什麼？印表機有風險？多功能事務機也會被駭？

剛開始從事IT工作當實習生，其中一項例行工作就是依照流程，逐步設定新的網路印表機，當時也曾想過：怎麼這麼麻煩要改一堆設定，為什麼不直接輸入IP Address和網路設定，直接插上電源和網路線就可以透過列印伺服器列印文件了。印表機有什麼好怕的，誰會去駭印表機啊？

這些年來，很多人都問過我這個問題，似乎印表機完全沒有風險，不屬於資訊安全的保護傘下；當我寫出公司印表機/多功能事務機安全設定指南，要求MIS同事更換設備或增加設備時必須遵守安全指南依序設定，也有同事問我是否小題大作？

如果你和當年的我有同樣想法，那我們不妨一起設想一下：

1. 現在的網路印表機，已經從單純的印表機變成多功能事務機Multi-Function Printer，包含印表機、掃描器、傳真機、影印機等功能，也由於多了這些功能，這台機器變得複雜，其實已經是一套Linux系統，有些更有Wi-Fi網卡方便使用Google Cloud Print 和Apple AirPrint。
2. 這些機器可以透過瀏覽器直接輸入IP Address 進入管理平面，也就是說它有Web server，預設是http 而非 https
3. 這些多功能事務機都支持FTP Print，所以都預設啟用FTP Port
4. 這些機器都支援USB Print，為了讓使用者直接插入USB隨身碟列印文件，有USB Port
5. 這些機器都有共同的預設Admin帳密，可以從Google上找到寫有預設Admin密碼的使用手冊
6. 為了方便起見，讓文件掃描後直接作為附件檔寄到電子郵件信箱，機器上有員工資料例如姓名、email等等，而且有SMTP設定。
7. 如果設定掃描後直接儲存檔案到網路硬碟，那機器上其實有一組帳密可以存取網路硬碟。
8. 如果有加入網域，那機器上其實有一組可以加入網域的帳密 (權限較一般用戶還高甚至有可能是網路管理員等級)。

所以在我們的網路環境中，有一台Web Server，不是用https所以沒有加密，有FTP協定，有SMTP協定，可以找到預設Admin帳密；一旦入侵成功，除了檢視列印、掃描紀錄日誌，掌握文件訊息、獲得員工資訊外，更可能直接取得已掃描文件，拿到一組可以存取網路硬碟的帳密，甚至是網路管理員等級帳密，以這台web server做跳板繼續向網路硬碟或其他機器入侵。最棒的是：因為網卡預設開啟，可以直接透過Wi-FI 網路入侵，或者直接插入USB注入惡意程式。沒有防毒軟體，沒有IDS/IPS警示，完全避過偵測。

覺得是危言聳聽嗎？其實這些都是Youtube上找得到的內容，有興趣不妨搜索一下DEF CON 的影片，主講人有介紹這些多功能事務機多麼脆弱。想要更詳細的情境演練，可以參考HP製作 一系列的廣告影片，這裡提供第一集的連結The wolf, Part One，大家可以從第一集開始慢慢看：
https://youtu.be/DkajtSOAyec

**注意！**這些資訊是為了提醒大家多功能事務機的風險，請勿輕觸法網。建議寫出印表機/多功能事務機安全設定指南，規劃一套完整流程，確保所有網路印表機/多功能事務機設定遵守安全指南，例如更改預設Admin帳密、關閉不需要的通訊協定、減少機器上使用的服務等等。如果一定要在機器上設定存取網路硬碟，建議另外創建一個專用帳號，限制該帳號能存取的資料夾，並且利用SIEM來監控該帳號的登錄情況，當SIEM警示該帳號被用在別處(譬如一台普通伺服器)登錄時，便必須要進行調查。文末附上一個連結是HP Web Jetadmin，它是一套免費的HP印表機管理軟體，可以用這個軟體將每台HP印表機的設定依照網路印表機/多功能事務機安全指南更新，但是注意如果印表機的型號不支持，或者某些設定無法用軟體自動更新，那就需要派人手動調整設定了，而且這套軟體只適用HP機器，其餘大廠例如Cannon、Toshiba就沒辦法用這套軟體管理了。

「人類的科學所創造出來的悲劇，你不覺得很可怕嗎？」- - 灰原哀《名偵探柯南》

對於網路印表機/多功能事務機的安全，你有類似經驗嗎？有推薦什麼好工具幫助管理嗎？歡迎留言。

這個影片介紹一個弱點漏洞(CVE-2016-3238)，駭客入侵印表機後，更換驅動程式為惡意程式，當一般使用者連接到印表機，下載驅動程式時，其實就會下載惡意程式。
Understanding printer vulnerabilities (CVE-2016-3238)
https://youtu.be/DuMk-yxZApA

可以管理HP印表機設定的免費軟體HP Web Jetadmin
http://www8.hp.com/us/en/solutions/business-solutions/printingsolutions/wja.html