Onsdag gjorde en amerikansk ekspert innen IT-sikkerhet, Jeremiah Grossman, omverdenen oppmerksom på en utredning fra en annen sikkerhetsekspert, Aaron Weaver, om hvordan man kan utnytte manglende sikkerhet rundt de fleste bedrifters og privatpersoners nettverkskrivere til å distribuere spam: Cross Site Printing: Printer Spamming.
Ifølge News.com gjenspeiler denne utredningen en omfattende diskusjon i hackermiljøer om sårbarheter i skrivere og hvordan de kan utnyttes. En annen utredning, fra Adrian «Irongeek» Crenshaw, er langt mer omfattende enn den til Weaver, og kartlegger en nærmest utrolig mengde fandenskap som kan utføres ved å kapre nettskrivere: Hacking Network Printers.
Weaver beskriver hvordan man kan legge opp et nettsted slik at den sender en utskrift til nettskrivere knyttet til den besøkendes PC, bare ved å bruke Javascript.
I sin enkleste form, kan spam-meldingen bestå av vanlig tekst, sendt direkte fra nettstedet. Her er et mulig eksempel, fra Weavers egen testing:
Utskriften kan også bestå av mer enn bare tekst. Javascript kan bruke PCL (Printer Command Language) til å sette skriverspråket til Postscript, og så utnytte en nettjeneste for å konvertere et dokument fra html til Postscript. Med denne teknikken kan man sende enhver html-side til offerets skriver.
Ifølge Weaver er faksing vanskeligere, siden Fax PCL varierer fra skriver til skriver. Han oppgir kode i Javascript som kan nedfelles i en nettside og som får en Xerox-skriver til å sende ut fakser.
En mulighet som åpner seg for spammere hvis de lærer seg Weavers metode, er å innstille skriveren på å skrive ut en bestemt banner-side i tilknytning til hver utskriftsjobb.
Grunnen til at denne formen for angrep er mulig, er at de fleste nettskriverne er satt opp uten noen form for sikkerhet overhode.
Det er forholdsvis lett å avverge denne formen for angrep. Ifølge Weaver er det nok å kreve administratorpassord for å konfigurere skriveren, og så konfigurere skriveren slik at den bare godtar utskriftsjobber som er formidlet av bestemte servere i lokalnettet.
Ifølge Information Week har eksperter advart mot dårlig skriversikkerhet i lang tid. På en Cert-konferanse i 2000 fortalte IT-sikkerhetsekspert Steve Nugen om et tilfelle der en skriver i en kommandosentral i USAs forsvar var blitt hacket, slik at utskriftsjobber ble kopiert til en server i Russland.
I oktober i fjor lansert HP initiativet Secure Print Advantage, for å gjøre det enklere for kundene å verne om sine nettskrivere.
Les også:
- [27.01.2006] Kombiskrivere krever egen sikring
- [25.01.2006] Dårlig sikkerhet rundt nettskrivere
