Välkommen till Ateadagen 2007! HP – IPG Säkra utskrifter

Hemligt dokument får ej spridas! Ta bort det ur skrivaren! Lars Esping HP Imaging & Printing © 2007 Hewlett-Packard Development Company, L.P. The information contained herein is subject to change without notice

Säkerhet i utskriftsmiljön Kan skrivare/multifunktionsprodukt vara osäker? Extern vs Intern säkerhetsrisk Medvetet eller slarv Lagar och förordningar Praktiska exempel Några enkla råd Säkerhetslösningar som även sparar pengar

Kan en skrivare/MFP vara osäker?  Skrivare/MFP är enheter på nätverket Jämförbara med PC och server Använder liknande nätverksportar och protokoll Innehåller minne, hårddisk, USB, grafiskt användargränssnitt Kan starta program/applikation Kan skicka och ta emot e-mail  Skrivare/MFP är lika utsatta för säkerhetsrisker som PC och servrar  Affärskritiska processer kan vara beroende av skrivare/MFP Kvitton Ordererkännanden

Säkerhetsrisker Externt Internt Hög medvetenhet Brandvägg, login/lösen, passerkort, kameror Internt Olika tillgång i lokalerna Olika tillgång till data Vem använder skrivaren/MFPn/faxen? Vad händer med dokument i utskriftsmiljön?

Interna säkerhetsrisker Medvetna handlingar Avlyssna nätverkstrafik Leta efter ”intressanta” dokument Scanna/faxa vidare dokument – vem är avsändare? Svårt att spåra/hitta bevis Omedvetna handlingar Glömma en utskrift i skrivaren Hitta känslig info när du letar efter din egen utskrift Känsligt material hamnar mellan två utskriftsjobb Vad är det städpersonal ser? Exempel på städpersonal: Städpersonalen tar med sig papper med utskrift på hem för att barnen skall rita på Barnen vill ha med sig teckningen till dagis där den sätts upp så att alla föräldrar/personal kan se Det visar sig finnas känslig information på dokumentet om en annan förälder!!!!

Lagar och förordningar Exempel Personuppgiftslagen, PUL Sarbanes-Oxley Act, SOX Konsekvenser Spåra vem som skickat ett fax? Mottagare/avsändare? Vidare spridning? Konsekvenser för affärer men även enskilda personer Offentlig förvaltning har mycket känslig info om privatpersoner Sarbanes-Oxley Act kom till som en reaktion på de stora företagskonkurser som skakade amerikanskt näringsliv runt millenieskiftet. Den mest kända konkursen var energibolaget Enrons konkurs hösten 2001 när ett stort antal anställda förlorade sina inbetalade pensionsbesparingar och aktieägarna förlorade sina investerade pengar. Detta var dock inte det enda exemplet utan även telekombolaget Worldcom, Tyco International, Adelphia och italienska mejerikoncernen Parmalat kan nämnas. Sarbanes-Oxley Act, även ibland med tilläggen 302 och/eller 404 (benämner olika paragrafer i lagtexten och de som har störst påverkan för de bolag som omfattas av Sarbanes-Oxley Act) syftar till att stärka den interna kontrollen över den finansiella rapporteringen. Detta innebär helt enkelt att det ska vara svårare att bedra de intressenter som finns i bolaget och på ett eller annat sätt har investerat pengar i det, genom till exempel bedrägerier, felaktig information till aktieägare och investerare. Detta sker även genom test av bolagets intern kontroll. Exempel Affärer kontra personuppgifter: Att avslöja nya prissättningen för konkurrenterna har trots allt en tidsbegränsad skada medan känsliga personuppgifter, tex dolda handikapp, sjukdomar mm, kan vara en skada som den drabbade får leva med resten av livet att det är avslöjat.

Praktiska exempel

Praktiska exempel

Praktiska exempel: search Google… Söka på internet efter öppna skrivare eller print-server och logga in via embedded web servers Viktigt: Anledningen till att dessa slides finns med är för att det finns oanade möjligheter med Google, Samt att i just detta fall nätverksuppkopplade skrivare. De flesta som jobbar med IT vet att Google numera kan vara en källa till oanad information och att då enkelt kunna hitta skrivare som sitter på internet och”jävlas” med dessa blir enkelt Om någon IT admin också har glömt att säkra upp maskinen med användarnamn + lösenord så kan någon personen med ont uppsåt använda denna maskin för att komma åt ett internt nätverk alternativt att ladda upp programmvara till den i ett ont syfte. Denna möjlighet att ”surfa” till skrivare på internet är egentligen inget konstigt. Det är bara det att skrivare och MFP:er ses som något som inte behlver säkras upp (lika mycket som en PC eller server) och det är tillfället som gör tjuven. I detta fall ”Hackern”, Man testar för att se hur långt man kan komma och ju mer man kan göra desto roligare är det.

Praktiska exempel Se alla utskriftsjobb via fjärrupp-koppling En av maskinerna som hittades då detta slide set gjordes hade inget lösenord vilket innebar att man kunde se vem som skrivit vad och när, man hade full åtkomst till konfigurering och därmed all möjlighet att ladda upp java baserade program till den.

Praktiska exempel Verktyg för hackare finns överallt Ethereal – världens mest populära analysprogram för nätverkstrafik Denna slide beskriver hur enkelt det är att ”sniffa” efter informaiton på nätverket. För att förklara vad som behövs i just detta fall så satt vi en hub mellan skrivaren och nätverket och lyssnade av all trafik som passerade. Vi filtrerade ut trafiken som gick just till skrivarens ipadress och port 9100 I och med detta så kan vi plocka ut just RAW print data och när vi väl har det så tankar man ned antingen en viewer för att se vad det är alternativt skriver ut PCL datat en gång till. Detta gör att man faktiskt kan manipulera data. Ett scenario: Chefen sitter med löneförhandlingar och det är något som de flesta på en avdelning eller företag vet om (anställda alltså) Chefen skriver ut handlingar innan möte med de asntällda där det står information om vad som den anställde gjort bra och dåligt. Den anställde i detta fall är en it kille med blygsamma kunskaper i it men ett brinnande instresse att höja sin lön så han använder ovan nämnda sätt att faktiskt fånga informationen när chefen skriver ut det för att kunna läsa det i lung och ro för att kunna möta sin chefs ”påståenden” och på detta sätt sätta chefen på plats o därigenom få högre lön  Värre vore det om det vore topphemlig information som någon skriver ut för att ha med till ett möte(ekonomisk info innan börsintroduktion eller liknande) som man kan sälja eller alternativ använda som insider information Fantasin är det som sätter gränser

Praktiska exempel Texten till vänster är bilden till höger i klartext! Proof of concept

Någon som känner igen sig? Stämmer detta? Finns det fler säkerhetsluckor? Finns medvetenheten? Tanken är att stanna upp en stund och tänka efter, få lite interaktion, ingenkännande nickar osv Kanske starta lite dialog med kunderna om så passar!

Hur säkerhetsmedvetna är ni? Advancerad Har implementerat avancerade säkerhetslösningar i form av programvara och rutiner Proaktiv Implementerat metoder för mätning av nuläge samt infört grundläggande säkerhetsåtgärder i utskriftsmiljön Begränsad Inte vidtagit speciella säkerhetsåtgärder för utskriftsmiljön, dock på övriga områden Jim Byers (HP)

Hur öka säkerheten i utskriftsmiljön? Skydda informationen på nätverket Säkra enheten Jim Byers (HP) Monitorera och hantera

Hur öka säkerheten i utskriftsmiljön? Ändra lösenord till inbyggd web-server Stäng protokoll/portar som inte används Tillgång till hårddisk, Secure Erase Kryptera datatrafik till skrivaren Använd säkra protokoll Säkra enheten Skydda informationen på nätverket

Hur öka säkerheten i utskriftsmiljön? Säkra enheten Jim Byers (HP) Det är detta man ser när man surfar in på skrivaren, här finns en bra sammanställning av de säkerhetsinställningar som finns.

Hur öka säkerheten i utskriftsmiljön? Säkra enheten Jim Byers (HP)

Hur öka säkerheten i utskriftsmiljön? Säkra enheten Jim Byers (HP)

Hur öka säkerheten i utskriftsmiljön? Låt inte e-mail ha anonym avsändare, lås fältet Använd autetisiering Lämna inte känsliga dokument obevakade i skrivaren, använd pin-kod för personlig utskrift Använd checklistor för säkerhet: NIST Common Criteria Certification Monitorera och hantera

Hur öka säkerheten i utskriftsmiljön? The U.S. National Institute of Standards and Technology (NIST) Best-practise-checklista för hantering av säkerhetsinställningar HP LaserJet 4345 MFP Security Checklist är den första MFPn där det finns checklista i NISTs register! Beskrivning av potentiella hot Instruktioner om hur konfigurera till bästa kända säkerhet Kronologisk ordning av konfigurering Lista över rekommenderade inställningar Konsekvenser av inställningarna Best practise Monitorera och hantera

Hur öka säkerheten i utskriftsmiljön? Secure the device HP Secure Storage Erase is also known as Disk Wipe. – Eliminates data from the disk drive so unneeded information can be easily purged. This was one “the hotbutton” but has been deminishing as an issue as “HP & 3rd party PIP retrievall” has risen in importance HP & 3rd party PIN retrieval – Allows print jobs to be held at a printer until a user authenticates at a device. This facilitates shared printers by allowing people to send confidential information to a shared printer. There is a progression of capabilites starting with a good basic solution from HP and progressing to partner “Pull printing solutions” The combination is a very complete offering. Advanced User Authentication is a catch all term for a complete set of authentication methods that progress to control panel types (PIN, login) to partner solution such as card readers and biometric readers such as thumb print readers. Turn on passwords, shut off unused protocols – is a a catch all category for our products extensive ability to be tightly “locked down” to prevent hacker attacks and unauthorized access. Protect information on the network There are many acronyms here but the main point is that we have extensive capabilities in this areas to 1) protect communication to the devices during device management and 2) extensive capabilities to protect print and scan information from being view/stolen or altered as it flows across the network. 802.1x support enables authentication of a device onto a network. HTTPS is HTTP/SSL. – used at various times to encrypt communication to and from the device SNMPv3 is a secure way for WJA to communicate with devices. SNMPv3—Version 3 of SNMP. SNMPv3 uses the following security features to provide secure access to devices: Message integrity—Ensuring that a packet has not been tampered with in transit. Authentication—Determining that the message is from a valid source. Encryption—Scrambling the contents of a packet to prevent it from being learned by an unauthorized source. IPSec is Short for IP Security, a set of protocols developed by the IETF to support secure exchange of packets at the IP layer. IPsec has been deployed widely to implement Virtual Private Networks (VPNs) – HP has a strong capability here that can resonate with specific customers that are moving to this highly secure networking in their general IT environments, Effectively Monitor and Manage - HP continues to expand its leadership in managing I&P security MFP Security checklist (registered with the US government) have resonated well with customers. These clearly show exactly what to do, step by step in order to secure our MFPs. This was introduced earlier this year and provides our customers with a clear, accessible guide to securing our MFPs. This is an important foundational step. WJA Discovery: an early example of how we can use discovery and WJA to make it easy for a customer to spot devices that are improperly set for security Common Criteria Certification efforts continue on a wide range of MFPs. This work has been tough as the documentation development requirements of the process have been larger than anticipated. CCC continues to be very important to a narrow range of customers. We officially in the formal evaluation process with a official certification estimate of Jan 2007. Fall ’06 we will be introducing enhancements to our security Monitoring and Managing capabilities. The highlights are these: WJA – Fleet Security Deployment enhancements New authentication/authorization management and policy admin for MFPs - makes it even easier to manage user access to fleets of HP MFPs Ability to edit the color access control list for users and applications - makes it even easier to manage user access to fleets of HP MFPs Megatrack In Printer Agent Plug-in for audit - makes it even easier to monitor and audit use of the I&P devices WJA User Level Tracking expanded in RGP 3.1 – basic level user use logging capabilities are being enhanced in RGP 3.1 providing basic security audit capabilities customers can get started with as part of this free download HP WJA plug-in Hur öka säkerheten i utskriftsmiljön? Säkra enheten Skydda information på nätverket HP Secure Storage Erase Authentication DSS authen. (LDAP, Kerberos, NTLM) Embedded LDAP, Kerberos Advance User authen (NTLM, cards, multiple authentication for multiple applications) HP Jetdirect IPSec 802.1X (Device Authentication) SNMPv3 HTTPS Secure IPP support DSS Secure Send PIN retrieval HP & 3rd party Fax protected from LAN Turn on passwords, shut off unused protocols WJA–Fleet Security Deployment enhancements New authentication/authorization management and policy admin for MFPs Ability to edit the color access control list for users and applications Megatrack In Printer Agent Plug-in for audit WJA Discovery of un-password protected EWS NIST registered Security Configuration Checklists Monitorera och hantera WJA User Level Tracking expanded in RGP 3.1 Common Criteria Certification “In Evaluation" for storage erase and fax protection from LAN – various MFPs Output Server trusted document delivery and audit

Någon som känner igen sig? Har ni implementerat detta? Har ni fått nya uppslag? Fler förslag på åtgärder? Tanken är att stanna upp en stund och tänka efter, få lite interaktion, ingenkännande nickar osv Kanske starta lite dialog med kunderna om så passar!

Ytterligare ett steg – Safe Com Pull-Print Så funkar det SafeCom Windows Server Pool Kort / användar kod och/eller PIN Dokument val Rec  ”Pull”

Användarupplevelse Användaren skriver ut som vanligt Väljer skrivaren för säkra utskrifter – PullPrint Skriver ut Utskriften lagras i SafeCom databasen

Användarupplevelse

Fördelar med SafeCom Pull-Print Användaren Välj utskrift där du är Inget bläddrande i utfacket Befintligt kortsystem kan användas Säkerhet Utskrifter som ej skrivs ut raderas automatiskt Spårbarhet – Dokument sprids inte till obehöriga Spårbarhet – Dokument hamnar inte i fel skrivare Kryptering mellan klient och skrivare möjlig Besparing Reducering av ”onödiga utskrifter” (10-20%) Regel-baserad utskrift Debitering per avdelning möjlig Statistik per skrivare/användare

SafeCom + nätverksskrivare = Mervärde Ledning Inköp IT Spara 10-25% Kostandskontroll och statistik för beslut Konsolidera utskriftsmiljön med kostnadseffektiva MFP’er Behovet av personliga skrivare försvinner Förenklad logistik ROI Förenklad förvaltning av skrivare och skrivarköer Centraliserad administration Tillförlitlig, skalbar och modulär lösning API’er för system integration Användare Hämta utskrifter vid valfri skrivare Arbeta effektivare Miljö Mindre kasserade utskrifter

Summering – att ta med hem Med enkla medel och inställningar kan säkerheten i utskriftsmiljön höjas avsevärt! Med ytterligare åtgärder nås en mycket bra säkerhet för utskriftsmiljön samt även besparingar! NIST-lista: http://www.hp.com/united-states/business/catalog/nist_checklist.pdf http://checklists.nist.gov/repository/1087.html Kontakta gärna Atea specialistsäljare för analys och förslag

TACK

Security Checklist EWS Settings Web Jetadmin Settings Set the Embedded Web Server Password Configure the Access Control List Disable Allow Web Server (HTTP) access Configure Authentication Configure secure options on Send to Folder Set Encryption Strength to at least medium Web Jetadmin Settings Enable SNMPv3 (Security page) Enable SSL

Security Checklist Device Page Settings Networking Page Options Set the Device Password Enable Job Retention Enable Job Hold Timeout Select a timeout value for jobs held Networking Page Options Disable all features on the features list except for 9100 Printing Set the privacy setting as desired Disable RCFG Setting Enable HTTPS

Security Checklist Protocol Stacks (Networking Page) Set the Device Password Disable IPX/SPX protocol stack Enable TCP/IP protocol stack Enable DLC/LLC protocol stack Disable AppleTalk protocol stack

Security Checklist Security Page Options Enable Outgoing Mail Disable Incoming Mail Disable Cancel Job Button Disable Go Button Disable Command Invoke Disable Command Download Disable Command Load and Execute Set the File System password

Security Checklist Secure Erase Options Disable PJL, PML, and NFS protocols in File System External Access Enable the PostScript protocol in the File System External Access Set Control Panel Access Lock to Moderate Lock Secure Erase Options Set Secure File Erase to Secure (Fast) Erase. Use Secure Storage Erase often, and configure options for scheduling Digital Sending and Fax Options Fill in the Default From Address, and select Prevent users from changing the Default From Address Configure the PIN number for fax printing, on demand fax printing, fax forwarding, and fax blocking