於計算機來說，即便是普通的用戶，也對計算機的安全有一定的防範意識，普遍會安裝使用一些安全軟體。

但印表機的信息安全卻很少被大家重視，不少網路印表機都處於「裸奔」之中，攻陷這些網路印表機可以說是易如反掌，就以前面說的16萬台印表機被攻陷的案例而言，其實黑客並沒有採用什麼高端的技術手段，只是使用簡單的埠掃描和控制，就攻陷了這麼多網路印表機。幸虧此次黑客還只是提醒警告，如果黑客採用惡意的盜取列印數據上傳方式的話，那將是嚴重的泄密事件。

印表機為什麼容易被入侵呢？這主要是因為網路印表機與計算機之間通信需要協議，而現在印表機使用最多的，主要是RAW、IPP和LPR等三種不同的協議，其中RAW協議是Windows系統使用最多的協議，LPR協議是為了與Unix 操作系統通信而開發，而IPP協議則多見於Linux 和Solaris系統使用。

在這些協議中，RAW協議訪問印表機的9100埠，IPP協議訪問631埠，而LPR協議訪問515埠。也就是說，知道了這些埠，只要黑客能進入網路，就可以輕鬆地對印表機及列印任務進行監聽。

而即便是內網列印，由於印表機大多採用最常用的PostScript和PJL（Print Job Language）語言，這是極為古老的語言，語言中的漏洞較多，這樣黑客在惡意網站中可以藉助印表機PostScript語言的輸出命令，將印表機數據發回內網用戶瀏覽器，而惡意網站端則模擬一套在TCP 9100埠運行的列印服務，這時內網的印表機數據就轉發到惡意網站一端——黑客就可以竊取到內網印表機的列印數據。

更糟糕的是，出於兼容性考慮，PostScript和PJL（Print Job Language）語言依靠升級來消除Bug的難度極高，這樣就很難禁止在內網使用時印表機的泄密。

利用TCP9100埠，可輕鬆掃描出十萬台各國的活動印表機

惡意更改，印表機固件成禍首

也許是因為最初的印表機僅能通過並口或USB介面工作，因此印表機的操作系統和列印語言不必進行許可權分級考慮，因此即便進入了網路時代，不少印表機依舊延續這樣的思路和做法。

而在網路時代，這樣的設計意味著只要黑客獲得了印表機的控制權，就獲得了印表機的最高許可權，可以任意更改印表機的固件，不僅可以讓印表機處於故障或報廢狀態，更可以通過添加命令等方式，讓印表機將列印任務發回規定的地址，從而造成嚴重的泄密。

為了應對這種情況，不少印表機廠家使用了識別碼方式來驗證固件的合法性，即在廠家發布的正式固件和驅動中，加入自有且未公開的代碼認證系統，以此來保證軟體包的合法性，一旦軟體中沒有正確的代碼，則禁止安裝或運行，並用初始固件進行恢復。

這樣的措施可以在很大程度上減少惡意的固件或軟體被安裝在印表機上。可一旦特徵碼泄露，或者未來有新的攻擊方式，這套驗證模式的努力就可能付之東流。由此可見，許可權分級管理可避免印表機底層控制系統暴露，對於列印安全的重要性不言而喻。

高端印表機使用固件特徵碼驗證方式來保證固件的可靠性

遠程固件刷新，方便的同時可能造成重大泄密

不得不防，廠商是否留有後門

大家都知道，如果廠家在印表機設計、製造和固件中預留後門的話，就可以輕鬆獲取印表機的列印數據，這樣的威脅對於普通企業和部門來說也許不太明顯，畢竟其數據含金量較低，印表機廠家或一些其他國家對獲取這些數據的興趣不大。

但對於涉及機密數據和敏感數據的單位，或者國家安全機關來說，卻絕不容許這樣的問題發生。尤其是現在印表機市場由國外企業把持時，印表機後門的存在和殺傷力更是不容小視。

在這種情況下，國產印表機儘管影響力還較小，產品線也不夠豐富，但由於採用了自有的列印核心和固件設計，在安全性上還是有更好的保障，這也是不少涉秘部門在採購印表機時，指定國產印表機的一大原因。

點評：印表機網路泄密，防範難度高

如何保證網路安全，可以說是困擾個人、公司，甚至是每個國家的難題。而長期被忽視的列印安全，更成為泄密的一大源頭。儘管理論上內外網物理隔離、使用高端智能型防火牆、加強埠掃描和管理等，都可以有效減少印表機的網路泄密。但無論從成本還是對人員的要求上來說，絕大多數公司是難以做到這一點的。

而印表機自身安全設計嚴重滯後，更嚴重影響了列印安全。這一方面固然有列印語言的原因，還由於列印埠的傳統設計難以滿足網路時代的要求。同時，也有印表機設計製造門檻較高，真正擁有核心技術與產品的廠家較少，印表機業內競爭不激烈，而有限的市場增量，更讓廠家不願意對整機的結構進行顛覆性創新，不少源於單機時代的設計使用在網路時代，就很容易在安全性上出現嚴重的問題。

小獅子最喜歡的雞腿 分割線

喜歡這篇文章嗎？立刻分享出去讓更多人知道吧！