Zdieľať

Tiskárna jako přehlížené bezpečnostní riziko

Zdieľať

Představte si firmu, která bezpečnost bere vážně. Počítače se aktualizují samy, servery hlídá monitoring, hesla vynucuje politika. A v rohu chodby stojí multifunkční tiskárna, která tu je od chvíle, kdy se firma nastěhovala. Běží se softwarem z výroby, do nastavení se dostanete heslem „admin" a za celou dobu ji nikdo nerestartoval, natož zkontroloval. Nikomu to nepřijde divné. Vždyť je to „jen tiskárna".

Jenže není. Je to plnohodnotný počítač: má vlastní operační systém, procesor, paměť, připojení do sítě i disk, na který se ukládají data. Dělá přesně to, co byste od počítače čekali, včetně věcí, které byste od něj nečekali. Jediný rozdíl je v tom, že ho nikdo jako počítač nevnímá, a právě proto roky uniká pozornosti, zatímco se zabezpečuje vše ostatní.

Zjišťovali jsme, kde přesně riziko leží a jak ho většinou zdarma a v krátké době výrazně snížit.

Proč je tiskárna reálným cílem útoku

Pod kapotou síťové tiskárny běží malý server. Má operační systém, síťovou výbavu a webové rozhraní, přes které ji spravujete. To samé rozhraní, které je ze své podstaty přístupné komukoli, kdo se dostane do vaší sítě. Pro útočníka to není periferie, ale další zařízení s vlastní adresou a otevřenými dveřmi.

Doporučujeme

U multifunkčního zařízení se záběr ještě rozšiřuje. Tatáž krabice je zároveň skener, často i fax, tedy spojení do telefonní linky a úložiště. Propojuje tak datovou síť, telefonní linku a interní disk do jednoho bodu, který zpravidla nikdo nepovažuje za citlivý.

A pak je tu způsob, jakým tiskárna existuje. Běží nepřetržitě, nikdo ji nevypíná ani nerestartuje a nikdo nesleduje její „zdraví" na rozdíl od serveru, kde by si někdo výpadku nebo podivného chování všiml. Běžný antivirus ani nástroj pro sledování aktivity, který chrání vaše počítače, na ni nainstalovat nelze, takže stojí zcela mimo dohled. Navíc ve většině firem chybí i v seznamu spravovaných zařízení,  formálně jako by neexistovala. Výsledek? Zařízení, které je trvale zapnuté, trvale připojené a trvale neviditelné.

Útočná plocha vrstva po vrstvě

Když se na tiskárnu podíváte očima bezpečnosti, riziko se skládá z několika samostatných vrstev. Žádná z nich není exotická, ale problém je, že se vrství na sebe.

Přihlášení. Nejčastější vstup je ten nejbanálnější: tovární heslo, které nikdo nezměnil, nebo žádné heslo. Kdo se dostane na stránku správy, může si zařízení nastavit podle svého.

Otevřené protokoly a porty. Tiskárna mluví hned několika „jazyky". Port 9100 (takzvaný raw tisk, známý také jako JetDirect) přijímá tisková data přímo, bez ověření a bez šifrování. K tomu přibývají další tiskové protokoly (IPP, LPD), protokol pro správu zařízení (SNMP), ten bývá otevřený s veřejně známým heslem „public" a někdy i dávno zastaralé Telnet, FTP nebo staré SMB. Každý otevřený a nevyužívaný port jsou dveře, které nikdo nestráží.

Neaktualizovaný software. Tiskárny většinou nemají žádný cyklus aktualizací. Zatímco u počítačů je pravidelné záplatování samozřejmostí, firmware tiskárny zůstává roky takový, jaký přišel z výroby i s chybami, které výrobce mezitím veřejně popsal i opravil.

Uložená data. Interní disk nebo paměť zařízení uchovává tiskové, skenovací a faxové úlohy. Dokumenty, které jste dávno vytiskli, mohou v zařízení fyzicky zůstat.

Nešifrovaný přenos. Pokud tisk běží nešifrovaně (typicky přes port 9100), lze úlohu putující sítí odposlouchávat. Citlivý dokument tak cestuje v čitelné podobě.

Uložené přihlašovací údaje. Funkce jako skenování do e-mailu nebo napojení na firemní adresář vyžadují, aby si tiskárna pamatovala hesla k jiným službám. Některá zařízení je uchovávají způsobem, ze kterého lze hesla přečíst a útočník tak získá přístupy k systémům, které s tiskárnou přímo nesouvisejí.

Odrazový můstek. A tady se vše propojuje. Tiskárna sedí v síti spolu s vašimi ostatními zařízeními. Jakmile ji někdo ovládne, přestává být cílem a stává se výchozím bodem uvnitř sítě, odkud pokračuje dál k tomu, na čem mu skutečně záleží.

Vystavení do internetu. Nejhorší scénář je tiskárna (nebo její cloudová správa) dostupná přímo z internetu. Útočník se pak nemusí nejprve probíjet do vaší sítě, zařízení najde a osloví kdokoli na světě.

To není teorie

Nic z toho není hypotetické. Útoky na tiskárny jsou zdokumentované, opakované a dobře popsané.

Existuje například volně dostupný výzkumný nástroj PRET, který vznikl na německé Ruhr University Bochum. Jeho autoři jím otestovali několik desítek tiskáren od různých výrobců a zjistili, že všechny jsou zranitelné alespoň jedním z testovaných útoků. Od prostého vyřazení zařízení z provozu až po čtení tiskových úloh a systémových souborů. Nástroj umí přistupovat k souborům na tiskárně, manipulovat s úlohami a zařízení i poškodit.

A kolik tiskáren vlastně stojí dokořán otevřených? Na to odpovídá Shodan, vyhledávač, který mapuje zařízení připojená do internetu. V únoru 2017 přes něj bylo viditelných více než 48 000 tiskových zařízení přístupných přímo z internetu na portu 9100. Z takového seznamu vzešly opakované hromadné incidenty: v roce 2016 začaly tisíce připojených tiskáren, zejména na amerických univerzitách, tisknout nevyžádané nenávistné letáky a podobné kampaně se od té doby zopakovaly několikrát. Vždy podle stejného receptu – tiskárny s otevřeným portem a bez jakékoli ochrany.

Nejnovější a možná nejnázornější příklad je z roku 2025. Bezpečnostní firma Rapid7 zveřejnila osm zranitelností, které zasáhly 748 modelů zařízení napříč pěti výrobci, vedle značky Brother také modely Fujifilm, Ricoh, Toshiba a Konica Minolta. Nejzávažnější z nich (vedená jako CVE-2024-51978, s kritickým hodnocením 9,8 z 10) umožňuje útočníkovi na dálku vygenerovat tovární administrátorské heslo: to je totiž odvozeno od sériového čísla, které lze zjistit vzdáleně. A protože se heslo nastavuje už při výrobě, samotnou aktualizací softwaru problém zcela vyřešit nelze a jediná spolehlivá obrana je heslo změnit. Postiženy jsou miliony zařízení, ačkoli podle výzkumníků zatím nejsou známky aktivního zneužití a výrobce vydal opravy.

Jinými slovy: i když máte zcela aktuální firmware, dokud nezměníte tovární heslo, část rizika vám zůstává. Což nás přivádí k tomu, co s tím reálně dělat.

 

Ilustrace: AI-generated

Jádro věci: checklist na 30 minut

Následující seznam je seřazený podle toho, kolik bezpečí získáte za vynaložený čas – od kroků, které odstraní největší riziko za pár minut, po ty, které jsou spíše doladěním. Většinu zvládnete přes webové rozhraní tiskárny a nic nestojí. Máte-li málo času, soustřeďte se na první tři body – to je to podstatné.

  • Změňte tovární administrátorské heslo. Jednoznačně nejdůležitější krok a zároveň nejrychlejší. Právě tím zavřete nejčastěji používané dveře a jak ukázal případ z roku 2025, někdy je to jediná obrana, která skutečně funguje.
  • Vypněte nepoužívané protokoly a porty. Telnet a FTP nepotřebujete téměř nikdy. Raw tisk na portu 9100 vypněte, pokud ho dokážete nahradit bezpečnější alternativou. Pravidlo je jednoduché: co nevyužíváte, vypněte.
  • Aktualizujte firmware. Nainstalujte nejnovější verzi od výrobce a – pokud to zařízení nabízí – zapněte automatické aktualizace. Tím zavřete známé a veřejně popsané chyby.
  • Ověřte, zda tiskárna není dostupná z internetu. Zjistěte její veřejnou IP adresu a zkontrolujte, zda není vystavena navenek. Pomůže i vyhledání této adresy v již zmíněném Shodanu. Tiskárna na veřejný internet nepatří – a pokud tam je, je to vaše priorita číslo jedna.
  • Zapněte šifrování. Přístup do nastavení přes HTTPS místo nezabezpečeného HTTP a šifrovaný tisk (IPPS) tam, kde to zařízení podporuje. Tím znemožníte odposlouchávání přihlášení i tiskových úloh.
  • Ošetřete SNMP. Pokud ho nepotřebujete, vypněte ho. Pokud ano, změňte výchozí heslo „public" na vlastní. Jinak nabízíte informace o zařízení komukoli, kdo se zeptá.
  • Oddělte tiskárny do vlastního segmentu sítě (VLAN). Tím omezíte, jak daleko se dá z případně ovládnuté tiskárny dostat. Je to o něco náročnější a vyžaduje zásah do sítě, ale výrazně snižuje škody v nejhorším scénáři.
  • Zkontrolujte uložené přihlašovací údaje. Podívejte se na nastavení skenování do e-mailu a napojení na adresář. Jde o to ověřit, zda zařízení neuchovává hesla k jiným službám v čitelné podobě – a pokud ano, řešte to s výrobcem nebo funkci omezte.
  • Zapněte mazání uložených úloh a šifrování disku. Pokud váš model umožňuje automatické mazání dokončených úloh a šifrování interního disku, nastavte oboje. Zbavíte se dat, která by jinak v zařízení zbytečně ležela.
  • Vypněte nepotřebné cloudové funkce. Vzdálený přístup a cloudové služby vypněte všude, kde je reálně nevyužíváte. Každá zapnutá funkce je další plocha, kterou je třeba hlídat.

Projít celý seznam na jedné tiskárně vám zabere zhruba půl hodiny. Největší část rizika přitom pokryjí už první čtyři body.

Pro větší prostředí: když tiskáren není pět, ale padesát

Pokud spravujete desítky zařízení, ruční procházení checklistu dlouhodobě neudržíte a tam, kde nestačí jednorázová akce, je potřeba systém. Tiskárny patří do seznamu spravovaných zařízení a do monitoringu stejně jako počítače a servery; co není v evidenci, to se nezáplatuje ani nesleduje. Firmware se vyplatí spravovat centrálně, nikoli zařízení po zařízení.

Samostatným tématem je takzvaný zabezpečený tisk (pull printing), při kterém se dokument vytiskne teprve tehdy, když se u zařízení ověříte. Do té doby úloha „čeká" a neleží v podavači, kde si ji může přečíst kdokoli. Řeší to bezpečnost i diskrétnost citlivých dokumentů. Tomuto tématu se budeme věnovat samostatně; zde stačí vědět, že při větším počtu zařízení se improvizace nevyplácí a má smysl zařadit tiskárny do běžných bezpečnostních procesů.

Konec životnosti rovná se úniku dat

Jeden moment se přehlíží téměř vždy: co se stane s tiskárnou, když doslouží. Při vyřazení, prodeji nebo vrácení z pronájmu odchází i s diskem a na něm mohou být dokumenty, které přes ni prošly. Faktury, smlouvy, osobní údaje. Tiskárna, která roky tiskla citlivé věci, je při odchodu stejné riziko jako vyhozený počítač, jen si to nikdo neuvědomí.

Řešení je přímočaré: před předáním zařízení disk bezpečně vymažte funkcí výrobce, případně ho fyzicky vyjměte a zničte. U pronajatých zařízení si způsob nakládání s daty dohodněte přímo ve smlouvě. Jsou to minuty práce, které rozhodují o tom, zda vaše dokumenty neodjedou spolu se starou tiskárnou k někomu cizímu.

Závěr

Na bezpečnosti tiskáren je neobvyklé jedno: poměr mezi přínosem a námahou je mimořádně příznivý. Většina kroků je zdarma nebo levná. Provádí se přes webové rozhraní a zabere minuty a přitom zavírá dveře, kterými se reálně útočí. Není to investice do drahé technologie, ale půl hodiny pozornosti věnované zařízení, které ji dosud nedostalo.

A riziko není vymyšlené. Tiskárny se skenují, ovládají a zneužívají jako odrazový můstek dlouhodobě a opakovaně, napříč výrobci. Dobrý první krok je zcela konkrétní: vyberte si dnes jednu tiskárnu, otevřete její nastavení a projděte první tři body checklistu. Změna hesla, vypnutí nepotřebných protokolů, aktualizace. Deset minut a největší část rizika máte z krku.


Malý slovník pojmů

PRET (Printer Exploitation Toolkit) – volně dostupný nástroj vyvinutý na německé univerzitě, určený k testování bezpečnosti tiskáren. Připojí se k zařízení a ověří, zda lze přes jeho slabiny získat data nebo ho ovládnout. Původně výzkumný nástroj, který ale stejně dobře poslouží i útočníkovi.

Shodan – vyhledávač, který místo webových stránek prohledává zařízení připojená do internetu: kamery, směrovače, tiskárny. Umožňuje najít například všechny tiskárny s otevřeným portem dostupné z internetu – proto je oblíbeným nástrojem bezpečnostních výzkumníků i útočníků.

Port 9100 (raw tisk / JetDirect) – „vstup" do tiskárny, přes který přijímá tisková data přímo, bez hesla a bez šifrování. Praktické pro tisk – ale pokud je dostupný zvenčí, může přes něj kdokoli poslat na tiskárnu cokoli.

Firmware – software zabudovaný přímo v zařízení, který ho řídí (obdoba operačního systému počítače). Stejně jako jiný software potřebuje aktualizace, které opravují objevené chyby.

SNMP – protokol pro vzdálenou správu a sledování síťových zařízení. Problém bývá v tom, že je často zapnutý s továrním heslem „public" – tedy s přístupem, který zná každý.

VLAN – způsob, jak jednu fyzickou síť rozdělit do více oddělených částí. Umístění tiskáren do vlastní VLAN znamená, že útočník se z ovládnuté tiskárny nedostane přímo ke zbytku sítě.

CVE – celosvětový systém označování konkrétních bezpečnostních zranitelností. Každá dostane jednoznačný kód (např. CVE-2024-51978) a hodnocení závažnosti od 0 do 10, aby bylo možné o ní jednoznačně hovořit a sledovat její opravu.

Pull printing (zabezpečený tisk) – režim, při kterém se dokument vytiskne teprve po ověření u zařízení (kartou, kódem). Úloha do té doby nečeká vytištěná v podavači, kde by si ji mohl přečíst nebo odnést kdokoli.

Blog Ďalšie zaujímavé články
Recenze Naši spokojení zákazníci

Hledáte garanci kvality? Namísto dlouhých slibů necháváme mluvit naše klienty.

Váš nákupní košík
Nákupní košík neobsahuje položky
TonerDepot.cz
Přihlášení
Nemáte účet? Registrujte se teď
Menu