Sécurité : prendre conscience des risques

Imprimantes et copieurs multifonctions représentent une menace potentielle pour la sécurité du SI. Les fabricants offrent des solutions ad hoc, mais leurs clients ne s'en soucient pas toujours.

Lors des grandes épidémies des vers Sasser et Blaster, ces parasites avaient infecté des copieurs en réseau bâti sur Windows, et les utilisaient afin de se propager sur le reste du LAN. De même, durant la conférence pirate Black Hat de l'été 2006, l'expert Brendan O'Connor a fait la démonstration de plusieurs attaques contre des copieurs multifonctions Xerox récents (séries WorkCentre et DocumentCentre), et parvenait à en prendre le contrôle. En cause, le système d'exploitation Linux qui anime ces copieurs, et notamment une interface web vulnérable.Discrètement, l'univers des imprimantes et des multifonctions réseau a glissé vers le SI et ses serveurs. Et l'entreprise ne s'en n'est pas toujours rendu compte : les services généraux s'occupent toujours des imprimantes, la DSI des serveurs et les deux ne se parlent pas, voire se livrent une guerre d'influence. Or, comme le faisait remarquer Brendan O'Connor, un copieur multifonction est désormais un serveur (Linux, Windows ou autre) sous une carrosserie d'imprimante. Il offre souvent les mêmes services (web, FTP, partage de fichiers...) et présente les mêmes risques. Au-delà de l'infection accidentelle ?" qui reste anecdotique ?" les menaces engendrées par la présence de copieurs réseau non maîtrisés sont de trois ordres : ils peuvent aider un pirate lors d'une intrusion, faciliter l'interception d'informations confidentielles en interne, et servir à l'envoi de courriers anonymes.

Intrusions et vol d'informations

Du point de vue des intrusions, un copieur mal protégé pourra permettre à un pirate de rebondir vers d'autres parties du réseau auxquelles il n'aurait pas pu avoir accès autrement. ' Même lorsque le réseau est commuté, l'imprimante est souvent un point central. Et cela permet de l'utiliser pour faire du rebond ', explique Olivier Caleff, directeur technique sécurité de Devoteam Consulting (XP Conseil). Le copieur est souvent accessible par toute l'entreprise, ou par tout un service, parfois sans considération pour le plan de segmentation du trafic. Plus rare, une vulnérabilité sur un composant de son système d'exploitation ou d'une application embarquée permettrait de déposer et faire exécuter du code sur le copieur, qui aiderait à mieux pénétrer le reste du réseau. Cela n'est pas toujours possible, certains équipements ayant des systèmes d'exploitation minimaux, des restrictions matérielles (pas de disque dur) ou encore logicielles (le serveur FTP ne stocke rien et se contente de passer les documents, chez HP notamment).L'autre menace, le vol d'informations, est plus délicate à observer. Car contrairement à une infection ou à une intrusion, un vol ne laisse que peu de traces. Le copieur étant un point de passage obligé de l'information, il est naturellement la cible privilégiée des fouineurs. Premier risque, le plus évident et fréquent : le vol de documents imprimés en attente dans le bac. Le vol d'informations peut prendre des allures plus technologiques, telle l'interception du flux d'impression, en se plaçant physiquement devant l'imprimante avec un PC portable et un sniffer, par exemple. Dernier aspect du vol d'information : la capacité des copieurs réseau multifonctions de faire du ' scan-to-email ' : n'importe qui se présentant devant l'équipement peut y copier un document et l'envoyer par mail, anonymement, la trace du courrier remontant à l'imprimante et non à un compte utilisateur.Bien entendu, les fabricants de copieurs ont pris conscience du risque et proposent des mesures, à la fois de série et sous la forme de ' packs sécurité ' optionnels. La tendance générale est à l'intégration de l'imprimante à l'annuaire de l'entreprise. ' Une connexion à l'annuaire permet d'utiliser la paire login/mot de passe du réseau pour s'authentifier sur le copieur. Cela sert notamment à renseigner l'expéditeur des courriers envoyés afin d'empêcher les envois anonymes directement depuis le copieur ', explique Jean-François Maumy, chef de produit Xerox Office. En allant plus loin, les principaux fabricants proposent de s'authentifier sur le copieur à l'aide des badges existant dans l'entreprise (Myfare, Legic, etc.). Une telle authentification autorise non seulement l'envoi direct de courriers depuis le copieur, mais aussi l'impression n'importe où dans l'entreprise, voire sur des sites distants. Mais elle doit alors s'intégrer à l'existant (annuaire, standard 802.1X, etc.) afin de ne pas peser sur le service informatique. ' Ce n'est pas nécessaire si on veut juste récupérer ses impressions de manière sécurisée une fois devant l'imprimante. Pour cela, on sait générer un code PIN pour la journée, qui suffit pour récupérer ses travaux. Mais si l'on veut autoriser l'envoi des courriers depuis le copieur, il faudrait alors associer un code PIN à chaque utilisateur, ce qui occasionne des processus d'administration plus lourds ', explique François Burtin, directeur des ventes grands comptes chez HP.Enfin, contre le vol d'informations, la majorité des fabricants propose le chiffrement des flux d'impression entre le PC et l'imprimante (ou le serveur d'impression). Mais les entreprises ne semblent pas y adhérer. ' Nous n'en déployons presque jamais. S'il y a vraiment un besoin de confidentialité, cela passe toujours par une imprimante personnelle, c'est bien plus simple ', confirme François Burtin. Idem pour l'option de chiffrement du disque dur, dont le vol est une menace bien connue. ' Le client la demande souvent lors de l'appel d'offres. Ce qui ne signifie pas qu'il l'acquiert au final ', s'en amuse Catherine Soria, chef de produit chez Kyocera Mita. Et c'est bien là le paradoxe de la sécurité des impressions : les entreprises semblent en avoir compris l'enjeu, sont exigeantes envers les fabricants, mais ne vont pas jusqu'à mettre en ?"uvre une véritable politique d'impression sécurisée...

Olivier Caleff (Devoteam Consulting) : ' il faut considérer l'imprimante comme un puits '

En quoi le risque posé par le copieur réseau a-t-il évolué ?

Nous avions plutôt l'habitude de considérer le copieur comme un lieu de passage de l'information où tout est enregistré sur un disque dur. L'attaque historique était alors de parvenir à dérober ce disque dur et y appliquer des méthodes dites ' forensics ' visant à en extraire les informations. Puis nous avons commencé à voir des attaques à partir du réseau, ou par usurpation d'adresse IP de l'imprimante afin de pouvoir aller partout ailleurs.

Outre les solutions proposées par les fournisseurs, quelles mesures de protection peut-on conseiller ?

L'imprimante personnelle, lorsque le besoin de confidentialité est élevé ! Mais attention alors à ce qu'elle soit bien configurée (pas de partage réseau, par exemple). Pour les copieurs réseau, il faut faire en sorte que les tâches d'impression ne puissent venir que des PC vers l'imprimante, et que cette dernière ne puisse pas accéder aux PC en retour. Il faut la considérer comme un ' puits '. Et, enfin, elle doit être isolée sur le réseau : une imprimante n'a pas besoin dêtre accessible par tous et partout.