エンドツーエンドの印刷セキュリティに関するガイド

  

昨今では、デジタル保存されている、転送中、またはプリンタから印刷される機密情報のセキュリティと保護が必須となっています。

この記事では、転送中のプリント・ジョブの保護の方法に焦点を当てています。
言い換えるとネットワーク上のプリント・ジョブのエンドツーエンド暗号化です。

一般的な印刷環境に保護に関する情報は下記のPaperCut Security Whitepaper を参照してください。

【PaperCut Security Whitepaper】(英語)
　https://www.papercut.com/kb/Main/SecurityWhitepaper

現在および将来の保護を確実にするために、次の方法を説明します。

・ 設定する

・ 有効にする

・ ネットワーク上のプリント・ジョブの暗号化のメンテナンス

設定する

クライアントからプリント・サーバ

Windowsクライアント

Windowsプリント・システムは、サーバへのスプール・ファイルの印刷にサーバメッセージブロック(SMB)を使用しています。
これはファイル共有に使用されているプロトコルと同じです。
SMBは暗号化されています。SMB3の導入によりさらに安全になりました。

推奨する設定として、サーバ上のSMB1を無効化することを検討してください。
(ただし、Windows XPやWindows 2003以前のPC/サーバを使用している場合、印刷やファイル共有ができなくなります。)

SMB1を無効化したサーバ上で次のコマンドを実行することでSMB1を使用しているクライアントがあるかどうかを確認することができます。

Get-SmbSession | Select Dialect,ClientComputerName,ClientUserName | Where-Object {$_.Dialect –lt 2.00}

SMB1を無効化するバイア、サーバ上で次のコマンドを実行してください。

Set-SmbServerConfiguration –EnableSMB1Protocol $false

macOSクライアント

macOSクライアントからWindowプリント・サーバへ印刷する場合、次のいずれかのプロトコルを使用します。

・ LPR/LPD

・ SMB

・ IPPS (推奨)

LPR/LPD

LPR/LPDは暗号化されません。セキュリティを重視する場合、IPPS接続を使用することを推奨します。

SMB

macOSコンピュータでSMBプリンタを管理するのはセキュリティの観点以外で手間がかかるためお勧めしていません。
そのため、IPPS接続を使用することを推奨します。なお、SMB接続を使用する場合、少なくともプリント・ジョブはネットワーク経由で暗号化されます。

IPPS

IPPSはHTTPS接続経由のIPPです。本質的にHTTPS Webページを取得するのと同じレベルの暗号を使用します。
macOSコンピュータは自己署名証明書を受け入れます。後述する「iOSクライアント」を参照してください。

IPPS展開には次の2つのオプションがあります。

　　1． モビリティ・プリントを展開: モビリティ・プリントはBYODと管理された
　　　　macOSコンピュータが混在する環境で非常によく動作します。
　　　　どちらもモビリティ・プリント・サーバに接続してセキュアに認証できます。
　　　　モビリティ・プリントはWindowsプリント・サーバに展開できるため、
　　　　追加のmacOSサーバは必要ありません。
　　　　モビリティ・プリントはクライアント接続にHTTPSを使用します。

　　2． macOSサーバに展開: macOSサーバで、ユーザが印刷する時に資格情報を入力しないようにしたい場合、
　　　　Keberosなどの追加ツールを展開することができます。
　　　　追加のサーバとクライアントを構成するのに必要なオーバーヘッドやコストにより、
　　　　代わりにモビリティ・プリントを使用することを推奨します。

iOSクライアント

モビリティ・プリントは、IPPSがプリント・プロトコルとして使用されるため、iOSとmacOSの両方の暗号化に適しています。

ただし、iOSデバイスとmacOSデバイスのどちらも自己署名証明書を受け入れることに注意してください。
デバイスとサーバ間に多くのホップがあるオープン・インターネットの場合、
これらホップのいずれかに中間者攻撃を引き起こす可能性があるため、自己署名証明書は安全ではありません。
なお、ローカル・ネットワークの場合(特にスイッチド・ネットワーク環境の場合)、そのリスクはかなり低減します。

ベスト・プラクティス: 中間者攻撃のリスクを最小限に抑えたい場合、安全なWifiプロトコルを使用してください。
　　　　　　　　　　  またアドレス詐称の試みを監視するセキュリティ・ツールの使用を検討してください。

Androidクライアント

PaperCutのMobility Print アプリは、Androidデバイスで追加設定なしに暗号化された印刷に使用されます。
プリント・ジョブはHTTPS経由でモビリティ・プリント・サーバへ送信されます。iOSやmacOSと同様に、自己署名証明書が受け入れます。

ChromeOSクライアント

モビリティ・プリントを使用する場合、すべてのプリント・ジョブに256bit レベルのAES暗号が適用されます。

プリント・サーバからプリンタ

まず、プリンタがIPPSをサポートしている必要があります。プリンタの使用を確認してください。

プリンタがIPPSをサポートしている場合、プリント・サーバとプリンタ間を暗号化された接続に設定できます。
プリンタがLPDのみをサポートしている場合、第三者がプリント・ジョブを傍受して盗まないようにするためできることがいくつかあります。下記を参照してください。

サーバとプリンタ間のIPPS: PaperCut Plus/MFは、IPPS経由でプリント・ジョブをプリンタへ安全に転送できます。
IPPSプリンタとPaperCut Plus/MFの設定方法については「Windowsプリント・サーバにIPPSプリンタをインストールする方法」の記事を参照してください。

IPPSをサポートしていないプリンタを保護する方法: プリント・ジョブは暗号化されないため、
サーバとプリンタ間のネットワーク・トラフィックを他のネットワークから分離することが唯一の防御策となります。

まず、別のVLANでプリンタを構成します。
次にプリンタからネットワーク・ケーブルを抜いて第三者がプライベートVLANにアクセスできないようにするためには、スイッチのマニュアルを参照し、
プリンタのMacアドレスのみを受け入れるようにポート・セキュリティを設定してください。

有効にする

Webサイトの暗号化が設定されているかどうかの確認は簡単です。ブラウザを開いてセキュリティ警告が表示されるかどうかをチェックするだけです。

プリント・ジョブの暗号化をチェックするのは少し複雑です。ネットワーク・プロトコルの解析にはWiresharkが必要です。
Wiresharkの使い方は別途Wiresharkのガイドを参照してください。

ネットワーク上のプリント・ジョブの暗号化のメンテナンス

前述したように、セキュリティの重要な部分メンテナンスです。メンテナンスを怠ることで脆弱性が発生することもあります。
この記事では、プリント環境をより安全なものにするためのヒントを記載します。

1． 組織のセキュリティ・ポリシーと設計を文書化しましょう。
　　担当者が変わってもドキュメントが残っていれば後任者は引き続きメンテナンスを行うことができます。

2． プリンタを異なったVLANまたは専用のIP範囲にしておき、
　　IPPS以外のすべてのプロトコルを無効化します。

3． 自動アップデートを有効化し、ソフトウェアやオペレーティングシステムは
　　常に最新のセキュリティ・アップデートが適用されているようにしてください。

4． Microsoftのセキュリティ通知を登録してください。

5． 次のGoogleアラートを作成することを検討してください。

　　　MacOS セキュリティ・アラート

　　　iOS セキュリティ・アラート

　　　ChromeOS セキュリティ・アラート

　　　Android セキュリティ・アラート

　　　IPPS セキュリティ・アラート