Sécuriser les imprimantes réseau en entreprise

Une imprimante réseau moderne est un ordinateur embarqué qui reçoit des documents, stocke parfois des fichiers, expose des services d’administration et dialogue avec l’annuaire, la messagerie ou le stockage interne. La traiter comme un périphérique passif laisse un système rarement patché sur le chemin de données souvent confidentielles, ce qui est une façon assez créative de financer une intrusion.

→ Lire l’explication complète de la marmotte

Imprimantes réseau : un système d’exploitation exposé

Une imprimante multifonction embarque un système d’exploitation, un serveur web, des services réseau, un stockage persistant et, selon le modèle, un navigateur, un interpréteur de documents et une base de données de travaux. Les fonctions de numérisation ajoutent des identifiants vers des partages de fichiers, une messagerie ou un annuaire. Ce n’est pas un détail de câblage : c’est un serveur spécialisé, administré avec beaucoup moins de rigueur qu’un serveur.

Les protocoles hérités restent le premier problème. Telnet, File Transfer Protocol (FTP), Trivial File Transfer Protocol (TFTP), Hypertext Transfer Protocol (HTTP), Simple Network Management Protocol (SNMP) v1/v2c et Server Message Block (SMB) v1 ne doivent pas être présents sur un équipement de production. SNMP v1/v2c transporte sa chaîne communautaire sans chiffrement, souvent avec public ou une valeur identique sur tout le parc. Une communauté SNMP en lecture peut révéler la configuration, les interfaces et les consommables. Une communauté en écriture peut modifier la configuration, voire imposer une redirection selon l’implémentation.

Les services d’impression eux-mêmes exposent une surface large : Internet Printing Protocol (IPP), Line Printer Daemon (LPD), port 9100 aussi nommé JetDirect ou RAW printing, SMB et parfois Web Services on Devices. Le port 9100 accepte souvent un langage de description de page directement, notamment Printer Command Language (PCL) ou PostScript. Lorsque l’imprimante interprète ces flux sans filtrage, un attaquant capable d’atteindre le port peut imprimer, provoquer un déni de service, extraire des informations d’état ou exploiter une faiblesse du moteur d’interprétation.

Le compromis central est net : l’impression directe réduit la dépendance à un serveur d’impression et simplifie certains postes, mais elle multiplie les clients autorisés à parler à des firmwares difficiles à maintenir. La recommandation est de centraliser l’impression par un serveur ou un service d’impression maîtrisé, puis d’autoriser les flux vers les imprimantes depuis ce seul point. L’exception ne se justifie que pour des équipements industriels ou des postes isolés documentés, avec un filtrage réseau équivalent.

Une adresse Internet Protocol (IP) dans le réseau bureautique n’est pas un droit implicite à explorer le système d’information. Cette confusion revient régulièrement, portée par des diagrammes où une zone plate est nommée « interne », comme si le mot avait soudain acquis des propriétés antimicrobiennes. Les principes de segmentation réseau s’appliquent intégralement aux imprimantes.

Segmentation, filtrage et identité des flux d’impression

Créer un réseau local virtuel, ou Virtual Local Area Network (VLAN), dédié aux imprimantes constitue le socle minimal. Il ne s’agit pas d’un objectif de sécurité autonome : un VLAN sans règles de pare-feu reste une séparation décorative. Le filtrage interzone doit autoriser uniquement les flux nécessaires, dans les deux sens et vers des destinations nommées.

Une matrice exploitable distingue au moins quatre zones : postes utilisateurs, serveurs d’impression, réseau d’administration et imprimantes. Les postes ne doivent joindre que le serveur d’impression. Le serveur joint les imprimantes sur les ports d’impression retenus. Le réseau d’administration joint l’interface d’administration sécurisée et Secure Shell (SSH) si le constructeur le supporte. Les imprimantes ne doivent joindre que les services explicitement requis : Domain Name System (DNS), Network Time Protocol (NTP), annuaire, relais de messagerie, dépôt de certificats, supervision et destination de numérisation.

Le retour des imprimantes vers les postes doit être refusé par défaut. Cette règle bloque une partie des mouvements latéraux après compromission d’un firmware et réduit les attaques où une imprimante contacte un poste par SMB ou HTTP. Une imprimante ne nécessite pas d’accès général à Internet pour imprimer. Si un mécanisme de mise à jour impose un accès externe, le flux doit être limité à des noms de domaine et destinations documentés, si le pare-feu sait les appliquer de façon fiable. Sinon, télécharger le paquet depuis un poste d’administration et l’importer localement reste préférable.

L’authentification des utilisateurs sur l’imprimante mérite une décision explicite. Pour la libération sécurisée de travaux, préférer une fédération avec l’annuaire et des comptes individuels. Lightweight Directory Access Protocol (LDAP) doit être protégé par Transport Layer Security (TLS), avec validation du nom du serveur et de sa chaîne de certification. Une configuration qui accepte n’importe quel certificat de serveur transforme TLS en décoration cryptographique, très appréciée des audits qui aiment les captures d’écran.

Les comptes locaux d’administration doivent être uniques par équipement ou gérés par un coffre de secrets. Un mot de passe partagé à l’échelle du parc rend la rotation illusoire : compromettre une seule imprimante devient une clé passe-partout. Les principes de gestion des identités et de désactivation des bind LDAP anonymes ou en clair s’appliquent sans adaptation romantique.

Firmware, certificats et secrets d’administration

L’inventaire doit contenir le modèle exact, la version de firmware, l’adresse de gestion, le propriétaire, les services actifs, les certificats installés et la date de fin de support. Sans ces données, il n’existe pas de campagne de mise à jour, seulement des espoirs organisés dans un tableur.

Évaluer les bulletins constructeur et les identifiants Common Vulnerabilities and Exposures (CVE) à chaque version publiée. La criticité ne dépend pas seulement du score Common Vulnerability Scoring System (CVSS) : une exécution de code à distance sur une imprimante isolée et sans sortie réseau n’a pas le même effet qu’une vulnérabilité moins spectaculaire sur un appareil qui possède un compte LDAP et peut envoyer des courriels.

Tester les mises à jour sur un modèle représentatif avant diffusion. Certaines versions réinitialisent les paramètres réseau, désactivent des options d’authentification ou remplacent le certificat serveur. La sauvegarde de configuration doit donc être chiffrée, contrôlée et restaurable sur le même modèle et la même famille de firmware. Une sauvegarde contenant des mots de passe ou des clés privées ne doit jamais rejoindre un partage accessible aux opérateurs d’impression.

Les certificats TLS des interfaces d’administration et des services IPP doivent être émis par une autorité de certification reconnue par les postes et outils d’administration. Prévoir le renouvellement avant expiration, car l’imprimante ne négocie pas avec une alerte de navigateur à 7 heures 58. Si l’équipement ne sait pas renouveler automatiquement son certificat, inscrire sa date d’expiration dans la supervision et traiter le remplacement comme une opération planifiée.

La révocation d’un certificat ne ferme pas les sessions TLS déjà établies. En cas de compromission de clé privée, remplacer le certificat, supprimer l’ancien, réinitialiser les sessions lorsque le produit le permet et vérifier les journaux d’administration. Le certificat ne protège pas non plus un compte administrateur faible ni un navigateur d’administration exposé à un réseau non maîtrisé.

Exemple : filtrer une zone d’impression avec nftables

La règle suivante illustre un pare-feu Linux nftables placé entre un serveur d’impression 10.30.10.20 et un réseau d’imprimantes 10.30.40.0/24. Elle autorise IPP sur TCP (Transmission Control Protocol) et bloque les accès directs depuis les postes. Adapter les adresses, l’interface et les ports aux flux réellement validés.

# Autoriser uniquement le serveur d'impression à joindre IPP sur les imprimantes.
add rule inet filter forward ip saddr 10.30.10.20 ip daddr 10.30.40.0/24 \
    tcp dport 631 ct state new,established accept

# Autoriser les réponses des imprimantes vers le serveur d'impression.
add rule inet filter forward ip saddr 10.30.40.0/24 ip daddr 10.30.10.20 \
    tcp sport 631 ct state established accept

# Refuser les accès directs des autres réseaux vers la zone d'impression.
add rule inet filter forward ip daddr 10.30.40.0/24 counter drop

Ne pas ouvrir 9100, LPD ou SMB « au cas où ». Chaque port ajouté doit correspondre à une fonction testée et à un propriétaire identifié. Si une imprimante impose plusieurs protocoles pour des fonctions distinctes, les autoriser depuis les sources précises, pas depuis tout le réseau utilisateur. Le pare-feu ne corrige pas un firmware vulnérable, mais il réduit fortement le nombre de systèmes capables de l’atteindre.

Journaux, rétention des documents et reprise

Les journaux d’imprimante peuvent contenir noms d’utilisateurs, titres de documents, adresses de messagerie, chemins de numérisation et événements d’administration. Ces métadonnées sont sensibles : un titre de document révèle parfois davantage qu’un badge de confidentialité apposé avec enthousiasme. Exporter les journaux vers une plateforme de Security Information and Event Management (SIEM) ou un collecteur central, en TLS lorsque l’équipement le permet.

Surveiller au minimum les échecs d’administration, les changements de configuration, les redémarrages inattendus, les modifications de destination de numérisation, les erreurs de certificat, les créations de comptes et les volumes anormaux de travaux. Une absence de journal peut être un indicateur de panne, de saturation de stockage ou de compromission. La supervision doit détecter les trois, sinon elle surveille surtout sa propre tranquillité.

Le disque interne ou la mémoire non volatile conserve parfois les travaux imprimés, numérisés ou mis en attente. Activer le chiffrement de stockage fourni par l’équipement lorsque la clé est protégée et récupérable selon une procédure documentée. Sinon, la perte d’un contrôleur ou son retour en maintenance expose potentiellement les documents. Configurer l’effacement des travaux après impression, limiter la rétention des boîtes aux lettres et exiger un effacement cryptographique ou physique du stockage lors du retrait.

La reprise doit couvrir la restauration de configuration, des certificats, des destinations de numérisation et des règles d’accès. Une image de firmware ne restaure pas les secrets externes. Les identifiants de partage et de messagerie doivent être rotatifs, stockés hors des exports de configuration et remplacés après restauration si une compromission est suspectée.

🐝 Ce qui arrive si on s’en passe

Sans interface d’administration isolée ni compte administrateur unique, la page de configuration LDAP ou SMTP devient un outil de récupération d’identifiants. Il suffit de remplacer l’adresse du serveur par celle d’une machine contrôlée, puis de déclencher le bouton de test de connexion. L’imprimante envoie alors le compte de service configuré vers cette machine, souvent en bind simple (attaque dite pass-back), même si le mot de passe reste masqué dans l’interface. Ce compte dispose généralement d’un droit de lecture sur tout l’annuaire, parfois d’un accès en écriture aux partages de numérisation : sa compromission dépasse donc largement l’imprimante. La manipulation passe par une fonction légitime et se résume à un changement de configuration bref, aussitôt restauré. Si les journaux ne sont pas exportés, elle échappe à toute détection.

🦫 Explication de la marmotte 🍫

Une imprimante connectée reçoit des documents depuis des ordinateurs, les garde parfois avant impression, puis peut les envoyer vers une adresse de messagerie ou un espace de fichiers lors d’une numérisation. Pour cela, elle possède son propre programme de fonctionnement, des comptes administrateurs, une mémoire de stockage et des connexions vers d’autres machines. Si ce programme contient une faille ou n’est jamais mis à jour, une personne déjà présente sur le réseau peut essayer de prendre son contrôle.

La protection commence par séparer les imprimantes du reste du réseau. Les postes envoient leurs documents à un serveur d’impression, puis ce serveur contacte les imprimantes. Les imprimantes ne doivent pouvoir contacter que les services nécessaires, par exemple l’heure, les noms des machines, l’annuaire des utilisateurs ou la destination des documents numérisés. Les connexions inutiles sont bloquées.

L’accès à l’administration doit demander un compte protégé par un mot de passe distinct, et les échanges doivent être chiffrés. Les mises à jour doivent être testées puis installées régulièrement. Les journaux indiquent qui a modifié les réglages ou envoyé des documents, mais ils doivent être conservés hors de l’imprimante. Enfin, les documents restés dans la mémoire interne doivent être effacés, et le stockage doit être nettoyé avant réparation ou remplacement.

Pages voisines

La citent

Sécuriser les imprimantes réseau en entreprise

Elle cite

: les deux pages se citent l’une l’autre.

Sécuriser les imprimantes réseau en entreprise

Sécuriser les imprimantes réseau en entreprise

Imprimantes réseau : un système d’exploitation exposé

Segmentation, filtrage et identité des flux d’impression

Firmware, certificats et secrets d’administration

Exemple : filtrer une zone d’impression avec nftables

Journaux, rétention des documents et reprise

🐝 Ce qui arrive si on s’en passe

🦫 Explication de la marmotte 🍫

À lire aussi

Pages voisines