La sécurité souvent négligée

Désormais très proches d'un équipement réseau conventionnel, les multifonctions demeurent pourtant les laissées-pour-compte de la sécurité. Mais une imprimante peut compromettre la sécurité du réseau.

Le réveil est difficile pour les entreprises dont le réseau a été compromis par... leurs imprimantes multifonctions ! Car le copieur est bien souvent la dernière des menaces à laquelle le responsable du réseau prêtera attention. ' Le vrai risque, avec les imprimantes, c'est qu'elles ne sont pas vues comme des PC traditionnels, qu'il faut sécuriser, contrôler et mettre à jour ', observe Hervé Schauer, du cabinet de conseil HSC. Les copieurs actuels sont pourtant de véritables clients sur le réseau : une analyse de leurs ports ouverts révèle souvent la présence de services tels que Telnet, SMB, FTP et même parfois POP3, sans oublier un serveur web destiné à l'administration. C'est ainsi que l'on a vu des copieurs multifonctions détournés afin d'héberger des contenus illégaux au sein de l'entreprise (sur leur disque dur), ou utilisés pour mener des attaques par déni de service grâce à leur connexion à Internet.Du côté des fabricants, on prend pourtant bien la mesure du risque : ' Tous les ports ouverts peuvent être fermés par l'utilisateur depuis la console d'administration. En outre, il est possible de limiter l'accès à l'imprimante par un filtrage d'adresses MAC et IP. L'appareil, enfin, est capable d'authentifier les utilisateurs sur un annuaire Active Directory, Kerberos ou bien d'exploiter sa propre base d'utilisateurs ', résume Thierry Bouley, responsable coordination technique chez Canon. Du côté de chez Sharp, on gère également Kerberos et Active Directory et, chez OKI, on y ajoute le protocole WPA-PSK pour l'authentification et le chiffrement Wi-Fi. En bref, on sait authentifier !Sharp et Canon proposent aussi un outil destiné à chiffrer le contenu des disques durs, et à les effacer de manière sécurisée. Sharp va même plus loin en offrant également le chiffrement de la mémoire vive du copieur. Coût de la solution : 500 euros. ' Mais nos clients sont peu nombreux à s'y intéresser, hormis l'industrie de la Défense et les militaires ', reconnaît David Ramodiharilafy, chef de produit systèmes d'impression chez Sharp. Cet outil spécifique est certifié EAL2 (EAL4 en cours) selon les spécifications des critères communs (et EAL3 pour Canon).

Sécuriser l'imprimante avant d'en être victime

Autre solution de sécurité, plus réaliste : l'isolation des imprimantes sur le réseau. ' Si l'application métier est publiée par un serveur de présentation Citrix, on peut faire en sorte qu'elle ne puisse imprimer que sur des imprimantes isolées dans un VLAN et auquel aucun PC n'aura accès ', explique Guillaume Le Tyrant, de Citrix. Mais ces précautions paraissent toutefois bien loin des préoccupations de l'entreprise, qui semble plutôt se soucier du coût par page que de savoir si ses flux d'impression sont sécurisés ou si ses copieurs sont protégés... jusqu'à ce qu'elle en soit victime...

Un changement en douceur

Les risques engendrés par les imprimantes en réseau sont bien réels : lors d'un test d'intrusion, nous avons ainsi pu obtenir un plan de licenciement que préparait l'entreprise. Il n'avait pas quitté les ordinateurs de la direction, sauf pour être imprimé. Nous avons pu le dérober alors qu'il était dans la queue d'impression. Pour un pirate, l'imprimante sera souvent une cible privilégiée, car elle est facilement identifiable. Il suffit d'observer son nom, ou ses propriétés SNMP par exemple, pour en déduire qui l'utilise. Et en s'attaquant à celle de la direction, il est facile d'obtenir des documents frais et souvent confidentiels. Et les informations qui sortent de l'imprimante sont les dernières versions, alors que si l'on accède à un PC, il faut trouver quels documents sont réellement intéressants. Pourtant, les moyens de sécuriser les imprimantes existent. Mais les entreprises ne se sentent pas du tout concernées. Elles commencent souvent tout juste à gérer les droits sur les serveurs de fichiers, alors la sécurité des imprimantes est une notion encore bien lointaine !

Frédéric Charpentier, consultant sécurité chez XMCO Partners