ผมใช้เครื่องพิมพหลายตัวในชีวิต แตไม่เคยใช้ Wireless printer เร็วๆ นี้ ผมตัดสินใจซื้อเครื่องพิมพ์ all-in-one ราคาถูก หรือควรใช้คำว่า budget ที่แม่นยำกว่า HP DeskJet 3630 All-in-One ซึ่งในหลายอย่าง ก็มาพร้อมการเชื่อมต่อไร้สาย
การไม่ใช้สายดูน่าสนใจ จึงตัดสินใจตั้งค่าอุปกรณ์ให้เข้าถึงได้ผ่านฟังก์ชันไร้สาย ระหว่างการตั้งค่า ผมเริ่มสงสัยว่าเครื่องพิมพ์นี้อาจมีความปลอดภัยอย่างไร ทุกอย่างดูลึกลับ และอาจมีผลกระทบต่อผู้ใช้ปลายทาง จึงมีคู่มือนี้
กฎเกณฑ์พื้นฐาน
ก่อนอื่น เริ่มกับการชี้แจงสองสามข้อ หนึ่ง ผมจะเขียนเกี่ยวกับรุ่นเฉพาะของผม แตหลักการที่ระบุในบทความนี้เป็นจริงสำหรับอุปกรณ์พิมพ์ทุกตัว จริงๆ แล้ว สำหรับ IoT device ทุกตัว สิ่งที่ผมเขียนเกี่ยวกับการตั้งค่าและความปลอดภัย router ไปนานมานี้ยังคงถูกต้อง และ tutorial นี้ปฏิบัติตามแนวคิดเดียวกัน คุณต้องปฏิบัติกับ gadget ที่ติดเครือข่ายด้วยความระมัดระวังเล็กน้อยและรายละเอียดเล็กน้อย
เครื่องพิมพ์ที่สามารถเชื่อมต่อไร้สายได้ คืออะไร? มันคือคอมพิวเตอร์เล็กที่สามารถผลิตหน้าข้อความและสีที่สวยงาม และยังรัน Web server คำศัพท์ยอดนิยมคือ Embedded Web Server (EWS) 聽起來ไม่ glamorous เท่าความคิดที่ว่าเครื่องพิมพ์ของคุณเป็น blackbox ที่สามารถโทรกลับบ้าน สั่งหมึก และทำ魔法ได้ ไม่มีอย่างนั้น
แต่นี่หมายถึงหนึ่งอย่าง — หากมี Web service มันจะรอการเชื่อมต่อเข้า ดังนั้นเราจำเป็นต้องทำให้มันปลอดภัย และนี่เป็น exercise ที่ง่ายและอาจสนุก เราจะทำตอนนี้ และถ้าคุณทำเหมือนกันกับ IoT devices ของคุณ คุณจะลดระดับเสียงและความเสี่ยงบางอย่างที่เกี่ยวข้องกับการปล่อยให้รันด้วย default user rights, open connections, ไม่มีรหัสผ่าน และอื่นๆ
เข้าถึง Web server
หลังจากตั้งค่าเครื่องพิมพ์แล้ว คุณต้องเข้าถึงด้วย IP address อาจเป็นอะไร? หากคุณเก่ง คุณสามารถสแกนเครือข่ายเพื่อหาได้ สำหรับคนส่วนใหญ่ จะเป็น local IP address ใน LAN ตามที่ตั้งค่าหลัง router Router อาจเป็น ISP appliance, streamer box หรืออุปกรณ์เชื่อมต่อที่ให้คุณต่อเครื่องอื่นๆ ไว้หลังมัน และให้ทุกอย่างเล่นและคุยกันได้ดี อีกวิธีคือเข้าถึง printer properties ซึ่งจะเปิดเบราว์เซอร์
ในกรณีของผม เครื่องพิมพ์ได้รับ IP address แรกในตาราง DHCP ของ router คือ 192.168.2.100 การเชื่อมต่อไม่ปลอดภัยโดย default ซึ่งไม่ใช่เรื่องใหญ่ถ้าคุณเชื่อมต่อผ่าน wired network จากเดสก์ท็อป
Tip 1: เมื่อพยายามรักษาความปลอดภัยเครื่องพิมพ์ เนื่องจากอาจไม่มี secure connection ให้ทำผ่าน wired network อย่างน้อยจนกว่าจะตั้งค่าเสร็จ
บนหน้านี้ คุณสามารถตั้งค่าทุกแง่มุมของอุปกรณ์พิมพ์ ได้เหมือนหน้าหลักของ router ทุกตัว คุณควรตรวจสอบทุกตัวเลือกอย่างละเอียดเพื่อเข้าใจอย่างเต็มที่ สิ่งน่าสนใจส่วนใหญ่จะอยู่ภายใต้ Tools และ Settings
Wi-Fi Direct, AirPrint™
HP โฆษณาว่ารุ่นนี้ใช้งานง่ายมากสำหรับพิมพ์จากสมาร์ทโฟนหรือแท็บเล็ต แต่หมายถึงอะไรจริงๆ? ถ้าคิดถึง ผู้ผลิตมือถือเคร่งครัดมากเรื่อง driver installation ถ้าไม่หา driver ใน app store ได้ คุณน่าจะติดตั้งไม่ได้ Driver ยังต้องการ elevated permissions และอาจ messy
ดังนั้นทางเลือกคือให้ connectivity แบบ web-like รวดเร็วสำหรับมือถือ และนี่คือสิ่งที่ protocol สองตัวนี้ทำ ไอเดียดี แตไม่สามารถออกแบบให้ปลอดภัยได้ เพราะจำกัด functionality
จริงๆ Wi-Fi Direct มาพร้อม default name และ password ที่เหมือนกันสำหรับเครื่องพิมพ์รุ่นนี้ และน่าจะเป็นสิ่งเดียวกันกับหลายโมเดล คล้าย admin:admin setup ทุกอย่าง ดังนั้นคุณอาจอยากแก้ไขการตั้งค่า เปลี่ยน default หรือปิด service นี้เลย
Tip 2: แก้ไข default user names และ passwords สำหรับ sharing/connectivity services ที่เปิดใช้งานบนอุปกรณ์พิมพ์ของคุณ
เพื่อเป็นธรรม คุณสามารถปรับแต่ง service นี้ได้จริง Enable/disable เริ่มต้น เปลี่ยน connection method, name, password, broadcast options, reporting ฯลฯ ค่อนข้าง handy นี่คือขั้นตอนแรกในการ harden เครื่องพิมพ์อย่างนุ่มนวล ไม่ได้หมายถึง l33t hax0rz จะ pwn คุณทุกเมื่อ แตคุณควรไม่ใช้ defaults มันไม่เคารพตัวเองและอินเทอร์เน็ตกว้าง แม้ไม่มีใครจะใช้เครือข่ายหรือเครื่องพิมพ์ของคุณก็ตาม
AirPrint™ เป็น concept คล้ายกันสำหรับผลิตภัณฑ์ Apple คุณแม้แต่ geo-mark อุปกรณ์ได้ สำหรับเครื่องพิมพ์รุ่นนี้เฉพาะ ผมไม่มีตัวเลือกปิด AirPrint™ ซึ่งดูวิตกกังวล แต่ไม่จริง ต่อไป เมื่อเราเดินทางผ่าน Web interface เราจะเห็น service นี้ และ additional services ที่มันพึ่งพา สามารถปิดได้
Internet Printing Protocol (IPP)
นี่นำเราไปสู่ขั้นตอนต่อไปในการตั้งค่าเครื่องพิมพ์ เราจะกลับมาที่ Google Cloud Print ทีหลัง ไม่ว่า ไปปรกลับ คุณอาจคิดว่าต้องการ functionality นี้เพื่อพิมพ์ผ่านเครือข่าย เพราะอินเทอร์เน็ตและอื่นๆ ไม่ ถ้าคุณไม่ได้วางแผนเข้าถึงเครื่องพิมพ์นอก home LAN ให้ปิด protocol
Tip 3: ปิด services ที่คุณไม่ต้องการ
User Access List ระบุว่าใครสามารถเชื่อมต่อได้ แตอาจไม่ใช่สิ่งฉลาดที่สุด เพราะ access lists มักหลีกเลี่ยงได้ง่าย เพิ่มเติม คุณไม่สามารถพิมพ์จากอินเทอร์เน็ตได้จริง หากคุณไม่ตั้งค่า router ให้อนุญาต incoming connections นั่นหมายถึงการเปิด port ไม่ใช่สิ่งที่เหมาะสมสำหรับคนส่วนใหญ่
Bonjour
สวัสดีครับ Bonjour อยู่ภายใต้ Advanced Settings สำหรับ HP 3630 มันคือ zero-configuration networking implementation (โดย Apple) ออกแบบมาเพื่อช่วย discovery และ name resolution ของอุปกรณ์ เช่น เครื่องพิมพ์ของคุณ กล่าวอีกนัยหนึ่ง หากคุณไม่ใช้ผลิตภัณฑ์ Apple หรือไม่ตั้งใจใช้ AirPrint™ คุณสามารถปิด Bonjour ซึ่งร่วมกับ IPP จะปิด AirPrint™ Bob's your uncle
การตั้งค่าอื่นๆ
Certificates
โดยทั่วไป เครื่องพิมพ์ส่วนใหญ่ใช้ self-signed certificate สำหรับหน้าที่ต้องแสดงอย่างปลอดภัย (HTTPS) เช่น หน้าที่คุณเปลี่ยนรหัสผ่าน admin คุณสามารถเปลี่ยน certificates ได้ แตจะ reset existing connections Web stuff ธรรมดา
Admin password
การจัดการรหัสผ่านปกติทำผ่าน basic .htaccess file ซึ่งป้องกันคนจากการเข้าถึงหน้าตั้งค่าและทำลาย ตัวอย่าง เครื่องพิมพ์ของผมมาพร้อมไม่มีรหัสผ่านเลย เปลี่ยนเป็นอะไรก็ได้ จดจำ tip 2 เหมือนที่พูดใน Ronin สิ่งที่สองที่สอนใน CIA คืออะไร? และจำไว้ว่าเครื่องพิมพ์บางตัวอาจเก็บรหัสผ่านเป็น clear-text ดังนั้นคุณอาจอยากใช้อย่างอื่นนอกจาก credentials ธนาคาร Kapish?
Firmware updates
อาจช่วยให้ firmware เครื่องพิมพ์ทันสมัย ปกติผมระมัดระวัง firmware updates เพราะอาจนำเสนอผลิตภัณฑ์ brick อุปกรณ์ หรือ reset settings แต่สำคัญสำหรับอุปกรณ์ที่面向อินเทอร์เน็ต โดยเฉพาะที่สามารถรัน services ได้ IoT ราคาถูกมักมาพร้อมความปลอดภัยเบา และมักง่ายต่อการ exploit ดังนั้นคุณอาจพิจารณา firmware upgrades บ้าง จดจำ นี่คือคอมพิวเตอร์เล็ก และอาจต้องการความรักจากคุณ
บริการอื่นๆ เช่น Google Cloud Print, Webscan, ฯลฯ
Google Cloud Print ไม่ซับซ้อน และไม่ enabled by default จนกว่าคุณจะอนุญาตให้เครื่องพิมพ์เชื่อมต่อกับบริการของ Google และแชร์ unique ID ของเครื่องพิมพ์ ดังนั้นตัวนี้จะไม่เป็น ET Phone Home capability เว้นแต่คุณทำอย่างชัดเจน
Webscan อีกครั้ง คุณเข้าใจความคิด ทำอย่าง local บนเครือข่ายของคุณ หรือให้คน รวมถึงคุณ ใช้งานผ่านอินเทอร์เน็ต ตอนนี้ ทุกอย่างที่เครื่องพิมพ์ทำ ไม่สนใจ router settings และ firewall จึงส่วนใหญ่ไม่ทำงาน แม้ enabled แต่เป็นการดีที่จะเป็น master ของ運命ของคุณ เหมือน He-Man
สุดท้าย คุณควรคิดถึง IPv4 vs IPv6, proxy settings, network identification hostname ที่เครื่องพิมพ์ของคุณจะเป็นที่รู้จัก อีกครั้ง ไม่รู้ทำไม ผมมี flashbacks ของ Monty Python และ Blackadder ผมเดาเครื่องพิมพ์ควรชื่อ Tim หรือ Bob
สรุป
โชคดี ตอนนี้ โปรดอย่าลืม tutorial นี้ใช้รุ่นเครื่องพิมพ์เฉพาะเพื่อแสดงหลักการพื้นฐานของความปลอดภัยสำหรับ Wireless printers และ IoT devices ทั่วไป บางตัวเลือก ฟีเจอร์ และการตั้งค่าอาจขาดหายไป หรืออุปกรณ์ของคุณอาจไม่มีทั้งหมดที่อภิปรายที่นี่ อย่าปล่อยให้ทำให้氣餒
เพิกเฉยต่อ noise และ hype และล้าน acronyms และ trademarks เครื่องพิมพ์ของคุณคือคอมพิวเตอร์ที่ทำ physical stuff ได้ ไม่เกินกว่านั้น หากมันรัน Web server ควรจะปลอดภัย การตั้งค่าผ่าน wired connections หรือ secure HTTPS Wireless connections หากเป็นไปได้ ปิด services ที่ไม่จำเป็น เปลี่ยน default passwords, usernames และ identification strings พิจารณา firmware updates
โดยปกติ นี่คือสิ่งที่คุณต้องการทั้งหมด จริงๆ กระบวนการตั้งค่าอาจใช้เวลาสองสามชั่วโมงเพื่อผ่าน ตรวจสอบ และปรับให้เหมาะกับความต้องการ และจำไว้ ทุกตัวเลือกที่คุณปิด ก็หมายถึง functionality น้อยลง หรืออย่างน้อย immediate functionality หากคุณไม่อนุญาต zeroconf services แท็บเล็ตหรือโทรศัพท์ของคุณอาจไม่พิมพ์ได้ และหากคุณไม่อนุญาตฟีเจอร์ over-the-Internet คุณจะไม่สามารถใช้อุปกรณ์นี้เมื่ออยู่ห่างจากบ้าน เป็น tradeoff ระหว่าง convenience, security, paranoia และ risk แต่คุณอ่านบทความนี้เพราะคุณกังวลนิดหน่อยเกี่ยวกับ Wireless printer ของคุณ หวังว่าคู่มือนี้ช่วยขจัดหมอกและความไม่แน่นอน IoT devices อาจดูเหมือน AI-powered things ที่สPY ตลอดเวลา แตก็สามารถเป็น commodities ที่มีประโยชน์และทันสมัยได้ เพียงตรวจสอบ settings ซ้ำ และคู่มือนี้เป็นจุดเริ่มต้นที่ดี เสร็จแล้ว
Cheers.
