Onderzoekers van het Nederlandse beveiligingsbedrijf ITsec hebben onderzocht hoe eenvoudig het is om vertrouwelijke documenten via de printer te stelen. Stonden vroeger de printers gewoon nog op het bureau van de werknemers, uit gezondheids- overwegingen en kostenbesparingen is het printen tegenwoordig centraal geregeld. Printers zijn daardoor verbannen naar de gang of andere ruimten. Printerfabrikanten hadden al snel door dat op die manier iedereen toegang tot vertrouwelijke documenten kon krijgen en kwamen daarop met "secure printing". Via een pincode of pasje kan een werknemer alleen zijn printopdracht uitdraaien.

ITsec besloot daarom twee studenten van de Hogeschool van Amsterdam in te zetten om uit te zoeken hoe kwetsbaar printers zijn. Die ontdekten binnen een paar dagen dat niet alleen de pincode gewoon in de opdracht verwerkt zit, maar dat die aan de hand van een transitietabel eenvoudig is te achterhalen. Een kwaadwillende werknemer met netwerktoegang kan zo alle pincodes sniffen.

"Om meerdere reden is dit schokkend, het is aannemelijk dat gebruikers altijd dezelfde pincode gebruiken, dat werkt de leverancier in de hand. Via de client kun je instellen welke code je gebruikt, waar de software stimuleert dezelfde te gebruiken," zegt oprichter en CEO Christiaan Roselaar. "Zo kun je voortaan altijd bij de printer staan om opdrachten van anderen te printen." De beveiliger acht het ook niet ondenkbaar dat mensen een pincode gebruiken die ze ook voor andere toepassingen gebruiken. "Door de schuld van deze leverancier ligt de vertrouwelijkheid van die pincode op straat."

Voor het achterhalen van de in de printopdrachten verstopte code hadden de afstudeerders een paar dagen nodig, wat niet voldoende voor de afstudeeropdracht was. Toch geeft deze ontdekking al te denken, omdat de bewuste printer, een Xerox document Center, bij waarschijnlijk honderdduizenden bedrijven in gebruik is.

De volgende stap die het tweetal nam was een aanval via de seriële port van de printer. Via een laptop was eenvoudig een terminalsessie te starten, waar een gebruikersnaam en wachtwoord voor benodigd was. Via internet zijn tal van Xerox logins te vinden, maar die werkten niet. Daarop besloten Joeri en Soroush een bruteforce-tool te ontwikkelen. De onderzoekers zagen dat de Xerox LynxOS gebruikte, wat "root" als gebruikersnaam heeft. Hierdoor hoefde men alleen het wachtwoord te raden. Na twee weken besloot men echter te stoppen, omdat het teveel tijd in beslag nam. Grootste bottelnek was de bandbreedte van de seriële port. De onderzoekers zijn er echter van overtuigd dat het slechts een kwestie van tijd is om binnen te komen. "Uiteindelijk gaat het gewoon werken,” laat Joeri weten.

Harde schijf-wissel

Er moet voor een insider een efficiëntere manier zijn om de printopdrachten te stelen, dachten de onderzoekers. Daarop besloten ze harde schijf uit de printer te halen, een kopie te maken en die te analyseren. Het lijkt misschien een hele handeling om een harde schijf eruit te halen, maar het enige dat hiervoor nodig is, is het omdraaien van een schroefje. Daarna trek je de lade met het moederbord eruit en ligt daar open en bloot de harde schijf. Binnen een kwartiertje was de harde schijf eruit gehaald, gekopieerd en het origineel weer teruggezet.

Om toegang tot de kopie te krijgen werd met een hex-editor de hash van het root-wachtwoord door een wachtwoord van de onderzoekers vervangen. In het geval van de Xerox gaat het om een SCSI-schijf, maar er zijn ook printers met IDE en SATA-schijven, merkt Joeri op. Eenmaal ingelogd op het besturingssysteem van de printer installeerden ze een script dat alle printopdrachten naar een e-mailadres doorstuurt. Het is ook mogelijk om Telnet en FTP services aan te zetten. Na het prepareren van de schijf moest die worden vervangen met het origineel.

De aanval kan een stuk efficiënter als een aanvaller al met een geprepareerde schijf langskomt. Eigenschappen zoals hostname, IP-adres en andere gegevens zijn via de webinterface te verkrijgen. Op deze manier kan men dus al een image klaarzetten en hoeft de printer maar één keer te worden opengemaakt.

Tot grote verbazing van de onderzoekers bleek de system management interface met een standaard wachtwoord benaderbaar te zijn. Een wachtwoord dat gewoon uit de handleiding is te halen en niet te wijzigen is. Ook de webinterface bleek van dit euvel last te hebben. Daardoor kan iedereen daar instellingen wijzigen, printopdrachten zien en annuleren.

Printerruimte

De aanval is niet op te merken door een systeembeheerder. Veel printers ondersteunen e-mail functionaliteit, zoals Fax to E-mail. "Servers zetten wij in de serverruimte, daar staat vertrouwelijke informatie op. Die zijn fysiek niet toegankelijk. Een output device zoals een printer met al z'n vertrouwelijke informatie zijn we vergeten. Die stonden tien jaar terug op ons bureau. Met z'n allen dachten we verstandig te zijn door hem om op de gang te zetten. Toen kwam secure printing, maar nu blijkt dat leveranciers een onveilige oplossing hebben bedacht," zegt Roselaar.

Hij stoort zich aan het gemak waarmee de aanval was uit te voeren. Het ontbreken van een logout policy en de eenvoud waarmee de printer is open te maken. "Toen die open was gemaakt stond niemand van Xerox voor de deur. Met deze printer valt niemand het op dat die gehackt is." De CEO van ITsec acht het zeer waarschijnlijk dat het wachtwoord dat de printerleverancier heeft ingesteld overal hetzelfde is.

Meer onderzoek

Roselaar vindt dat meer Nederlandse IT-bedrijven beveiligingsonderzoek moeten stimuleren. "We lopen achter het buitenland aan. Met afstudeerders kom je een heel eind, met een professional kom je sneller tot resultaat, maar wie betaalt de rekening?" Hij ziet onderzoek als een manier om aandacht op problemen te vestigen.

Het antwoord op het "secure printing" probleem is zowel organisatorisch als technisch. Gezien de problemen om printers te patchen en wachtwoorden te wijzigen, zal het echter voornamelijk uit organisatorische hoek moeten komen.

In de toekomst wil de beveiliger ook onderzoek uitvoeren naar toegang via de webinterface en hoe printers op andere manieren zijn te exploiten. Printers draaien een besturingssysteem en firmware. Niet alleen zitten daar lekken in, het patchen gebeurt via printopdrachten. De printer krijgt een opdracht die hij herkent als code, die dan wordt uitgevoerd. Een aanvaller kan dus een printer "0wnen" door middel van een geprepareerde opdracht die van elk werkstation te versturen is.

Roselaar ziet ook scenario's waarin de printaanval is toe te passen, door bijvoorbeeld een uitgeverij van jaarverslagen te hacken. Op die manier kan men vertrouwelijke informatie krijgen voordat het bekend is en met die kennis op de beurs handelen. En dat is zeker geen vergezocht idee. Een Oekraïense hacker deed dit bij een Amerikaanse bedrijf en verdiende zo 250.000 dollar.

Wat ook niet vergeten mag worden is dat oude printers met harde schijf vaak vertrouwelijke documenten bevatten, gewoon worden afgedankt. "Security officers moeten zich afvragen wat ze zouden doen als een server op de gang staat." Dat het loont om printopdrachten te kapen is logisch. "Het personeel maakt al een selectie van documenten die het waard zijn om te printen. De aanval is zo eenvoudig, een schoonmaker zou het kunnen doen."

Voor wie zijn printomgeving wil beveiligen kwam Het Europees agentschap voor netwerk- en informatiebeveiliging (ENISA) laatst met een adviesrapport.