警惕伸向網(wǎng)絡(luò)打印機(jī)的“黑手”

現(xiàn)在網(wǎng)絡(luò)打印機(jī)使用廣泛，給大家的工作帶來了很大的便利。不過，與之相關(guān)的安全問題也可能隨之而來。

例如，當(dāng)您的網(wǎng)絡(luò)打印機(jī)莫名其妙的“自動(dòng)”打印出奇怪的內(nèi)容時(shí)，就需要引起您的警覺了，這說明該打印機(jī)很可能已經(jīng)被黑客惡意控制了。因?yàn)榫W(wǎng)絡(luò)打印機(jī)和外界進(jìn)行數(shù)據(jù)通訊，必須通過特定的通訊端口才行，如果黑客將其控制的話，不僅可以碎銀打印亂七八糟的內(nèi)容，還可以輕松竊取您打印的敏感數(shù)據(jù)。

網(wǎng)絡(luò)打印機(jī)面臨的安全威脅

當(dāng)黑客對(duì)網(wǎng)絡(luò)打印機(jī)進(jìn)行攻擊后，就會(huì)造成各種奇怪的現(xiàn)象。例如，因?yàn)榫W(wǎng)絡(luò)打印機(jī)通常采用單線程執(zhí)行打印任務(wù)，當(dāng)黑客對(duì)其發(fā)起DDoS拒絕服務(wù)攻擊后，大量的攻擊包會(huì)極大的干擾打印機(jī)的通訊，使其處于超負(fù)荷工作狀態(tài)，導(dǎo)致其無法處理正常的打印任務(wù)，造成打印機(jī)拒絕打印的假象，給用戶的工作造成困擾。當(dāng)黑客控制了網(wǎng)絡(luò)打印機(jī)的通訊端口后，就可以惡意向其發(fā)送需要打印的內(nèi)容，讓打印機(jī)處于徒勞的工作狀態(tài)。

更嚴(yán)重的是，黑客可利用打印語言的各種控制命令，在打印機(jī)上保存打印內(nèi)容，便于黑客進(jìn)行遠(yuǎn)程竊取，如果打印了機(jī)密文件，這些敏感信息就會(huì)落入黑客之手。

另外，黑客甚至可捕獲和修改打印的內(nèi)容，使其打印出不利于用戶的虛假信息。因?yàn)樵诰W(wǎng)絡(luò)打印機(jī)上一般都配置內(nèi)存和硬盤，可以存儲(chǔ)打印的信息，雖然提高了打印的效率，但是也給黑客留下了可乘之機(jī)。如果在打印機(jī)的硬盤中存儲(chǔ)了服務(wù)器地址以及密碼等敏感信息，一旦黑客將其控制，就可以對(duì)網(wǎng)絡(luò)安全造成極大的威脅。

現(xiàn)在的網(wǎng)絡(luò)打印機(jī)一般都內(nèi)置了固件程序，通過升級(jí)固件可以提高打印機(jī)的性能。但是，如果黑客惡意修改了打印機(jī)固件，在其中開啟了后門程序，那么打印機(jī)就會(huì)在您毫不知曉的情況下，根據(jù)這些惡意指令將打印內(nèi)容悄悄的發(fā)送到指定的位置，黑客就可以毫不費(fèi)力的得到您打印的所有內(nèi)容。

更可怕的是，對(duì)于一些保密程度高的單位（例如研究所等）來說，如果采購的打印機(jī)固件中被惡意設(shè)置了后門甚至病毒的話，會(huì)對(duì)其安全構(gòu)成極大的威脅。這樣的例子并非鮮見，例如國(guó)外的一些研究中心因?yàn)椴少彽拇蛴C(jī)被惡意植入了病毒，當(dāng)病毒在遠(yuǎn)程激活后，對(duì)內(nèi)網(wǎng)的成了極大的破壞。

所以對(duì)于安全性要求較高的單位來說，應(yīng)該盡可能采購?fù)耆珖?guó)產(chǎn)化的打印設(shè)備，因?yàn)閲?guó)產(chǎn)打印機(jī)雖然功能上存在一些不足，但是其核心程序和固件不存在明顯的的安全隱患，所以可以有效避免潛在的威脅。

網(wǎng)絡(luò)打印機(jī)的安全隱患

隨著網(wǎng)絡(luò)技術(shù)的日益普及，加之黑客活動(dòng)的猖獗，讓很多用戶都提高了網(wǎng)絡(luò)安全意識(shí)，會(huì)通過配置硬件防火墻，安裝殺毒軟件，加密數(shù)據(jù)等各種手段來對(duì)抗黑客，但是打印機(jī)的安全性通常被人們忽略，很多用戶認(rèn)為打印機(jī)只是簡(jiǎn)單的打印數(shù)據(jù)，是不可能被黑客攻擊的。

因此，網(wǎng)絡(luò)打印機(jī)的安全一直得不到重視，當(dāng)其連接到網(wǎng)絡(luò)后，是沒有安全性可言的。黑客甚至不需要什么高深的技術(shù)，只需對(duì)其進(jìn)行端口掃描，利用簡(jiǎn)單的控制手段就可以輕松將其攻陷。即使用戶對(duì)文件進(jìn)行了復(fù)雜的加密，但是在打印時(shí)必須是明文打印，這樣黑客就可以毫不費(fèi)力的將其竊取了。

網(wǎng)絡(luò)打印機(jī)之所以可以正常工作，依靠的是RAW、IPP和LPR等協(xié)議和計(jì)算機(jī)進(jìn)行通訊。這些協(xié)議對(duì)應(yīng)于不同的操作系統(tǒng)，例如RAW適用于Windows，LPR適用于Unix，IPP適 用 于 Linux和Solaris等。

不同的打印協(xié)議使用不同的端口，對(duì)于RWA來說，使用的是打印機(jī)的TCP 9100端口，對(duì)于IPP來說，對(duì)應(yīng)的是TCP 631端口，對(duì)于LPR來說，對(duì)應(yīng)的是TCP 515端口。黑客使用掃描工具對(duì)指定IP范圍內(nèi)的這些端口進(jìn)行掃描，就可以發(fā)現(xiàn)網(wǎng)絡(luò)打印機(jī)的蹤跡，從而利用各種控制命令對(duì)其進(jìn)行入侵了。

一些用戶認(rèn)為只要是在內(nèi)網(wǎng)中進(jìn)行打印機(jī)，不連接外網(wǎng)的話，黑客就會(huì)無計(jì)可施了，可實(shí)際情況未必如此，當(dāng)用戶誤入黑客精心布置的惡意網(wǎng)站后，就會(huì)觸發(fā)黑客利用PostScript語言設(shè)計(jì)非法程序，而PostScript是打印機(jī)最常用的控制語言，其本身存在很多漏洞，極容易被黑客利用。這樣用戶主機(jī)連接了打印機(jī)的話，打印機(jī)上數(shù)據(jù)就會(huì)被發(fā)送給用戶的瀏覽器，黑客通過在惡意網(wǎng)站上模擬開啟了TCP 9100端口的打印服務(wù)，就可以讓打印數(shù)據(jù)傳輸?shù)胶诳投?，黑客就可以輕松的盜取打印的內(nèi)容，因此說內(nèi)網(wǎng)打印是談不上絕對(duì)安全的。

防止固件被惡意更改

因?yàn)榇蛴C(jī)都是通過LPT或者USB接口進(jìn)行打印的，所以網(wǎng)絡(luò)打印機(jī)內(nèi)嵌的操作系統(tǒng)和打印控制語言一般并沒有進(jìn)行嚴(yán)格的權(quán)限劃分，這就會(huì)導(dǎo)致當(dāng)黑客非法獲取了打印機(jī)的控制權(quán)限后，隨之也就會(huì)獲得打印機(jī)的最高權(quán)限。這體現(xiàn)在黑客可以“自由”的非法篡改更改打印機(jī)的固件，讓其出現(xiàn)虛假的故障現(xiàn)象，讓管理人員誤以為打印機(jī)無法使用。黑客還可以將打印任務(wù)自動(dòng)傳送到指定的位置，讓打印內(nèi)容沒有任何秘密可言。

為了應(yīng)對(duì)這一情況，有效的防御方法是固件的識(shí)別碼技術(shù)，這在高端打印機(jī)上表現(xiàn)的最為明顯。

對(duì)于合法的打印機(jī)廠商來說，會(huì)在其官方提供的打印機(jī)固件或者驅(qū)動(dòng)程序中嵌入隱秘的識(shí)別代碼，主要用來保證其合法性。如果在更新打印機(jī)固件或者升級(jí)驅(qū)動(dòng)時(shí)，對(duì)應(yīng)的的程序中沒有正確的識(shí)別碼，打印機(jī)將拒絕該安裝操作，為了安全起見，打印機(jī)會(huì)使用初始的固件進(jìn)行恢復(fù)。

但是，如果該識(shí)別碼泄漏或者被黑客破解，那么黑客就可以更加容易的獲得打印機(jī)控制權(quán)。因此，從根本上只有從底層進(jìn)行有效的權(quán)限分級(jí)管理，才可以有效的提高打印機(jī)的安全性。

保護(hù)打印機(jī)硬盤安全

硬盤是計(jì)算機(jī)的標(biāo)準(zhǔn)配置，其實(shí)在現(xiàn)在的打印機(jī)上一般也都配置有硬盤設(shè)備，主要用來存儲(chǔ)大量的打印任務(wù)之用。因?yàn)閷?duì)于打印中心而來，往往同時(shí)為大量的用戶服務(wù)，當(dāng)很多用戶同時(shí)提交打印任務(wù)時(shí)，打印機(jī)會(huì)將這些任務(wù)保存到硬盤中，之后逐一進(jìn)行打印。因此，如果能接觸到打印機(jī)上的硬盤，就很容易獲取其中存儲(chǔ)的所有打印文件。所以強(qiáng)化對(duì)打印機(jī)硬盤的管理是企業(yè)不可忽視的問題。為了提高安全性，現(xiàn)在的打印機(jī)一般都提供了硬盤加密功能，可以對(duì)存儲(chǔ)的數(shù)據(jù)進(jìn)行加密。

這樣，即使打印機(jī)硬盤丟失，也不會(huì)造成什么危害。但是，管理人員一般對(duì)打印機(jī)安全缺乏認(rèn)識(shí)，并不會(huì)對(duì)打印機(jī)硬盤進(jìn)行加密處理，這樣就會(huì)使其處于一定的危險(xiǎn)狀態(tài)。

對(duì)于企業(yè)內(nèi)部的不法員工來說，對(duì)于沒有加密的硬盤，其可以調(diào)用硬盤中的打印文件，非法執(zhí)行打印操作，并悄無聲息的將機(jī)密文件帶走。當(dāng)打印機(jī)出現(xiàn)故障后，在送修過程中，應(yīng)該將硬盤從打印機(jī)中拆下，保證維修人員無法解除到硬盤，即使不能拆下，也可以對(duì)其進(jìn)行格式化或者加密處理。即使對(duì)于報(bào)廢的打印機(jī)，在進(jìn)行處理時(shí)，盡可能的進(jìn)行嚴(yán)格的審核，并對(duì)其中的硬盤進(jìn)行物理破壞，避免其引發(fā)的泄密情況。