Black Hat-konferensen pågår just nu i USA, och flera intressanta saker presenteras där. En sådan sak är att moderna skrivare kan vara nog så stora säkerhetsproblem, problem som normalt sett ignoreras i en organisation.

Brendan O´Connor beskrev i en presentation hur han genom att utnyttja en känd säkerhetsbugg i Linux kunde ta över en skrivare från Xerox. När detta hade skett kunde han använda skrivaren både för att undersöka resten av det lokala nätverket, men även för att sedan attackera andra maskiner, skicka meddelanden och på olika sätt ställa till med trassel. Vidare gick det utmärkt att manipulera inkommande utskriftsjobb så att det som kom ut på papper skilde sig från det som skickades från klientmaskinerna. Exempelvis lade Brendan in en bild av ett gem i hörnet på alla utskrifter.

Vad Brendan pekar på är att en skrivare i dag är en dator, väsentligen en nätansluten server i lika hög grad som andra servrar som tillhandahåller tjänster. Och dessa datorer innehåller applikationskod och operativsystem (exempelvis Linux, Windows Embedded) som liksom vanliga servrar behöver underhållas, övervakas och uppgraderas.

Tyvärr glöms detta bort – alla kan ju se skillnad pÃ¥ en skrivare och en dator, typ. Jag tror även att detta är en bild som leverantörerna av skrivare, kopiatorer osv (exempelvis HP, Xerox och Lexmark) gärna underblÃ¥ser – dom vill inte att kunderna skall betrakta deras maskiner som komplexa system med potentiella säkerhetsproblem. Följden blir att kunderna hÃ¥lls oinformerade och utan regelbundna patchar och stöd för underhÃ¥ll av det inbyggda systemet.

Jag ser även detta som ett tecken på trenden att koppla upp inbyggda system till nätverk utan att de säkerhetsmässiga konsekvenserna analyseras. Det finns stora vinster att göra, men samtidigt öppnas systemet upp för attacker, attacker som inbyggda system generellty sätt inte är byggda för att möta.

En sista observation att göra är hur vi (antagligen) litar på att kommunikation inte modifieras på vägen. Trycker jag på Print-knappen så förväntar jag mig att få ut en pappersversion av det jag ser på skärmen, och får jag inte det är det troligen en olycka, inte avsiktligt. I Brendans fall ledde detta till att skrivaren plockades isär i jakten på det förlupna gemet.