Una falla di sicurezza e la stampante prende fuoco

Il problema sollevato dai ricercatori della Columbia University può potenzialmente interessare, come già detto, le stampanti di tutti i produttori presenti sul mercato. I ricercatori hanno però catalizzato l'attenzione in particolare su HP, utilizzando una stampante HP LaserJet per le loro dimostrazioni.

L'azienda statunitense, chiamata direttamente in causa, sta cercando di fare chiarezza sulla situazione. Secondo quanto riportato dal sito MSNBC, HP anzitutto ha dichiarato di aver adottato la firma digitale su tutte le linee di stampanti prodotte dal 2009, ma i ricercatori sono stati in grado di trovare stampanti non firmate commercializzate nel settembre 2011 da un office retailer. Il problema, tuttavia, riguarda anche le stampanti meno recenti in circolazione, un problema che tocca HP più da vicino per via del suo enorme market share. HP inoltre afferma che tutte le proprie stampanti sono dotate di sensore termico che non può essere, proprio per ragioni di sicurezza, controllato dal firmware.

HP inoltre ritiene che non sia possibile compromettere il firmware di una stampante mediante un lavoro di stampa infetto, dal momento che le variazioni di firmware sono possibili solamente tramite file speciali. I ricercatori hanno però dimostrato la possibilità di riprogrammare il firmware della stampante tramite macchine Mac OS X e Linux, mentre non è chiaro se questo sia possibile anche su sistemi Windows. Keith Moore, Chief Technology della divisione stampanti, ha dichiarato che la compagnia sta considerando il problema con la massima attenzione, aggiungendo tuttavia che è opportuno condurre ulteriori verifiche per capire quale possa essere la reale portata del problema, se interessa un prodotto specifco e se colpisce anche gli utenti Windows. "Se il problema dovesse risultare di ampia portata, prepareremo un fix per i nostri clienti. Supportiamo i nostri clienti e diamo valore alla fiducia che nutrono in noi" ha commentato Moore.

Abbiamo contattato direttamente HP per chiedere una posizione ufficiale in merito, che riportiamo di seguito:

"Today there has been sensational and inaccurate reporting regarding a potential security vulnerability with some HP LaserJet printers. No customer has reported unauthorized access. Speculation regarding potential for devices to catch fire due to a firmware change is false.

HP LaserJet printers have a hardware element called a “thermal breaker” that is designed to prevent the fuser from overheating or causing a fire. It cannot be overcome by a firmware change or this proposed vulnerability.

While HP has identified a potential security vulnerability with some HP LaserJet printers, no customer has reported unauthorized access. The specific vulnerability exists for some HP LaserJet devices if placed on a public internet without a firewall. In a private network, some printers may be vulnerable if a malicious effort is made to modify the firmware of the device by a trusted party on the network. In some Linux or Mac environments, it may be possible for a specially formatted corrupt print job to trigger a firmware upgrade.

HP is building a firmware upgrade to mitigate this issue and will be communicating this proactively to customers and partners who may be impacted. In the meantime, HP reiterates its recommendation to follow best practices for securing devices by placing printers behind a firewall and, where possible, disabling remote firmware upload on exposed printers.

Security threats are a reality of any networked device. HP takes these threats seriously no matter how small the risk might be. It is this attention to customers and culture of engineering excellence that continues to define HP and the LaserJet brand.

Additional information is available at www.hp.com/go/secureprinting."

Riassumendo il contenuto: HP smentisce la possibilità che le stampanti possano prendere fuoco, proprio perché equipaggiate con un dispositivo di sicurezza che prevenga il surriscaldamento del fusore. La compagnia riconosce l'esistenza di una potenziale vulnerabilità in alcune delle stampanti LaserJet, anche se fino ad ora nessun cliente ha mai notificato un'intrusione non autorizzata. Secondo HP la vulnerabilità sussiste per stampanti collocate su rete pubblica non protetta da firewall. HP riconosce inoltre la possibilità di utilizzare lavori di stampa corrotti in ambienti Mac o Linux per compromettere il firmware della stampante. HP sta approfondendo il problema e sta realizzando un firmware risolutivo, nel frattempo consiglia di seguire tutte le comuni pratiche di sicurezza collocando le stampanti di rete dietro un firewall e disabilitando le funzionalità di aggiornamento firmware remoto.

L'analisi condotta dal professor Stolfo, che è stata divulgata con toni forse un po' troppo sensazionalistici, è comunque importante per sensibilizzare il pubblico su un aspetto piuttosto delicato: con la concretizzazione dell'"Internet delle cose" vi sono sempre più dispositivi che si rendono riconoscibili sulla rete, comunicando tra loro e potendo accedere ad una vasta mole di informazioni. L'attenzione alla sicurezza che è stata posta in questi ultimi anni sui normali sistemi computer ed estesa agli smartphone deve essere parimenti trasferita anche a tutti quei dispositivi che in un modo o nell'altro utilizzeremo sempre più quotidianamente ed introdurremo in quegli ambienti che riteniamo essere sicuri.

"Attualmente molte poche persone pensano alla sicurezza di tutti questi dispositivi. C'è un'area che è completamente ignorata. Esiste un livello di tranquillità per alcuni sistemi che non ha senso Non c'è attenzione alla sicurezza di questi dispositivi che diamo per scontati e che portiamo tutti i giorni in ambienti sicuri" ha commentato Stolfo, che da qualche anno si occupa di studiare la sicurezza dei dispositivi elettronici connessi in rete e che, probabilmente, ha sfruttato questa scoperta per far sentire un po' più rumorosamente la propria voce.