TISK JAKO BEZPEČNOSTNÍ RIZIKO: PROČ SMB FIRMY PODCEŇUJÍ TISKÁRNY

MICHALA BENEŠOVSKÁ

Tiskárny jsou nedílnou součástí každého kancelářského provozu. Často je vnímáme jako „neškodné“ stroje, které mají jasný účel, a máme tendenci přehlížet, že pokud nejsou správně nakonfigurované a spravované, mohou představovat bezpečnostní riziko.

V březnu se objevil zajímavý výzkum od společnosti HP, který ukazuje na jeden velký paradox v malých a středních firmách. I když se v nich tiskne dnes a denně, na bezpečnost tiskáren nikdo moc nemyslí. Podle studie to tak vidí 57 % firem – pro které je zabezpečení tiskáren zkrátka nízká priorita. Přitom 56 % z nich za poslední rok zažilo únik dat, který s tiskem nějak souvisel.

A aby toho nebylo málo, firmám často chybí přehled. Skoro polovina z nich moc dobře neví, kdo, co a kde vlastně tiskne. To je jasný signál, že nad tiskem nemají kontrolu.

Podceňovat tiskové prostředí je o to větší chyba, že dnešní tiskárny a multifunkce už dávno nejsou jen „hloupá“ zařízení, co zabírají místo na stole, ale reálně se bez nich nedá v kanceláři existovat. Americký institut NIST je klasifikuje jako „replikační zařízení“ – tedy stroje, které nejen tisknou, ale i kopírují a skenují, a k tomu všemu jsou plně připojené do sítě.

V praxi to znamená, že na nich běží normální operační systémy, mají vlastní disky, webové rozhraní pro správu a fungují jako malý server. Z pohledu IT je taková tiskárna vlastně kombinací počítače, serveru a úložiště v jednom.

A tomu odpovídají i bezpečnostní rizika. Zranitelnosti, které výrobci pravidelně hlásí, ukazují, že útoky se zdaleka netýkají jen samotné tiskárny. Ohrožená je celá infrastruktura: od firmwaru přes síťové protokoly až po ovladače na počítačích, tiskové servery nebo napojení na e-mail a další cloudové služby.

Příležitost pro resellery a poskytovatele IT služeb

A právě tady se otevírá obrovská příležitost pro IT partnery. Analytici ze společnosti Quocirca říkají, že nejistota firem ohledně bezpečnosti tisku přímo nahrává specializovaným službám. Pro resellery a správce IT to znamená jediné: konečně je příležitost přestat se se zákazníky bavit jen o ceně železa a začít řešit bezpečnost, správu, monitoring a přehled o tom, co se v tiskovém prostředí vlastně děje.

Proč tisk tak často stojí mimo hlavní zájem?

V menších a středních firmách se obvykle sejde hned několik důvodů: přetížené IT oddělení, které má na starosti všechno, tlak na co nejjednodušší řešení, dlouhá životnost tiskáren, a hlavně zaměření na „viditelnější“ hrozby, jako je phishing nebo ransomware.

Výsledkem je klasické heslo: „dokud to funguje, tak na to nesahej.“ Tiskárny si tak často jedou roky bez povšimnutí, ale to jen do chvíle, než nastane problém.

A právě proto vzniká ten paradox, o kterém psal TechRadar na základě výzkumu HP: firmy sice řeší úniky dat spojené s tiskem, ale zabezpečení tiskáren stále považují za okrajovou záležitost. Situaci jen zhoršuje fakt, že spousta firem prostě ani nemá jak zjistit, kdo jaké dokumenty tiskne a kam je posílá.

Podle stejného výzkumu si dvě třetiny lidí v kancelářích myslí, že síťové tiskárny jsou bezpečné automaticky. Zhruba polovina je dokonce vůbec nepovažuje za bezpečnostní riziko. A v praxi to pak vypadá přesně tak, jak to známe: zapomenuté citlivé dokumenty ve výstupním zásobníku, skeny omylem poslané na špatný e-mail nebo jeden PIN pro uvolnění tisku, který zná celé oddělení.

Dalším tlakem je compliance. Skoro polovina firem (45 %) si podle průzkumů není jistá, jestli jejich tiskové prostředí splňuje všechny regulatorní a oborové požadavky. Přitom právě na tiskárnách končí ta nejcitlivější data – smlouvy, faktury, osobní údaje zaměstnanců nebo informace o klientech.

Jak připomíná i NÚKIB, základem bezpečnosti je vědět, co vlastně ve firmě máte a co z toho je potřeba chránit. Jenže tiskárny v takové evidenci často vůbec nefigurují. V účetnictví sice najdete položku „tiskárna, 3. patro“, ale už nikdo neřeší, že jde o síťové zařízení s vlastním firmwarem, přístupovými právy a napojením na zbytek firmy.

Když se s menší firmou bavíte o zabezpečení tiskáren, dřív nebo později padne otázka: „A jak by nám ji někdo mohl reálně napadnout?“ Ve skutečnosti to není jen jeden trik, ale spíš několik typických slabin. Je dobré je znát, ať už řešíte technické nastavení, nebo se jen snažíte zákazníkovi vysvětlit, proč je důležité. Pojďme si projít, kde jsou ta největší rizika a jak se jim bránit.

Tiskárna jako malý server: Proč záleží na aktualizacích

Dnešní kancelářské multifunkce jsou spíš malé servery. Běží na nich běžné operační systémy, mají vlastní úložiště, webové rozhraní pro správu a jsou naplno připojené k síti. Jejich firmware už dávno není jen jednoduchý „mikrokód“. Je to komplexní software, ve kterém se stejně jako kdekoli jinde objevují chyby. A ty je potřeba pravidelně záplatovat. Stačí se podívat do databází zranitelností. Najdete tam případy, kdy útočník mohl přes speciálně upravenou tiskovou úlohu (třeba v PostScriptu) spustit na tiskárně vlastní kód nebo nad ní převzít kontrolu. Podobné chyby se objevují u různých výrobců, ať už v tom, jak zpracovávají tiskové jazyky, nebo v jejich interních síťových službách. A právě tady narážíme na typický problém menších firem: tiskárny slouží roky a na aktualizace firmwaru se často zapomíná. Analýzy, jaké provádí například HP Wolf Security, ukazují, že právě chybějící aktualizace jsou jedním z hlavních důvodů, proč jsou tiskárny tak zranitelné.

Síťové služby a protokoly: Otevřené dveře do firmy

Další obrovské riziko je samotné připojení do sítě. Jakmile je tiskárna online, otevírá to cestu nejen k ní, ale potenciálně i k dalším zařízením ve firmě a k datům, která zpracovává.

Typickými problémy jsou:

• otevřené porty a služby, které ve firmě nikdo reálně nepoužívá;

• přenosy hesel a konfigurací bez šifrování;

• používání zastaralých protokolů, které s moderním zabezpečením nepočítají.

V tiskovém prostředí se dodnes běžně setkáte s protokoly jako port 9100, LPD/LPR nebo starými verzemi SNMP pro monitoring. Vznikaly v době, kdy bezpečnost nebyla téma, a v základu často žádné šifrování nepoužívají. Následkem nemusí být hned kompletní hacknutí tiskárny. Ale i špatně nastavený protokol může vést k úniku citlivých informací nebo posloužit útočníkovi jako odrazový můstek pro pohyb dál po firemní síti. Příkladem z minulosti jsou chyby v protokolu SNMP. V některých síťových tiskárnách byly přihlašovací údaje natvrdo zadané přímo ve firmwaru. Tehdy bylo nejlepším řešením SNMP prostě vypnout nebo ho konečně nastavit bezpečně.

Správa přes webový prohlížeč

Skoro každá tiskárna má dnes webové rozhraní pro správu (Embedded Web Server). V menších firmách na něj dosáhnete z celé sítě. Někdy se stane, že je přístupné i z Wi-Fi pro hosty, a v těch nejhorších případech je vystaven přímo do internetu. Přitom sami výrobci jako třeba Canon varují, že tahle zařízení se do veřejného internetu vůbec vystavovat nemají. Jsou to v podstatě plnohodnotné webové servery a špatná konfigurace může znamenat velký bezpečnostní problém.

Problémy s webovou správou jsou přitom pořád dokola ty samé: slabá, nebo dokonce výchozí hesla, chybějící vícefaktorové ověřování (MFA), zastaralé šifrování, různé zranitelnosti, a hlavně – přístup povolený odkudkoliv. A když se útočník dostane k administrátorským právům, nejde zdaleka jen o tisk. Může přesměrovat skenované dokumenty, udělat z tiskárny poštovní server pro rozesílání spamu, dostat se k firemním adresářům nebo ukrást uložená hesla.

Data na interním disku: Co v tiskárně zůstává?

Multifunkční tiskárny mají v sobě interní disk nebo paměť, kam si ukládají nejen nastavení, ale i tiskové úlohy. Jakýkoliv dokument, který tiskárnou prošel, tam může zůstat uložený hodně dlouho.

Největší problém je, pokud tenhle disk není šifrovaný (nebo to nikdo nezapnul). Kdokoliv – od servisního technika přes nového majitele po hackera – se pak k těmto datům může snadno dostat. S tím souvisí i vyřazování starých zařízení. Nestačí je jen odvézt, je potřeba se postarat o bezpečné smazání dat.

Data v pohybu: Skenování do e-mailu a na síťové disky

Hlavně v menších firmách se často skenuje rovnou do e-mailu nebo do sdílené složky na serveru, místo aby se používaly systémy pro správu dokumentů. To ale znamená, že přímo v tiskárně jsou uložené přihlašovací údaje k poštovnímu serveru nebo k firemnímu adresáři.

A jak varuje například Canon, pokud se útočník dostane do tiskárny, získá i tahle hesla. Ta mu pak poslouží jako klíč k dalším systémům – k e-mailům, k Active Directory, na souborové servery nebo do cloudu. Dalším rizikem je samozřejmě nešifrovaná komunikace. Kdokoliv na síti pak může hesla nebo celá data odposlechnout.

Tiskárna není jen „ta velká kráva na chodbě“

Bezpečnost tiskáren ale nekončí u samotného zařízení na chodbě. Slabým místem mohou být i ovladače na počítačích nebo tiskový server. Stačí se podívat na příklady. Třeba Canon měl kritickou zranitelnost přímo v tiskových ovladačích, která umožňovala útočníkovi převzít kontrolu nad počítačem.

Asi nejznámějším příkladem je ale díra ve Windows Print Spooler, známá jako PrintNightmare. Kvůli ní vydaly úřady jako CISA mimořádná varování, protože umožňovala na dálku spustit kód s nejvyššími právy a rychle ovládnout celou firemní síť.

A tady pár dalších příkladů:

Brother: Slabina přímo z výroby: Bezpečnostní firma Rapid7 zjistila, že z výrobního čísla tiskárny se dá odvodit její administrátorské heslo. A aby to nebylo málo, výrobní číslo šlo snadno zjistit na dálku přes síť. Nejhorší na tom je, že podle expertů tuhle slabinu ani nejde úplně opravit aktualizací softwaru – je totiž zapečená přímo ve výrobním procesu. Útok na port 9100: Ve stejné kategorii se objevila i další nepříjemnost. Útočník mohl tiskárnu jednoduše shodit a kompletně tak zastavit tisk. Stačilo mu k tomu poslat speciální příkaz na běžně otevřený port 9100. Pro firmu, kde na vytištěných fakturách nebo dodacích listech závisí expedice a výroba, je to hotová noční můra.

Epson a CUPS: Epson řešil potíže se slabými hesly v továrním nastavení, která šlo navíc zjistit přes síťový protokol SNMP. A nejde jen o hardware. Kritické chyby se objevily i v softwaru CUPS, který v Linuxu a na macOS tisk v podstatě řídí. Tyto zranitelnosti mohly útočníkovi umožnit na dálku spouštět kód.

Proč by to mělo zajímat i menší a střední firmy?

Dopady incidentu zasáhnou celou firmu – od financí přes provoz až po právní oddělení.

Nejde jen o data na disku tiskárny. Stačí jeden špatně odeslaný sken nebo zapomenutý výtisk v přihrádce a citlivé informace – mzdové pásky, smlouvy nebo data o zákaznících – se mohou dostat do nepovolaných rukou. A co je nejhorší? Často si toho nikdo ani nevšimne.

Tiskárna se může stát snadným terčem útoku, který ji vyřadí z provozu. Může ale posloužit i jako odrazový můstek pro útok na důležitější systémy v síti. Útočníci ji rádi zneužívají, aby se schovali a zamaskovali své stopy, nebo ji dokonce zapojí do botnetu pro rozesílání spamu či další útoky.

Tiskové prostředí je často slepou skvrnou v bezpečnostních pravidlech firmy. Přitom nařízení jako GDPR mluví jasně: firma musí chránit data, ať už jsou kdekoli. Pokud při auditu nedokážete říct, kdo a kdy na tiskárnách pracoval, jak se mažou data ze starých zařízení nebo kdo má vlastně administrátorský přístup, může to být docela problém.

A s NIS2 tenhle tlak ještě roste. Klade totiž důraz na řízení rizik napříč celou firmou i dodavatelským řetězcem. A tiskárna je přesně takový případ: je to technologie od dodavatele, zařízení v síti a zároveň klíčová součást firemních procesů. Ignorovat její zabezpečení si dnes už prostě nemůže nikdo dovolit.

Obchodní příležitost pro IT resellery a MSP: jak z „tiskárny“ udělat bezpečnou službu

Pro většinu malých a středních firem není „print security“ samostatná produktová kategorie, o které by aktivně přemýšlely. Zákazníci obvykle nehledají bezpečnost tisku jako technologii, ale řešení konkrétních problémů: chtějí snížit riziko úniku dat nebo výpadků provozu, mít jistotu při auditu nebo kontrole, omezit chaos kolem tiskového prostředí a ideálně přenést složitou správu na externího partnera. Právě v tom se otevírá prostor pro IT resellery a MSP.

Analytická společnost Quocirca upozorňuje, že mnoho SMB organizací má k bezpečnosti tisku spíše nedůvěru – často si nejsou jisté, zda je jejich tiskové prostředí dostatečně chráněné, ale zároveň nevědí, jak ho efektivně spravovat. To vytváří příležitost pro channel partnery, kteří mohou nabídnout nejen hardware, ale především služby spojené se správou, monitoringem a zabezpečením tiskového prostředí. Tisk se tak postupně může stát součástí širší bezpečnostní strategie firmy, podobně jako správa endpointů nebo sítí.

V praxi se přitom osvědčuje postupný model nabídky. Místo jednorázového projektu lze zákazníkovi představit několik kroků, které na sebe přirozeně navazují. Začít lze například krátkým Print Security Health Checkem, který během několika týdnů přinese přehled o tom, jaké tiskárny a multifunkční zařízení firma skutečně používá, jak jsou nakonfigurované a kde se nacházejí největší bezpečnostní mezery. Součástí takového auditu bývá inventura zařízení, základní hardening analýza, identifikace rizik a návrh rychlých opatření spolu s doporučením dalšího postupu.

Na tuto fázi může navázat hardening projekt, jehož cílem je zavést základní bezpečnostní opatření. Typicky jde o segmentaci tiskového prostředí v síti, úpravu protokolů a přístupů administrátorů, aktualizaci firmwaru zařízení nebo zabezpečení workflow pro skenování dokumentů do e-mailu či do sdílených složek. Důležitou součástí bývá také nastavení základního logování a monitoringu.

Dalším krokem může být Managed Print Security, tedy průběžná správa bezpečnosti tiskového prostředí. V této fázi už reseller nebo MSP sleduje bezpečnostní advisory výrobců, zajišťuje aktualizace firmware, kontroluje změny konfigurace zařízení a připravuje pravidelné reporty o stavu prostředí. Pro zákazníky je to často atraktivní i proto, že získají přehled o rizicích a mohou výsledky využít například při interních auditech nebo při komunikaci s managementem.

Některým organizacím pak dává smysl posunout se ještě dál a spojit zařízení, správu i bezpečnost do modelu Secure Print-as-a-Service. Ten často vzniká jako rozšíření klasických Managed Print Services (MPS) a přidává k nim jasně definovanou úroveň zabezpečení a servisních SLA. Z pohledu zákazníka tak tisk přestává být samostatnou technologií a stává se řízenou službou.

Součástí nabídky může být také připravenost na incidenty. Někteří partneři proto do portfolia zařazují i incident response služby pro tiskové prostředí, které definují postup při bezpečnostním incidentu, zajišťují prioritní zásah a umožňují rychlou izolaci nebo obnovení zařízení.

Malým a středním firmám přitom často funguje jednoduchý a srozumitelný způsob, jak si ověřit, zda mají tiskové prostředí pod kontrolou. Základem je například kompletní inventura všech tiskáren a multifunkčních zařízení včetně informací o modelu, firmwaru, IP adrese nebo umístění. Stejně důležité je změnit všechna výchozí administrátorská hesla a zavést jasnou politiku správy účtů. Správa zařízení by měla být dostupná pouze z administrátorské sítě a přes šifrované protokoly, zatímco nepoužívané služby a porty by měly být vypnuté a tiskové zařízení by ideálně mělo fungovat ve vlastní segmentované síti.

Organizace by také měla mít definovaný proces aktualizací firmwaru, bezpečně nastavené workflow pro skenování dokumentů a alespoň základní sběr logů z tiskového prostředí. Stejně důležitý je postup pro řešení incidentu a plán pro bezpečné vyřazení zařízení včetně vymazání interního úložiště.

Z pohledu resellerů a MSP je důležité, že většina těchto kroků není jednorázový projekt, ale dlouhodobá služba. Právě díky tomu se z běžné tiskárny může stát nejen bezpečnější součást infrastruktury zákazníka, ale také stabilní zdroj přidané hodnoty pro IT partnery.

Zdroje: techradar.com, nvlpubs.nist.gov/, standards.ieee.org, enisa.europa.eu, nukib. gov.cz, rapid7.com, epson.com, lexmark.com, psirt.canon, securityweek.com, konicaminolta.com, ricoh-europe.com, support.hp.com, quocirca.com.