Apple @ Work : pourquoi votre imprimante est l’appareil le moins sécurisé du réseau

La menace ignorée

Lorsque les équipes de sécurité inventorient leur surface d’attaque, elles pensent généralement aux serveurs, aux terminaux, aux identités cloud et aux appareils mobiles. Très peu d’organisations considèrent l’imprimante multifonction de bureau (MFP) comme un actif de sécurité à part entière. C’est une grave erreur. Les imprimantes partagent le même réseau que tout le reste, mais elles sont souvent exclues des programmes de correctifs, des politiques de segmentation et de la surveillance, exactement le type de négligence que les attaquants adorent.

Dans le contexte des entreprises centrées sur Apple, où la gestion des appareils comme le DEP d’Apple et la sécurité fondée sur l’identité sont matures, l’imprimante reste un vestige du passé. AirPrint simplifie l’envoi d’un document vers une imprimante, mais les services qui rendent cette commodité possible fournissent aussi une porte d’entrée au trafic malveillant. Si une seule imprimante est compromise, elle peut devenir un point de pivot vers des serveurs, des partages de fichiers, voire des API de gestion cloud.

Pourquoi les imprimantes sont particulièrement peu sûres

Il n’existe pas de défaut de conception unique qui fasse des imprimantes l’équipement le moins sécurisé. C’est plutôt une combinaison de facteurs qui crée un profil de risque particulièrement mauvais.

Négligence du firmware

Contrairement aux ordinateurs portables qui reçoivent des mises à jour de sécurité mensuelles, les imprimantes passent souvent des années sans le moindre correctif. Beaucoup d’équipes IT traitent une imprimante comme un appareil ménager : on la branche, on la configure une fois, puis on l’oublie. Les fournisseurs eux-mêmes ne proposent souvent que des correctifs de firmware sporadiques, sans véritable canal d’avis de sécurité. Lorsqu’une vulnérabilité critique est révélée, la réponse est trop lente pour empêcher une exploitation en cours. Les imprimantes en fin de vie sont encore pires : elles ne reçoivent aucune mise à jour, laissant des failles connues ouvertes indéfiniment.

Identifiants par défaut et protocoles ouverts

À la sortie de l’emballage, les imprimantes ont tendance à proposer des interfaces d’administration simples avec des identifiants par défaut comme "admin:password" ou "admin:1234". Les attaquants recherchent des appareils exposant le port 9100 (impression brute), le 515 (LPD) ou le 631 (IPP) et testent ces valeurs par défaut. Même lorsque les mots de passe ont été modifiés, les serveurs web embarqués exposent souvent des informations système détaillées qui facilitent d’autres attaques.

Positions privilégiées sur le réseau

Les imprimantes ne sont pas placées dans un coin verrouillé. Elles se trouvent dans les bureaux, généralement sur le même sous-réseau que les postes de travail. À partir de là, elles peuvent initier des connexions sortantes, recevoir du trafic entrant non sollicité et communiquer avec n’importe quel autre appareil du réseau. C’est une violation du principe de zero trust : chaque appareil ne devrait disposer que de l’accès strictement nécessaire. Les imprimantes ont rarement besoin de parler à tous les ordinateurs des employés, encore moins à tous les serveurs ou à Internet.

Les entreprises Apple ne sont pas à l’abri

Il peut être tentant de penser qu’un environnement entièrement Mac est intrinsèquement plus sûr. C’est vrai pour les terminaux eux-mêmes, mais les imprimantes sont indépendantes de la plateforme. Une imprimante AirPrint utilise Bonjour pour annoncer ses services, ce qui permet à n’importe quel Mac, iPhone ou iPad de la trouver facilement. Le problème est que la découverte via Bonjour fonctionne aussi pour des attaquants déjà présents sur le réseau local. Ils peuvent dresser l’inventaire des imprimantes et tenter d’accéder aux interfaces de gestion sans même paraître suspects.

De plus, à mesure qu’Apple continue de promouvoir un écosystème connecté, de plus en plus d’appareils intègrent l’environnement de l’entreprise. Cela signifie davantage de données circulant dans les flux d’impression, et davantage d’occasions pour une imprimante compromise d’espionner ou d’exfiltrer des documents sensibles. L’imprimante n’est plus seulement un matériel qui déplace du papier ; c’est un terminal réseau qui voit l’ensemble du bureau.

Durcir l’appareil le moins sécurisé

Heureusement, des mesures simples peuvent éliminer la majeure partie du risque sans sacrifier la productivité.

• Placez les imprimantes sur un VLAN isolé ou sur un réseau d’impression dédié avec des règles de pare-feu strictes. Autorisez uniquement les communications nécessaires et précises, comme les travaux d’impression depuis des appareils autorisés et le trafic d’administration depuis un sous-réseau d’administrateurs.
• Créez un calendrier de mise à jour du firmware. Comme pour les systèmes d’exploitation, fixez un rappel trimestriel, voire mensuel, pour vérifier et déployer les correctifs des imprimantes. Intégrez cela au processus standard de gestion du cycle de vie.
• Désactivez tous les services inutilisés, y compris FTP, Telnet, HTTP s’il n’est pas nécessaire, ainsi que le port brut 9100 lorsque les imprimantes réseau peuvent utiliser des protocoles plus sûrs comme IPPS. Restreignez aussi SNMP et les chaînes de communauté en lecture seule.
• Modifiez les mots de passe par défaut sur tous les appareils d’impression et exigez des identifiants administratifs robustes. Utilisez des coffres-forts centralisés ou des services d’annuaire pour les gérer.
• Activez la journalisation et intégrez les imprimantes à votre outil de gestion des informations et événements de sécurité (SIEM). Surveillez les impressions en rafale inhabituelles, les connexions administrateur en dehors des heures ouvrables et les comportements d’analyse sortante.
• Réalisez chaque année une évaluation de sécurité des imprimantes. Elle doit inclure la revue des avis de sécurité du fabricant, l’évaluation du statut EOL du modèle et la vérification de la configuration de l’appareil par rapport à une base de référence. Lors du remplacement des imprimantes, exigez des modèles offrant des engagements de mise à jour vérifiables et des capacités de secure boot.

Au-delà des changements de configuration, les entreprises devraient aussi penser à la sécurité physique des imprimantes. Beaucoup d’appareils disposent de disques durs amovibles qui stockent des images des travaux d’impression, donc les procédures de mise hors service doivent inclure un effacement sécurisé du disque. Dans les zones partagées ou ouvertes, l’impression devrait exiger une authentification sur l’appareil, comme une libération par badge ou par code PIN, afin d’éviter que des documents sensibles ne soient laissés dans le bac de sortie.

Au-delà de la machine : culture et politique

Sécuriser les imprimantes n’est pas uniquement un problème technique. La raison pour laquelle elles restent peu sûres est souvent culturelle. Dans de nombreuses organisations, les imprimantes sont gérées par les services généraux ou les responsables de bureau, et non par les équipes de sécurité. Elles n’apparaissent donc ni dans la liste des actifs ni dans la feuille de route de sécurité. Pour corriger cela, confiez explicitement la sécurité des imprimantes à l’équipe des opérations IT et assurez-vous qu’elle dispose du budget et du mandat nécessaires.

Il vaut aussi la peine de repenser les données imprimables. Les travaux d’impression contiennent souvent des données personnelles, des relevés financiers ou des documents propriétaires. De nombreuses imprimantes modernes stockent des images sur leurs disques, qui peuvent être accessibles après la mise hors service. Des politiques solides sur la mise hors service des appareils, l’effacement des disques et l’impression sécurisée par libération réduiront fortement le risque.

La sensibilisation est tout aussi importante. Les utilisateurs ne devraient pas pouvoir contourner les mesures de sécurité ni installer des pilotes tiers qui ouvrent d’autres vecteurs. Dans un environnement centré sur Apple, les administrateurs peuvent utiliser des profils pour limiter la découverte des appareils AirPrint et imposer le chiffrement pour les appareils Apple communiquant avec les imprimantes. Cependant, ces réglages ne protègent que le côté Apple ; l’imprimante elle-même reste vulnérable si elle n’est pas durcie et corrigée.

La voie à suivre : bâtir une défense complète

Comme cette analyse le montre, les imprimantes sont l’équipement le moins sécurisé dans la plupart des organisations non pas parce qu’elles seraient intrinsèquement malveillantes, mais parce qu’on les ignore. L’attention apporte des progrès. Pour les administrateurs Apple en particulier, la feuille de route est claire : intégrer les imprimantes à la posture de sécurité de l’entreprise, exiger des paramètres sécurisés par défaut et appliquer la gouvernance avec la même rigueur que pour les Mac et les iPhone. Une fois cela fait, l’imprimante ne sera plus le point faible de défenses par ailleurs solides.

À une époque où les attaquants recherchent en permanence des faiblesses, laisser toute une catégorie d’appareils sans gestion ni correctifs n’est pas seulement un oubli - c’est une invitation. La prochaine fois que vous passerez devant l’imprimante du bureau, regardez-la autrement. C’est peut-être l’équipement le plus dangereux que vous possédez.

Cet article s’appuie sur un reportage de 9to5Mac. Lire l’article original.