23 september 2015 11:23

HP maakt printer hacker-bestendig

Een netwerkprinter is de open achterpoort van een netwerk, en dat wil HP veranderen. De fabrikant introduceert een nieuwe productlijn met hard- en softwarematige bescherming tegen malware en hackers.

Het gevaarlijkste toestel in uw netwerk? Dat is waarschijnlijk uw printer. Dat suggereert HP in Barcelona bij monde van Patricia Titus, ex-chief information security officer bij Symantec en huidig medewerker van het Ponemon-instituut. Haar onderzoek toont aan dat het beveiligingsbeleid van de meeste bedrijven eindigt waar de netwerkprinter begint. Dat een printer vandaag gelijkaardige hardware onder de motorkap heeft als een computer, en dus ook gehackt kan worden, beseffen weinig bedrijfsleiders.

Vergeet de printer niet

In het licht van de steeds groter wordende bewustzijn omtrent cyberaanvallen doet het merk dan ook een oproep aan KMO’s en grote bedrijven: denk eens na over de beveiliging van uw netwerkprinters. HP wil alvast zijn verantwoordelijkheid nemen op het vlak van printersecurity en lanceert daartoe een nieuwe lijn LaserJets. De nieuwe toestellen, de M506, M527 en M577 hebben een driedubbele beveiligingslaag die er voor moet zorgen dat de toestellen zowat de veiligste op het hele netwerk worden.

Bios-bescherming

Sure Start kijkt bij het opstarten van de printer naar de bios. Die moet intact zijn. Ontdekt het systeem een afwijking, dan wordt een zogenaamde gouden kopie van de Bios opnieuw geladen. Die originele kopie is hardwarematig in de printer ingebouwd. Vanop de aparte partitie waar ze woont kan het toestel enkel lezen, niet schrijven. Zo hebben rootkits geen kans om de bios aan te vallen. De technologie is niet nieuw: sinds twee jaar gebruikt HP het principe al in z’n professionele laptops, maar het is de eerste keer dat een printer op een dergelijke manier beveiligd wordt.

Apple achterna

Zodra de printer is opgestart (met een originele Bios) is het de beurt aan de tweede trap van de beveiliging: whitelisting zorgt er voor dat er geen niet-geautoriseerde code op de printer kan draaien. Slaagt een aanvaller er in code te injecteren, dan zal het toestel weigeren die code te laden. Enkel door HP geautoriseerde code bezit de juiste handtekening en kan uitgevoerd worden. Het principe is hetzelfde als wat Apple in z’n app-store doet: enkel door het merk goedgekeurde en getekende apps draaien op een iPhone.

Permanent waakzaam

Met de veilige bios en de juiste code geladen treedt het Run-time Intrusion Detection-systeem in werking. Dat houdt de hele tijd op de achtergrond het geheugen van de printer in kwestie in het oog. Detecteert het een anomalie, het gevolg van een aanval van een hacker, dan begint de printer onmiddellijk aan een reboot. Het geheugen wordt leeggemaakt, sure start en whitelisting doen hun ding, en het toestel is terug malware-vrij nog voor u de tijd heeft om te panikeren.

HP claimt dat de nieuwe beveiliging er net op tijd komt: printers zouden in de praktijk al gebruikt worden als achterpoortje, al worden de toestellen nog niet op grote schaal uitgebuit. Michael Smetana van HP VP van Laserjet en Enterprise Solutions voor EMEA, bevestigt dat HP de beveiliging ontwikkelde als antwoord op concrete situaties, maar kan helaas geen voorbeelden geven om die bewering kracht bij te zetten. Feit is wel dat de ietwat geoefende IT-er zo toegang kan krijgen tot honderden slecht beveiligde printers via Google. “Met de hulp van de juiste tool kunnen hackers een printer voor hun kar spannen om malwarecode uit te voeren”, schetst Smetana. “Zodra het toestel malware draait is het een peulenschil om de rest van een netwerk te infiltreren.”

Nuance

Eddy Willems, security-evangelist bij G Data, nuanceert het risico zoals het geschetst wordt door HP. “In theorie is het zeker mogelijk om toegang te krijgen tot een netwerk via de printer, maar het vereist specifieke kennis. In de praktijk komen dergelijke aanvallen niet zo vaak voor en zijn ze al zeker niet willekeurig: een hacker zal de moeite investeren omdat hij het op een specifieke firma gemunt heeft.”

Willems bevestigt wel dat cybercriminelen zich inderdaad al toegang tot bedrijfsnetwerken verschaften met de hulp van de slecht beveiligde netwerkprinter. Is een ultraveilige printer dan onontbeerlijk voor uw zaak? “Indien de netwerkprinter niet zomaar aan het internet hangt, maar achter de firewall van het bedrijfsnetwerk schuilt, is het grootste risico al verholpen”, aldus Willems.

Legacy

LaserJets en toekomstige OfficeJet Enterprice X-printers krijgen de drietrapsbeveiliging mee, net als enkele andere toestellen die sinds april op de markt zijn. Printers vanaf 2011 krijgen toegang tot een firmware-update waarbij whitelisting en run-time-detectie wordt geïnstalleerd. De hardwarematige gouden bioskopie kan om duidelijke redenen niet zomaar op oude toestellen geplaatst worden.

Of bedrijven staan te springen voor de nieuwe veilige printers is nog maar de vraag. Menig grote organisatie slaagt er zelfs niet in het standaard-wachtwoord van zijn netwerkprinter aan te passen, waardoor het animo voor een upgrade naar een ultraveilig exemplaar vermoedelijk klein is. Smetana: “We kunnen niets meer doen dan mensen bewust maken en ze de nodige tools geven.” Met de nieuwe beveiligde printers hoopt HP dat alvast te doen.