Но чтобы через городской телефон, сканер или принтер украсть информацию? Это что-то новенькое.

для вас только. кому это надо, давно в курсе.

в полный рост.

Lupo Alberto пишет:

атакующий может запросить у копировальной машины снимки скопированных ранее документов

Это более-менее реально при наличии HDD у копира, а вот

Lupo Alberto пишет:

получить недавно отсканированные документы со сканера

пахнет очередной городской легендой!

почему-это? там полно оперативной памяти, а я что-то не припоминаю, что-бы сотрудники офисов вырубали сканер после каждого сканирования.

атакующий может запросить у копировальной машины снимки скопированных ранее документов

Это более-менее реально при наличии HDD у копира, а вот

пахнет очередной городской легендой!

С этим ни кто и не спорит. Только каждый по разному понимает это соотношение.

а большинство понимает так: http://linuxforum.ru/viewtopic.php?pid=197667#p197667
типа "у меня линух, потому можно вообще входить в систему без пароля, сразу в иксы. никто ж не догадается!"
хотя практика показывает, что скопировать нужные документы в линуксе может даже ребёнок. ИЧСХ, даже быстрее чем в венде. Хотя-бы потому, что в линуксе флешка выглядит как флешка, а не как одна из 20и НЁХ.  :O

я это всё к тому веду, что производитель девайсов не виноват. виноваты одмины.

Так я тоже сразу об этом и сказал.

А виноват по любому админ. Или уборщица 

С этим ни кто и не спорит. Только каждый по разному понимает это соотношение.

А совместить безопасность с удобством вполне можно =).

Согласен. Но удобство и безопастность - вещи, скажем прямо, так противоположные.

я это всё к тому веду, что производитель девайсов не виноват. виноваты одмины.

зачем так мрачно? закрутите гайки - взвоет и начальник, когда ЕГО в контактики не пустишь. Вторая крайность так же черевата - первые 3 дня все будут рады - Свобода! За то потом... А виноват в этом кто будет? 

это ведь неудобно.

Согласен. Но удобство и безопастность - вещи, скажем прямо, так противоположные.
Тут уж либо удобство пользователей и полный коммунизм (читай анархия и проходной двор), либо секьюрность и безопастность, и благодарность начальства.
Правда есть ещё третий вариант - найти гармонию между удобством и безопастность.
Правда у всех понимание этой гармонии разное, так что это самый проигрыйшный вариант - ибо всегда и перед всеми остаёшься виноват 
Знаю по себе.

Это не проблема принт-сервера, а проблема настройки шлюза.

дык я видел кучу шлюзов, где админы просто выключают все "лишние" заморочки, делая его полностью прозрачным. А уж как удобно админить Over9000 шлюзов прямо из дома, причём логин/пароль везде одинаковый админ/админ...

дык можно и не настраивать - просто не нужно портить заводские настройки.

это ведь неудобно.

которые были доступны из сети интернет и предоставляли сервисы, в нормальной ситуации закрытые от посторонних лиц.

Это не проблема принт-сервера, а проблема настройки шлюза.
Конечно в конечном итоге всё сводится коэффициенту кривости рук админа.
Но однозначно, настроив должным образом фаервол, можно всего этого избежать.
ИМХО проведённое тестирование показало именно кривую настройку фаеровлов на шлюзах, ибо что там за ним есть (как бы оно не было настроено - это волпрос второй), в мире не должно быть видно впринципе.

В ходе многомесячного сканирования сети на наличие встроенных веб-серверов, использующих стандартные логины и пароли для входа, Михаэль нашел массу устройств, среди которых были копировальные машины Ricoh и Sharp, сканеры HP и VoIP-телефоны Snom. "Скорее всего эти устройства принадлежат малым и средним компаниям, у которых нет достаточно опытных сотрудников, чтобы правильно настроить сеть" - сказал Михаэль. "Они берут устройство, подключают его к розетке и просто неправильно настраивают маршрутизатор или точку доступа... и устройство становится доступно всему миру".

Используя веб-интерфейс атакующий может запросить у копировальной машины снимки скопированных ранее документов, получить недавно отсканированные документы со сканера или настроить автоматическую пересылку этих документов на свой адрес. Некоторые VoIP-устройства имеют интерфейс отладки, позволяющий подслушать разговоры, либо получить конфиденциальную информацию об абонентах.

Чтобы помочь организациям избежать подобных ситуаций Шаттон планирует выпустить простой в использовании инструмент BREWS, основанный на коде скриптов, используемых им для поиска открытых встроенных веб-серверов по HTTP-заголовкам. Доклад о результатах проведенного исследования планируется озвучить на конференции Black Hat USA 2011, которая запланирована на следующий месяц.

Уязвимость неправильно настроенного офисного оборудования подтверждалась и раньше. Например, исследование, проведенное в прошлом году начальником службы безопасности Rapid7 и главным архитектором Metasploit, показало наличие сотен устройств, работающих под управлением операционной системы VxWorks, которые были доступны из сети интернет и предоставляли сервисы, в нормальной ситуации закрытые от посторонних лиц. Среди устройств были все те же VoIP-системы, а также коммутаторы, DSL-концентраторы, системы промышленной автоматизации и коммутаторы Fibre Channel. Однако, тогда в качестве главной проблемы была указана неправильная настройка операционной системы самим производителем.

Источник — http://www.opennet.ru/opennews/art.shtml?num=31272
Главная ссылка к новости — http://www.darkreading.com/security/app … ttack.html