Una falla di sicurezza e la stampante prende fuoco

Un gruppo di ricercatori della Columbia University coordinati dal professor Salavatore Stolfo ha individuato una pericolosa falla di sicurezza che potrebbe rappresentare una seria minaccia alla sicurezza delle stampanti portando, in alcuni casi, ad un pericoloso surriscaldamento del dispositivo che potrebbe anche prendere fuoco.

La falla di sicurezza, se debitamente sfruttata, potrebbe consentire ad un attaccante di compromettere una stampante per entrare in possesso di informazioni riservate e per danneggiare fisicamente il dispositivo impartendo comandi che abbiano lo scopo di surriscaldare elementi della stampante ed incendiare i fogli di carta in essa contenuti.

Come riporta il sito web MSNBC, secondo il professor Stolfo è possibile sfruttare questa falla perché i firmware delle stampanti stanno acquisendo via via numerose funzionalità, senza che vengano compiuti passi avanti per quanto concerne la loro sicurezza. Per aggiornare il firmware delle proprie stampanti molte compagnie utilizzano un meccanismo di "Remote firmware update" senza firma digitale: ciò significa che l'aggiornamento potrebbe essere inviato da chiunque, dal momento che la stampante non dispone di alcun sistema che possa autenticare l'aggiornamento.

Il professor Stolfo ed il suo gruppo sono stati in grado di dimostrare le proprie tesi utilizzando alcune stampanti HP della serie Laserjet: inviando un comando remoto alla stampante laser è stato possibile riscaldare il fusore (l'elemento utilizzato per bruciare la polvere di toner sul foglio di carta) fino al punto in cui la carta ha iniziato a scurirsi e ad emettere fumo. A questo punto il sensore di temperatura integrato nella stampante ha spento il dispositivo prevenendo così l'insorgenza di un incendio. Il problema tuttavia non è circoscritto alle stampanti HP, ma può interessare le soluzioni di tutti i produttori che operano su questo mercato ed con un maggior grado di pericolosità quei modelli che non sono provvisti di sensori di temperatura.

L'attacco può avvenire da remoto, in particolare se la stampante supporta le funzionalità di cloud printing ed è, pertanto, accessibile da qualunque parte della rete. I ricercatori hanno effettuato un rapido scan della rete ed in pochi minuti hanno individuato 40 mila stampanti accessibili. Il numero reale di macchine vulnerabili potrebbe essere però molto più elevato. Commenta, a tal proposito, il professor Stolfo: "Penso che sia opportuno dare spazio al problema, così che tutti i produttori di stampanti inizino a considerare più seriamente le loro architetture di sicurezza. E' plausibile che tutte le stampanti siano vulnerabili, dispositivi di tre, quattro o cinque anni fa usano firmware non firmato. La domanda è: quante stampanti vi sono la fuori? Io credo che possano essere più di 100 milioni".

Secondo Stolfo neanche le stampanti locali potrebbero essere al sicuro: utilizzando un virus nascosto in un lavoro di stampa potrebbe infatti consentire di accedere alla stampante, sostituendo il firmware originale con una versione compromessa.

Mikko Hypponen, responsabile per la ricerca presso la società di sicurezza F-Secure, è rimasto stupito da questa falla. "Come è possibile che HP non disponga di una firma o di un certificato in grado di autenticare il nuovo firmware? Le stampanti rappresentano da sempre un punto debole per molte reti aziendali. Molte persone non realizzano che una stampante è un computer in tutto e per tutto, con gli stessi potenziali problemi dei PC e, se compromessa, lo stesso impatto".

Dal momento che la stampante rappresenta un elemento chiave all'interno della gestione del flusso documentale prodotto da un'azienda, è facile comprendere come un accesso non autorizzato a questo dispositivo può permettere di sottrarre documenti riservati e informazioni sensibili.

Il professor Stolfo è dell'opinione, condivisa dai ricercatori di sicurezza, che il problema non abbia una facile soluzione. Le soluzioni antivirus possono mettere a disposizione uno strumento per l'analisi dei lavori di stampa, ma non si tratterebbe di una misura realmente risolutiva. E' necessario, secondo Stolfo, un massiccio aggiornamento dei firmware delle stampanti, soprattutto per i modelli meno recenti. Questo rappresenta però un problema per le stampanti non connesse ad internet e per le quali sarebbe necessario uno sforzo coordinato tra i produttori di stampanti e i produttori di sistemi operativi.

Il problema sollevato dai ricercatori della Columbia University può potenzialmente interessare, come già detto, le stampanti di tutti i produttori presenti sul mercato. I ricercatori hanno però catalizzato l'attenzione in particolare su HP, utilizzando una stampante HP LaserJet per le loro dimostrazioni.

L'azienda statunitense, chiamata direttamente in causa, sta cercando di fare chiarezza sulla situazione. Secondo quanto riportato dal sito MSNBC, HP anzitutto ha dichiarato di aver adottato la firma digitale su tutte le linee di stampanti prodotte dal 2009, ma i ricercatori sono stati in grado di trovare stampanti non firmate commercializzate nel settembre 2011 da un office retailer. Il problema, tuttavia, riguarda anche le stampanti meno recenti in circolazione, un problema che tocca HP più da vicino per via del suo enorme market share. HP inoltre afferma che tutte le proprie stampanti sono dotate di sensore termico che non può essere, proprio per ragioni di sicurezza, controllato dal firmware.

HP inoltre ritiene che non sia possibile compromettere il firmware di una stampante mediante un lavoro di stampa infetto, dal momento che le variazioni di firmware sono possibili solamente tramite file speciali. I ricercatori hanno però dimostrato la possibilità di riprogrammare il firmware della stampante tramite macchine Mac OS X e Linux, mentre non è chiaro se questo sia possibile anche su sistemi Windows. Keith Moore, Chief Technology della divisione stampanti, ha dichiarato che la compagnia sta considerando il problema con la massima attenzione, aggiungendo tuttavia che è opportuno condurre ulteriori verifiche per capire quale possa essere la reale portata del problema, se interessa un prodotto specifco e se colpisce anche gli utenti Windows. "Se il problema dovesse risultare di ampia portata, prepareremo un fix per i nostri clienti. Supportiamo i nostri clienti e diamo valore alla fiducia che nutrono in noi" ha commentato Moore.

Abbiamo contattato direttamente HP per chiedere una posizione ufficiale in merito, che riportiamo di seguito:

"Today there has been sensational and inaccurate reporting regarding a potential security vulnerability with some HP LaserJet printers. No customer has reported unauthorized access. Speculation regarding potential for devices to catch fire due to a firmware change is false.

HP LaserJet printers have a hardware element called a “thermal breaker” that is designed to prevent the fuser from overheating or causing a fire. It cannot be overcome by a firmware change or this proposed vulnerability.

While HP has identified a potential security vulnerability with some HP LaserJet printers, no customer has reported unauthorized access. The specific vulnerability exists for some HP LaserJet devices if placed on a public internet without a firewall. In a private network, some printers may be vulnerable if a malicious effort is made to modify the firmware of the device by a trusted party on the network. In some Linux or Mac environments, it may be possible for a specially formatted corrupt print job to trigger a firmware upgrade.

HP is building a firmware upgrade to mitigate this issue and will be communicating this proactively to customers and partners who may be impacted. In the meantime, HP reiterates its recommendation to follow best practices for securing devices by placing printers behind a firewall and, where possible, disabling remote firmware upload on exposed printers.

Security threats are a reality of any networked device. HP takes these threats seriously no matter how small the risk might be. It is this attention to customers and culture of engineering excellence that continues to define HP and the LaserJet brand.

Additional information is available at www.hp.com/go/secureprinting."

Riassumendo il contenuto: HP smentisce la possibilità che le stampanti possano prendere fuoco, proprio perché equipaggiate con un dispositivo di sicurezza che prevenga il surriscaldamento del fusore. La compagnia riconosce l'esistenza di una potenziale vulnerabilità in alcune delle stampanti LaserJet, anche se fino ad ora nessun cliente ha mai notificato un'intrusione non autorizzata. Secondo HP la vulnerabilità sussiste per stampanti collocate su rete pubblica non protetta da firewall. HP riconosce inoltre la possibilità di utilizzare lavori di stampa corrotti in ambienti Mac o Linux per compromettere il firmware della stampante. HP sta approfondendo il problema e sta realizzando un firmware risolutivo, nel frattempo consiglia di seguire tutte le comuni pratiche di sicurezza collocando le stampanti di rete dietro un firewall e disabilitando le funzionalità di aggiornamento firmware remoto.

L'analisi condotta dal professor Stolfo, che è stata divulgata con toni forse un po' troppo sensazionalistici, è comunque importante per sensibilizzare il pubblico su un aspetto piuttosto delicato: con la concretizzazione dell'"Internet delle cose" vi sono sempre più dispositivi che si rendono riconoscibili sulla rete, comunicando tra loro e potendo accedere ad una vasta mole di informazioni. L'attenzione alla sicurezza che è stata posta in questi ultimi anni sui normali sistemi computer ed estesa agli smartphone deve essere parimenti trasferita anche a tutti quei dispositivi che in un modo o nell'altro utilizzeremo sempre più quotidianamente ed introdurremo in quegli ambienti che riteniamo essere sicuri.

"Attualmente molte poche persone pensano alla sicurezza di tutti questi dispositivi. C'è un'area che è completamente ignorata. Esiste un livello di tranquillità per alcuni sistemi che non ha senso Non c'è attenzione alla sicurezza di questi dispositivi che diamo per scontati e che portiamo tutti i giorni in ambienti sicuri" ha commentato Stolfo, che da qualche anno si occupa di studiare la sicurezza dei dispositivi elettronici connessi in rete e che, probabilmente, ha sfruttato questa scoperta per far sentire un po' più rumorosamente la propria voce.