Llegamos a ustedes gracias a:



Reportajes y análisis

Seguridad de la impresora

¿Están realmente seguros los datos de su empresa?

[13/06/2016] El 24 de marzo de este año, 59 impresoras de la Universidad Northeastern en Boston repentinamente soltaron literatura de odio de la supremacía blanca, parte de una ola de incidentes de violaciones a la seguridad que afectaron impresoras de Northeastern y de al menos media docena de otros campus.

Esto no debería ser una sorpresa para nadie que entienda la tecnología de impresoras de hoy. Las impresoras de clase empresarial se han convertido en poderosos dispositivos de red con las mismas vulnerabilidades que cualquier otro elemento de la red. Pero dado que, a diferencia de las computadoras personales, nadie se sienta delante de ellas todo el día, los riesgos que introducen suelen pasarse por alto.

"Muchas impresoras todavía tienen contraseñas por defecto, o no tienen en absoluto, o diez utilizan la misma contraseña", señala Michael Howard, principal asesor de seguridad de HP, hablando de lo que ha visto en el campo. "Una impresora sin la protección de contraseña es una mina de oro para un hacker. Una de las infracciones que vemos a menudo es el ataque denominado 'hombre en el medio', donde toman una impresora y desvían los documentos entrantes hacia una computadora portátil antes de que se impriman. Pueden ver todo lo que está imprimiendo el director general. Por lo que se debe encriptar".

En cuanto al incidente de Northeastern, "todas eran impresoras fuera del control central de TI, adquiridas con fondos departamentales", señala Mark Nardone, director de seguridad de la información de la universidad. "Esperamos que los departamentos cumplan las recomendaciones de seguridad, pero no tenemos los recursos para verificarlo". Utilizando uno o más motores de búsqueda, el atacante localizó puertos de impresora sin garantía, y le envió a cada uno un archivo PDF y un comando de impresión, anota. El atacante imprimió una copia en cada máquina, pero podría fácilmente haber impreso miles, añade Nardone.

Él explica que las impresoras administradas por el campus están en una VLAN privada y no fueron visibles para el atacante, identificado por la prensa como un ex convicto estadounidense que opera en Europa del Este. La universidad respondió con un servidor de seguridad perimetral que bloqueó todas las órdenes de impresión desde fuera de la universidad, mientras que el departamento de TI trabajó para mover las máquinas no aseguradas por la VLAN.

El atacante no tuvo que esforzarse. Howard señala que él mismo ha sido capaz de descubrir unas 29 mil impresoras sin garantía de todas las marcas en Internet, utilizando varias consultas en los motores de búsqueda similares a las que utilizó el atacante. Pero tales posturas de seguridad autodestructivas para las impresoras no son nada nuevo -una encuesta patrocinada por HP en el 2015 hecha por el Ponemon Institute, descubrió que el 62% de los profesionales de la seguridad de TI respondieron que no se sentían seguros de que podrían proteger sus datos relacionados con la impresora. Tal pesimismo podría deberse al hecho de que el 64% afirmó que sus organizaciones asignan una mayor prioridad a la seguridad de la PC y a la computadora portátil que a la impresora.

Documentos inmortales

Sin embargo, las fuentes coinciden en que los atacantes han estado en una posición para ver lo que imprimía por una máquina particular desde que los vendedores comenzaron a construir unidades de disco duro en ellas. Básicamente, la máquina detecta una imagen del documento y luego la borra cuando se realiza el trabajo. Pero como con una computadora, borrar un archivo del disco simplemente corta el enlace entre éste y el catálogo de archivos de la máquina. El propio archivo permanece en el disco hasta que se sobrescribe cuando se necesita su espacio, lo cual podría ocurrir nunca. Si no se sobrescribe, se puede recuperar con un software especial.

En el 2010, CBS News publicó un informe dramático, en el que un corresponsal compró cuatro fotocopiadoras de clase empresarial al azar que habían sido arrendadas y devueltas. Su equipo de trabajadores retiró las unidades de disco duro y fueron capaces de acceder a miles de documentos, muchos contenían información sensible, como personal médico, e incluso registros de la policía.

Hoy en día, los discos duros cifrados y el limpiado automático de archivos son características estándar. "No sé de ninguna máquina de clase empresarial sin esa capacidad", señala Andy Slawetsky, consultor de la industria impresora en Industry Analysts Inc. "Se volvieron características estándar hace tres o cinco años, después de aquel programa de televisión. Cada generación es más segura que la anterior, y si el departamento de TI está haciendo su trabajo, nunca debería haber un problema".

Tal vez -pero la encuesta de Ponemon del 2015 reveló que solo el 38% de los encuestados estaban seguros de que los datos sobre sus impresoras se barrían antes de su eliminación.

"Todavía hay máquinas por ahí sin la última tecnología, sin discos duros que están cifrados o que se borran a sí mismos", anota John Juntunen, fundador y CEO de Digital Copier Security, un proveedor de servicios de seguridad de impresoras. Y debido a que estas características pueden reducir la velocidad de la máquina, algunos usuarios las inhabilitan -suponiendo que entienden las características y las usan para empezar, añade. Además, algunas máquinas solo guardan en el disco cuando se hace la selección correspondiente o impresión a doble cara, y algunas se basan en la memoria RAM, para mayor confusión de los usuarios, señala Juntunen.

"En los viejos tiempos se llevaban el disco duro y se lo daban al cliente" al final de un contrato de arrendamiento, recuerda Slawetsky. Pero en cuanto a la violación de los datos resultantes de alguien que realmente atraviesa las decenas de miles de imágenes que teóricamente se podrían encontrar en el disco duro de una máquina usada, "no he oído hablar de que esto ocurra, y creo que hay maneras más fáciles de tener una viva", indica Slawetsky.

Mientras tanto, la recuperación remota de archivos borrados no es una proposición práctica para un pirata informático, señala Juntunen. "Es necesario tener acceso directo al disco duro", anota.

La interfaz Web de una impresora no segura conectada a Internet, que se encuentra en una universidad en Suecia. La URL se ha oscurecido. Una fuente identificó a más de 29 mil impresoras de este tipo en el mundo.

La impresora como portal de la invasión

Un atacante puede no estar interesado en lo que está imprimiendo la impresora -sino en el hecho básico de que reside en una LAN corporativa y tiene un sistema de control inteligente que se puede infectar.

"Cada vez más, las impresoras tienen credenciales y pueden ser infectados con malware", señala Kurt Stammberger, CMO de la firma de seguridad Fortscale. "Pueden convertirse en un 'spambot', o ser reclutadas para formar parte de una red DDoS y enviar pings para sobrecargar una máquina específica. Estas infecciones son muy comunes, y las impresoras son una de las vías más comunes de ataque e infección en las redes comerciales, ya que están especialmente mal protegidas", añade.

"Las impresoras infectadas se utilizan normalmente como puntos de partida para la invasión de una red, en lugar de robar lo que está siendo impreso", concuerda Greg Young, analista de Gartner. "Las impresoras son dispositivos que se conectan a muchas computadoras y son promiscuas en una red. Y muy a menudo no están parchadas como las PC".

"Si el hacker es experto, la impresora pueda seguir funcionando, mientras que, en el fondo, proporciona una plataforma para una invasión", añade Stammberger. "Si el hacker es menos calificado, es posible que vea que se ralentiza o actúa de manera extraña. Los registros de la impresora son una fuente primaria de datos (para los investigadores de seguridad) y, a menudo muestran señales que pueden indicar una penetración mucho más grave".

Las fuentes coinciden en que la industria ha respondido en general a la amenaza con firmas digitales (es decir, autenticación criptográfica) para su software, por lo que las infecciones son más fáciles de derrotar.

"Solía ocurrir que una gran cantidad de software de impresión no estaba firmado digitalmente", señala Stammberger. "Si está firmado no es falsificable, y así sabe que el software es auténtico y del proveedor. Ahora es más común que el software esté firmado, y tiende a ser más seguro".

En Ricoh, por ejemplo, "tenemos una política estricta que se remonta a dos décadas, que lo puesto en nuestros dispositivos tiene que ser probado y firmado digitalmente por nosotros", señala el gerente de producto, John Thiessen.

Del mismo modo, HP ha adoptado una tecnología llamada Symbiote de Red Balloon Security. Su co-fundador, Salvatore Stolfo, un investigador de seguridad de la Universidad de Columbia, explica que el software Symbiote se inyecta en el firmware como una actualización, y supervisa el resto del firmware para los cambios, lo que provoca una alerta o que se apague si se detecta alguno. Symbiote también ha sido adoptado por el gobierno de Estados Unidos, señala el ejecutivo.

Recomendaciones básicas de seguridad de la impresora

Estos son algunos consejos básicos de seguridad de la impresora que pueden ayudar a mantener sus datos seguros.

  • Pulir. Limpiar o quitar el disco duro al fin de la vida de la máquina.
  • Comprobar. Siempre verifique la superficie del escáner y la(s) bandeja(s) de salida al final de un trabajo y al final del día -es demasiado fácil dejar algo allí para que otros lean.
  • Parchar. A diferencia de una computadora, es probable que tenga que comprobar manualmente si hay actualizaciones de software, en lugar de las actualizaciones que vienen automáticamente. No se olviden de este importante paso.
  • Contener. Asegúrese de que las impresoras estén cubiertas por los servidores de seguridad y protocolos de seguridad de red.
  • Cifrar o encriptar. Es una buena idea tanto para el tráfico de red como para el contenido del disco duro.
  • Autenticar. Restringir el acceso a usuarios con necesidades legítimas de impresión. Registre quién hace qué y revise esos registros periódicamente.
  • Configurar. Activar protección por contraseña -y evitar el uso de contraseñas por defecto para grupos de empleados. Si tiene una contraseña que utiliza para los visitantes u otros que no son empleados, cámbiela con frecuencia.
  • Controlar. Mantenga el aparato en un espacio de acceso restringido. Configúrelo para que los trabajos se impriman solo cuando el usuario está presente (mediante contraseñas o tarjetas inteligentes) para que los documentos confidenciales no se acumulen en la bandeja de salida.
  • Gestionar. Para cada máquina, designe a un administrador que sepa cómo usar la máquina, puede capacitar a los usuarios sobre lo mismo, y es responsable de supervisar que las medidas de seguridad estén habilitadas realmente.

¿Qué puede hacer?

Con el fin de evitar problemas de seguridad relacionados con la impresora, "La higiene básica es un buen comienzo", señala Stammberger. "La impresora en sí tiene medidas de seguridad que se deben utilizar. Los puertos inalámbricos necesitan contraseñas. Si se puede cifrar el tráfico, es genial. Si puede autenticar el tráfico, es mejor aún. Pero en general, las impresoras son un modo muy común de invasión a la red... lo vemos mucho".

"La contención es lo principal", añade Young. "Poner tales dispositivos en una parte determinada de la red, es decir, las impresoras y otros dispositivos semi-vulnerables en una zona en la que se puedan controlar. Incluso si no se pueden parchar, estarán vigilados. Es la misma estrategia que utilizan las plantas de energía para cualquier dispositivo que no puede ser revisado".

"Debe leer la información que proporciona el fabricante, y tomar las medidas que recomiendan para asegurarse de que el dispositivo no esté abierto y accesible a cualquier persona que husmea en Internet", indica Thiessen de Ricoh.

"Lo más importante es la seguridad contra el mal uso interno, como un usuario que no tenga las credenciales para trabajar con tal impresora, o que sin intención podría permitir el acceso a un tercero", anota Jiri Tuma, jefe de producto del proveedor checo de software de gestión de impresión Y Soft. "Las soluciones de gestión de impresión pueden restringir a personas de ciertas funciones, como el escáner o fax, para protegerse contra fugas de datos y registrar quién está haciendo qué".

De hecho, la mayoría de los consejos de seguridad proporcionados por los principales fabricantes de impresoras hacen hincapié en la necesidad de restricciones internas para impedir el mal uso y el abuso, diciendo que las impresoras deben tener los mismos controles físicos que el resto de la infraestructura de TI. Esos proveedores, por supuesto, también promocionan su propio software de gestión. Howard, por ejemplo, señala que HP Security Manager ofrece más de 250 ajustes de seguridad, y un servidor de red impulsa una política de seguridad en cada impresora cuando está encendida.

Si ocurre lo peor, una impresora infectada necesita ser llevada fuera de la red, resetearla, y volver a cargar su firmware desde una fuente de confianza, indica Stammberger.