Livre blanc technique

Livre blanc technique > Sécurité et produits multifonctions Lexmark : vue d'ensemble des fonctions Rich Russell, Consultant technique en sécurité Février 2005 Table des matières Sommaire...2 Applicabilité...2 Gestion sécurisée des périphériques...2 Accès et mots de passe administratifs...2 HTTPS...3 SNMPv3...4 Sécurité IP (IPSec)...5 Prise en charge du protocole 802.1x...5 Sécurisation des périphériques...6 Filtrage des ports...6 Cryptage du disque dur...6 Nettoyage du disque dur...7 Filtrage des connexions TCP...7 Utilisation sécurisée des périphériques...8 Impression confidentielle...8 Authentification des utilisateurs...9 Recherche dans le carnet d'adresses grâce à LDAP via SSL...10 Verrouillage du multifonction...10 Restrictions sur les périphériques USB...10 Résumé...11 1

Livre blanc technique > Sécurité et produits multifonctions Lexmark : vue d'ensemble des fonctions Sommaire Les produits multifonctions (également appelés "multifonctions" ou parfois "MFP") sont des périphériques réseau complexes qui requièrent une attention toute particulière en matière de sécurité. Les périphériques d'impression réseau et multifonctions Lexmark incluent de nombreuses fonctions de sécurité. Ce document décrit ces fonctions, ainsi que leurs avantages et leur mode de mise en oeuvre. Tout périphérique installé sur un réseau doit être évalué du point de vue de la sécurité. Comment le périphérique se protège-t-il des accès non autorisés? Le périphérique met-il en péril la sécurité du réseau? Quel type d'informations le périphérique traite-t-il et quels sont les problèmes de sécurité sur ces données? Il est capital de se poser ce genre de questions et d'autres encore avant l'installation d'un périphérique réseau et notamment d'un multifonction. Les multifonctions en réseau fonctionnent de façon indépendante et peuvent devenir des points névralgiques concentrant des informations sensibles. Leur sécurisation est parfois comparable au processus classique de sécurisation des ordinateurs en réseau. Le contrôle des accès réseau et la sécurité de la gestion à distance sont tout aussi impératifs pour les multifonctions que pour les ordinateurs. Il existe néanmoins un certain nombre de différences dans d'autres domaines. Les multifonctions n'utilisent généralement pas les systèmes d'exploitation classiques, ils appliquent différemment le concept d'authentification des utilisateurs, ils n'ont pas de partage de fichiers réseau à sécuriser et ne nécessitent pas d'antivirus. Ce livre blanc n'est en aucun cas une spécification ou une garantie. Tous les droits et recours relatifs aux produits sont inscrits dans la déclaration de garantie limitée de chaque produit. Gestion sécurisée des périphériques Rien n'est plus pratique que la gestion à distance pour administrer un parc de multifonctions en réseau. Encore faut-il maîtriser l'aspect sécurité. Le périphérique doit autoriser certains utilisateurs (ceux qui ont les autorisations requises) à le configurer et doit en même temps être capable de rejeter les utilisateurs non autorisés. Parallèlement, il faut sécuriser le processus de gestion du périphérique pour empêcher toute écoute, vol ou abus sur le trafic réseau lié à la gestion à distance. Les multifonctions Lexmark comportent une série de fonctions qui facilitent et sécurisent la gestion des périphériques à distance. Accès et mots de passe administratifs La capacité à modifier les paramètres des périphériques peut être régie par l'attribution de mots de passe. De cette manière, les utilisateurs non autorisés ne peuvent changer aucun des paramètres, notamment les paramètres de sécurité. Les multifonctions Lexmark prennent en charge deux mots de passe, ce qui permet d'établir deux niveaux d'accès et de contrôle. L'administrateur d'un périphérique doit fournir l'un de ces mots de passe pour pouvoir configurer ce périphérique. Ce document décrit les principaux aspects de la sécurité des multifonctions, et en particulier les fonctions qui permettent de déployer, gérer et utiliser les périphériques de façon sécurisée. Applicabilité Ce livre blanc est applicable aux produits Lexmark suivants : 2 Multifonction Lexmark X642e Multifonction Lexmark X644e Multifonction Lexmark X646e / X646dte / X646ef Multifonction Lexmark X850e Multifonction Lexmark X852e Multifonction Lexmark X854e Le mot de passe du multifonction doit être fourni chaque fois qu'un utilisateur veut configurer le périphérique via le navigateur Web. Le nom d'utilisateur n'est pas nécessaire.

Ce contrôle s'applique à l'accès réseau via le serveur Web du périphérique, ainsi qu'à la configuration du multifonction avec le panneau de commande à écran tactile. La prise en charge des mots de passe administratifs est une composante fondamentale de la sécurité. Ainsi, seuls les administrateurs autorisés sont en mesure de configurer le périphérique. Les deux niveaux de mots de passe offrent une plus grande souplesse d'administration. En effet, il est possible de configurer le multifonction de manière à accorder un accès limité à un ou plusieurs utilisateurs tout en réservant le contrôle des paramètres les plus sensibles du périphérique aux administrateurs autorisés. Le périphérique prend en charge deux mots de passe administratifs. Le mot de passe avancé procure un contrôle sur tous les paramètres du multifonction, alors que le mot de passe utilisateur permet un accès configurable. (1) Les paramètres du périphérique peuvent être non protégés, limités aux utilisateurs et administrateurs, ou encore réservés aux seuls administrateurs. Le mot de passe avancé permet à un administrateur de configurer les paramètres du multifonction, mais il ne donne pas accès au système d'exploitation ou au disque dur. Le système d'exploitation et le système de fichiers du périphérique ne sont en aucun cas accessibles pour une configuration externe. Les mots de passe assurent la protection de la configuration du périphérique via le panneau de commande à écran tactile et grâce à un accès réseau via HTTP, HTTPS et telnet. HTTPS La méthode la plus courante pour configurer à distance la plupart des périphériques réseau (y compris les multifonctions) consiste à utiliser l'interface Web du périphérique. Entrez le nom DNS ou l'adresse IP du multifonction dans un navigateur et si vous pouvez fournir le mot de passe du multifonction (comme indiqué à la section Accès et mots de passe administratifs), vous pouvez configurer les paramètres du périphérique. Cependant, à la base, les navigateurs et le trafic HTTP correspondant ne sont pas sécurisés. N'importe qui peut écouter le trafic réseau au cours d'une session Web et deviner le mot de passe du périphérique. Pour écarter ce risque, les multifonctions Lexmark prennent en charge le protocole de communication sécurisée HTTPS. du protocole sécurisé HTTPS dans les sessions Web : Dans cet exemple, aucun mot de passe n'est à fournir pour la gestion des paramètres papier et l'impression de rapports. La modification des paramètres de base du périphérique n'est possible qu'avec le mot de passe avancé ou utilisateur. Tous les autres paramètres sont limités aux administrateurs en mesure de fournir le mot de passe avancé. Les mots de passe doivent comporter entre huit et 128 caractères. Ils peuvent inclure des caractères numériques, alphabétiques ou autres en vue d'une plus grande complexité. Il est impossible de créer des mots de passe supplémentaires et il n'y a aucun moyen d'accorder un accès administratif à des utilisateurs ou comptes d'administration existant dans le domaine d'entreprise, en dehors du multifonction. Processus d'établissement de la connexion extrêmement simple pour l'utilisateur. Dans le navigateur, il suffit d'entrer https:// au lieu de http://. Ensuite, c'est le multifonction et le navigateur qui prennent le relais. Cryptage de toutes les données échangées via le navigateur, y compris les mots de passe du multifonction et tous les autres paramètres définis ou affichés. Prise en charge par les navigateurs Web les plus répandus car HTTPS et SSL sont des standards très courants. Intégration dans les environnements CA ou PKI existants. Le certificat du multifonction qui permet d'établir la session SSL peut être signé par une autorité de certificat. 3 (1) Le mot de passe utilisateur n'est pas associé aux comptes utilisateur de l'annuaire d'entreprise. Tout comme le mot de passe avancé, il est uniquement stocké sur le multifonction. Les paramètres que les utilisateurs doivent pouvoir modifier sur le multifonction peuvent être associés à ce mot de passe (voir l'illustration ci-dessus) et ce mot de passe doit être partagé avec les utilisateurs autorisés à modifier les paramètres de périphérique correspondants.

Le protocole HTTPS est une méthode pratique et efficace de sécurisation des sessions Web. Le multifonction inclut un serveur Web résident. Dans le navigateur, lorsque vous spécifiez l'adresse du multifonction précédée du préfixe https://, le multifonction et le système client négocient une connexion SSL. Le multifonction transmet son certificat x.509 au système client pour se présenter. Comme le certificat du multifonction est, par défaut, un certificat autosigné, le client envoie une alerte à l'utilisateur (les modalités d'envoi de ces alertes sont spécifiées par les paramètres du navigateur). Le système client peut choisir de faire confiance au certificat autosigné, et donc de ne pas recevoir d'autres alertes. Par ailleurs, le certificat du multifonction peut être signé par une autorité de certificat (CA). Il peut s'agir d'une autorité externe ou d'une autorité interne à l'environnement du client. L'interface Web du multifonction comporte une page de gestion de certificat qui facilite ce processus. L'utilisation d'un certificat CA au lieu d'un certificat autosigné évite les alertes associées aux sessions HTTPS. La session HTTPS utilise une connexion SSL qui crypte les données transmises. Le contenu de la session est alors protégé contre les intrusions et le périphérique peut être géré à distance de façon sécurisée. SNMPv3 Le protocole SNMP (Simple Network Management Protocol) est un autre moyen de configurer à distance les multifonctions. Il peut être utilisé pour visualiser et modifier les paramètres du périphérique, ce qui pose les questions de sécurité de base : comment contrôler son utilisation et protéger le trafic réseau correspondant quand il est utilisé. Les multifonctions Lexmark prennent en charge la dernière version du protocole SNMP (SNMPv3), ainsi que les versions 2 et 3 pour la rétrocompatibilité. Ce protocole standard assure l'authentification et le cryptage des données. L'authentification permet aux systèmes autorisés de gérer le multifonction via le protocole SNMPv3 tout en excluant les systèmes non autorisés. Le cryptage des paquets SNMPv3 empêche l'écoute des informations sur le réseau. Plus exactement, les données subtilisées lors de l'écoute sont inutilisables puisque cryptées. Les fonctions d'authentification SNMPv3 permettent au multifonction de rejeter le trafic SNMPv3 si les requêtes ne sont pas précédées d'une authentification (via MD5 ou SHA1). Le multifonction prend en charge deux comptes SNMPv3. L'authentification par rapport au premier compte permet la lecture des paramètres par le multifonction mais pas l'écriture, et l'authentification par rapport à l'autre compte permet la lecture et l'écriture des paramètres du multifonction. La prise en charge des données privées dans le trafic SNMPv3 signifie que le multifonction et le client SNMP peuvent utiliser un algorithme de cryptage (DES ou AES avec des clés de 128, 192 ou 256 bits) pour crypter le trafic SNMPv3. De la même manière que d'autres mécanismes de gestion de multifonction, la fonction SNMP peut être désactivée. Si elle n'est pas utilisée dans un environnement spécifique, il est même préférable qu'elle soit totalement désactivée. Sécurité IP (IPSec) Les multifonctions Lexmark prennent en charge le protocole IPSec (Sécurité IP). Grâce à la prise en charge du protocole SNMPv3, les multifonctions Lexmark peuvent être administrés de façon sécurisée par une console SNMP standard. Deux éléments majeurs concernant la sécurité sont fournis par le protocole SNMPv3 : Il est possible d'activer et de désactiver SNMP v1 et SNMPv2 indépendamment de SNMPv3. En outre, SNMPv3 prend en charge les fonctions d'authentification et de confidentialité. 71k2426 4

Ce mécanisme est extrêmement important car il permet au multifonction d'établir une connexion sécurisée vers d'autres noeuds du réseau, tels que les serveurs d'impression et les ordinateurs d'administration. Le protocole IPSec est disponible sur les systèmes d'exploitation classiques (Windows, Linux, etc.). S'il est appliqué entre le multifonction et un poste de travail ou un serveur, le trafic entre ces systèmes peut être sécurisé grâce à un puissant cryptage. de l'ipsec : Cryptage des travaux numérisés sur le réseau. Cette solution puissante et évolutive élimine la nécessité de configurer ou de gérer des clés ou des phrases secrètes. Le multifonction peut stocker et appliquer deux certificats pour une utilisation avec le protocole IPSec. Il inclut en effet un certificat autosigné qui peut être remplacé par un certificat signé par une autorité de certificat (CA). Ce certificat peut être généré de zéro ou sur la base du fichier PKCS codé en base64, intégré dans le multifonction et accessible via son interface Web. L'identité du multifonction peut ainsi être validée par d'autres systèmes de l'environnement CA. De plus, le multifonction peut stocker le certificat CA en tant que certificat CA racine reconnu, ce qui lui permet d'authentifier l'identité d'autres systèmes de l'environnement CA. Cryptage des travaux d'impression sur le réseau et décryptage par le multifonction. Sécurisation possible de la configuration à distance (via une session Web, telnet, SNMP ou toute autre technologie IP). Comme les protocoles de communication HTTPS et SNMPv3 ont leurs propres fonctions de sécurité (voir ci-dessus), le protocole IPSec peut fournir un niveau de protection redondant. Les administrateurs peuvent également recourir uniquement à ce protocole pour simplifier les autres mécanismes de sécurisation. Protection du trafic entre l'application de gestion Lexmark, MarkVision Professional (MVP), et le multifonction. En résumé, le protocole IPSec peut être utilisé pour protéger toute forme de trafic réseau de type IP entre le multifonction et plusieurs hôtes, quelle que soit l'opération exécutée sur le réseau. Les multifonctions Lexmark prennent en charge le protocole IPSec avec authentification par clé prépartagée et par certificat. L'IPSec peut utilise simultanément l'authentification par clé prépartagée et par certificat. Prise en charge du protocole 802.1x Dans presque tous les environnements réseau, les utilisateurs doivent se connecter au réseau pour pouvoir effectuer certaines opérations, comme envoyer ou recevoir un e-mail, naviguer sur le Web, etc. Ceci peut aussi être appliqué à des périphériques, par exemple des ordinateurs portables ou des multifonctions, auquel cas leur accès au réseau exige une authentification. Le protocole qui permet cette authentification est le 802.1x. Les multifonctions Lexmark prennent en charge ce protocole d'authentification. du protocole 802.1x : Il permet au multifonction de s'authentifier lui-même pour la connexion au réseau, ce qui assure une plus grande sécurité. En mode clé prépartagée, le multifonction est configuré de manière à établir une connexion IPSec sécurisée avec cinq autres systèmes. Le multifonction et ces systèmes sont configurés avec une phrase secrète, qui permet d'authentifier les systèmes et ensuite de crypter les données. En mode certificat, le multifonction est configuré de manière à établir une connexion IPSec sécurisée avec cinq autres systèmes ou sous-réseaux. Il peut ainsi échanger des données sécurisées avec plusieurs systèmes. L'utilisation de certificats permet l'intégration du processus dans une infrastructure PKI ou CA. La méthode d'authentification selon le protocole 802.1x est compatible avec presque tous les environnements d'authentification 802.1x. Le protocole 802.1x est compatible avec l'adaptateur réseau sans fil en option, ce qui permet de sécuriser les fonctions de réseau sans fil. Le 802.1x est généralement utilisé pour les périphériques sans fil. Dans la plupart des environnements, l'authentification 802.1x n'est possible ou nécessaire que pour les équipements en périphérie du réseau et pour la connectivité sans fil. Le protocole 802.1x est pris en charge par Lexmark à la fois dans les environnements réseau filaires et sans fil. 5

De nombreuses méthodes d'authentification réseau sont prises en charge via ce protocole : LEAP PEAP EAP-MD5 EAP_MSCHAPV2 EAP-TLS EAP-TTLS avec les méthodes d'authentification suivantes : - CHAP - MSCHAP - MSCHAPv2 - PAP Le multifonction prend en charge tous ces protocoles et peut être configuré de manière à inclure ou exclure chacun d'eux dans la négociation de protocole 802.1x. Sécurisation des périphériques La sécurisation d'un périphérique en réseau correspond au processus de sécurisation des interfaces réseau du périphérique. Il s'agit d'éliminer les fonctions inutiles ou non utilisées afin d'éviter une utilisation abusive, de verrouiller les interfaces restantes et de sécuriser les données hébergées par le périphérique. Les multifonctions Lexmark sont dotées de plusieurs mécanismes destinés à faciliter le processus de sécurisation. Redondance - De nombreux protocoles (HTTP, FTP, DHCP, etc.) peuvent être désactivés sur le multifonction. Le filtrage des ports permet de désactiver les ports correspondants. Trafic réseau réduit. Le multifonction permet d'ouvrir et de fermer individuellement chacun des 25 ports TCP et UDP : TCP 21 (FTP) UDP 68 (DHCP) UDP 69 (TFTP) TCP 79 (FINGER) TCP 80 (HTTP) TCP 443 (HTTPS) UDP 137 (WINS) UDP 161 (SNMP) UDP 162 (SNMP Traps) TCP 515 (LPR/LPD) TCP 631 (IPP) UDP 1584 (HBN1) TCP 5000 (XML) TCP 5001 (IPDS) UDP 5353 (MDNS) TCP 8000 (HTTP) TCP 9000 (Telnet) TCP 9100 (Raw Print) UDP 9100 (HBN3) TCP 9200 (IR Alerts) UDP 9200 (Discovery) UDP 9300 (NPAP) TCP 9400 (Lexmark Print Port) TCP 9500 (NPAP) TCP 9600 (IPDS) UDP 9700 (Plug-n-Print) TCP 10000 (Telnet) Chaque port peut être ouvert ou fermé. Lorsqu'un port est fermé, le multifonction ne répond pas aux requêtes du trafic sur le port concerné, que l'application réseau correspondante soit active ou inactive. Cryptage du disque dur 6 Filtrage des ports Sur les multifonctions Lexmark, le filtrage de ports consiste en un filtre granulaire qui désactive les ports du réseau individuellement. Le multifonction peut alors être configuré en fonction des protocoles autorisés et non autorisés sur le réseau. du filtrage des ports individuels : Sécurité accrue grâce à un contrôle granulaire et autoritaire des protocoles pris en compte ou ignorés par le périphérique. Balayage des ports - Si vous désactivez les ports non utilisés, aucun rapport ne sera effectués sur les vulnérabilités potentielles de ces ports évitant ainsi un suivi inutile. Une des préoccupations majeures concernant les équipements en réseau réside dans la vulnérabilité des données aux accès distants. Par exemple, que se passe-t-il si un système est doté des protections appropriées lorsqu'il est en cours d'utilisation, mais pas lorsqu'il n'est plus utilisé? Les données résiduelles restent-elles sur le système et si c'est le cas, sont-elles moins bien protégées qu'elles ne le devraient? Les multifonctions utilisent des disques durs pour diverses raisons, notamment pour mettre en mémoire tampon les données numérisées lors des copies et les données d'impression lors des impressions. Il est extrêmement important de protéger les données en mémoire tampon afin d'empêcher quiconque d'accéder aux informations (qui peuvent être hautement sensibles) contenues dans les travaux de numérisation ou d'impression reçus par le multifonction. Les multifonctions Lexmark sont capables de crypter toutes les données des disques durs pour les protéger des accès externes. Lorsque la fonction de cryptage est activée, toutes les données enregistrées sur le disque dur sont cryptées.

La protection concerne non seulement les données résiduelles des travaux terminés, mais également les données en cours d'utilisation. Ainsi, personne ne peut éteindre le multifonction pendant une impression ou une numérisation, ni utiliser les données du disque dur. du cryptage des données du disque dur : Sécurité accrue des données actives et résiduelles. Le cryptage matériel est appliqué en temps réel. Il n'existe ainsi aucun délai pour le nettoyage ou le posttraitement après la fin des travaux. Une clé de cryptage générée dynamiquement est stockée sur le multifonction (pas sur le disque dur). Ainsi, les données d'un disque crypté ne peuvent pas être utilisées sur un autre multifonction. Même en enlevant le disque dur du multifonction, il est impossible d'accéder aux données qu'il contient. (2) Par défaut, les données du disque dur du multifonction ne sont pas cryptées. Cela ne signifie pas que le contenu du disque n'est pas protégé. En effet, il n'existe aucun moyen d'extraire les données résiduelles ou d'accéder à ces données à distance. (3) Lorsque le cryptage du disque dur est activé, la clé de cryptage à utiliser (cryptage symétrique AES 128 bits) est générée aléatoirement. Elle est stockée dans la mémoire du multifonction de façon propriétaire. Elle n'est pas stockée sur le disque dur luimême. Ainsi, en cas de vol du disque dur, les données qu'il contient restent indéchiffrables. Lorsque la fonction de cryptage est activée, le disque dur est formaté et son contenu est perdu. Le cryptage est alors appliqué à toutes les données stockées sur le disque dur. Nettoyage du disque dur Lorsqu'un fichier de données est "supprimé" d'un disque dur, les données associées à ce fichier ne sont pas vraiment effacées. Elles restent sur le disque dur et peuvent théoriquement être récupérées, au prix d'efforts considérables. Les multifonctions Lexmark fournissent une méthode supplémentaire pour la protection des données résiduelles : le nettoyage du disque dur. Cette fonction permet d'écraser activement l'intégralité du disque dur avec plusieurs passes de données afin de supprimer les données précédentes résiduelles. du nettoyage du disque dur : Sécurité accrue des données résiduelles. Plus besoin de retirer ou de traiter le disque dur lorsque le périphérique doit être mis au rebut, recyclé ou plus généralement supprimé de l'environnement sécurisé d'un client. Le disque dur du multifonction sert exclusivement à la mise en mémoire tampon des données : données numérisées, travaux d'impression entrants et autres données d'images liées aux travaux traités par le multifonction. Le processus de nettoyage s'applique à l'ensemble du disque dur et donc à toutes les données résiduelles des travaux d'impression ou de numérisation en mémoire tampon. Ce processus peut être activé manuellement ; il utilise la directive 5220.22-M du Département américain de la Défense (Department of Defense) pour l'écrasement multiple du contenu du disque dur par des données complémentaires (les 0 et les 1 sont d'abord écrits, puis les 1 et les 0) suivies de données aléatoires. Filtrage des connexions TCP Les multifonctions Lexmark prennent en charge le filtrage des connexions TCP via la fonction de liste de serveurs restreinte. Grâce à cette fonction, le multifonction accepte uniquement les connexions TCP/IP indiquées précédemment et rejettent toutes les autres. de l'utilisation d'une liste de serveurs restreinte : Les systèmes autorisés, tels que les serveurs d'impression et les postes d'administrateurs, peuvent établir une connexion avec le multifonction. Les fonctions normales et autorisées, comme la maintenance et la surveillance de programmes et de l'impression, se déroulent donc normalement. (2) Cette fonction ne rend pas le disque dur lui-même inutilisable : si un disque dur crypté est retiré d'un multifonction pour être monté sur un autre, il doit être reformaté. Le disque est portable, mais pas les données qu'il contient. 7 (3) Ceci s'explique par de nombreux facteurs qui dépassent le cadre de ce livre blanc. En résumé : il est impossible de réimprimer ou d'extraire des données résiduelles ; le multifonction ne prend en charge ni un système de fichiers réseau ni le partage de fichiers et il n'existe aucun protocole pris en charge par le multifonction qui permette de lire ou d'écrire arbitrairement des données du disque dur. Par conséquent, même sans cryptage, le contenu du disque est parfaitement protégé.

Toutes les interactions réseau basées sur des connexions TCP/IP peuvent être contrôlées, ce qui augmente la sécurité. Les connexions HTTP, FTP, telnet et l'impression via LPR/LPD ou via le sous-système d'impression Windows sont des connexions TCP/IP. Toutes ces connexions sont autorisées uniquement à destination et à partir des systèmes spécifiés. Si les systèmes des utilisateurs ne sont pas intégrés dans la liste, ils ne peuvent pas se connecter au multifonction via un navigateur ou un site FTP, par exemple. Les systèmes inconnus ne sont pas inclus dans la liste, ce qui protège le multifonction contre les connexions externes non autorisées. Un maximum de 10 adresses IP ou sous-réseaux peut être spécifié dans la liste de serveurs restreinte. Le multifonction accepte toutes les connexions TCP vers les adresses de la liste et rejette toutes celles qui ne sont pas dans la liste. La liste de serveurs restreinte permet de spécifier des adresses et des sous-réseaux individuels. Les connexions TCP de toutes les autres adresses sont rejetées par le multifonction. La liste de serveurs restreinte ne concerne pas le trafic UDP. Les interactions sans connexion (ping, par exemple) sont donc autorisées à partir de n'importe quelle adresse. Utilisation sécurisée des périphériques Les multifonctions Lexmark comprennent des fonctions standard pour sécuriser l'utilisation du périphérique de manière à ce que seuls les utilisateurs appropriés se servent des fonctions du périphérique et que les informations associées à ces utilisateurs soient protégées. Impression confidentielle La fonction d'impression confidentielle empêche que les documents imprimés en attente sur le multifonction ne tombent entre les mains de personnes autres que le destinataire. Grâce à cette fonction, le multifonction bloque les impressions jusqu'à ce que le destinataire soit présent devant le périphérique. Si le document n'est imprimé qu'après l'entrée du code PIN sur le panneau de commande, tout risque d'indiscrétion est écarté et l'impression est sécurisée. de l'impression confidentielle : Méthode intuitive et efficace qui permet d'exécuter l'impression uniquement lorsque le destinataire se trouve devant le multifonction. La sécurité est assurée par un code PIN à 4 chiffres (de 0000 à 9999) qui comporte 10 000 combinaisons possibles. Cette fonction peut être utilisée même si le multifonction n'est pas équipé d'un disque dur. A défaut de disque dur, l'impression est stockée dans la mémoire RAM. Si un disque dur est présent, les impressions sont stockées sur le disque. Un plus grand nombre d'impressions peut être stocké même si le multifonction est éteint. Si le cryptage du disque dur est activé (voir page 11), les impressions stockées bénéficient d'une sécurité supplémentaire. Les travaux d'impression non imprimés peuvent être purgés automatiquement après un certain laps de temps pour éviter une accumulation inutile. Les multifonctions Lexmark peuvent être paramétrés de telle sorte que l'entrée d'un code PIN (Personal Identification Number) soit obligatoire pour l'impression des documents confidentiels. Il s'agit d'une fonction standard sur les multifonctions et pilotes de multifonctions Lexmark. Lorsque le multifonction reçoit les données d'une impression confidentielle, les données sont stockées dans la mémoire RAM du multifonction ou sur le disque dur, si cette option est présente. Les travaux d'impression stockés dans la mémoire RAM sont supprimés dès que le multifonction est éteint. Ils peuvent être supprimés automatiquement par le multifonction en cas de manque d'espace mémoire. Il est donc vivement recommandé d'installer un disque dur en cas d'utilisation intensive de l'impression confidentielle. Si le multifonction est équipé d'un disque dur, les travaux d'impression sont conservés même si le multifonction est éteint et le nombre des travaux d'impression pouvant être stockés par le multifonction est beaucoup plus élevé. Les travaux d'impression stockés sur le disque dur du multifonction bénéficient de la fonction de sécurité par cryptage du disque dur. Ils ne peuvent pas être transférés sur un autre multifonction (voir page 12) car les disques durs cryptés ne peuvent pas être installés sur un autre multifonction sans être reformatés. 8

La sécurité est encore améliorée par une limitation du nombre de tentatives d'entrée du code PIN. Si le code PIN entré est plusieurs fois incorrect (le nombre de fois spécifié), les travaux d'impression correspondants sont supprimés. Des destinations spécifiques (par exemple, @société.com) peuvent être prédéterminées afin d'éviter l'envoi arbitraire des e-mails et restreindre, par exemple, l'envoi d'e-mails à l'extérieur. Le multifonction peut restreindre l'accès aux fonctions suivantes : En paramétrant un nombre maximum de tentatives d'entrée de code PIN, vous évitez que quelqu'un n'essaie de deviner le code PIN. D'autre part, vous pouvez spécifier un délai d'expiration des impressions compris entre une heure et une semaine. La fonction d'expiration permet de supprimer automatiquement les impressions après un certain laps de temps, compris entre une heure et une semaine. Authentification des utilisateurs Lorsqu'un utilisateur sélectionne une fonction telle que la numérisation vers e-mail sur le multifonction, celui-ci peut lui demander de s'authentifier au préalable. L'accès à la fonction est ainsi réservé aux utilisateurs autorisés et le multifonction peut identifier l'utilisateur qui exécute cette fonction. Un aspect important de l'authentification des utilisateurs consiste à autoriser chaque utilisateur à entrer ses identifiants et mots de passe habituels. De cette manière, l'utilisateur n'a pas besoin de mémoriser des données particulières pour pouvoir utiliser le multifonction. En effet, le multifonction utilise l'annuaire d'entreprise pour valider les informations d'authentification des utilisateurs par rapport à la base de données centrale standard. de l'authentification des utilisateurs : Sécurisation du multifonction en limitant l'accès à ses fonctions standard. Plus d'e-mails anonymes car l'identité de l'utilisateur authentifié est insérée dans l'e-mail généré au moyen de la fonction de numérisation vers e-mail. Lorsque les utilisateurs s'authentifient, ils utilisent les mêmes identifiants et mots de passe que pour leurs postes de travail ou ordinateurs portables. La procédure reste ainsi simple et intuitive. Pour les télécopies envoyées via des serveurs de télécopie en réseau, une confirmation par e-mail de l'envoi peut être automatiquement transmise à l'expéditeur car le multifonction "connaît" l'identité de ce dernier. Copie Numérisation vers e-mail Numérisation vers télécopie Numérisation vers serveur FTP Impression de documents confidentiels Impression à partir d'une clé USB Numérisation vers une clé USB Lancement des applications intégrées Il est possible de définir l'accès à ces fonctions de façon individuelle. Par ailleurs, différents niveaux d'accès sont possibles : Aucune authentification requise - Accès libre à tous les utilisateurs, sans authentification. Ce mode peut être utilisé lorsqu'aucun contrôle ou suivi n'est nécessaire. Nom d'utilisateur requis - Dans ce mode, l'utilisateur doit entrer son identifiant, mais pas son mot de passe. Ce mode peut être utilisé lorsqu'il n'y a aucun doute quant à l'identification correcte des utilisateurs et lorsqu'aucun contrôle strict n'est nécessaire. Nom d'utilisateur et mot de passe requis - Dans ce mode, les utilisateurs doivent entrer leur identifiant valide et le mot de passe correspondant avant d'utiliser la fonction protégée. Fonction désactivée - Il est possible de désactiver complètement une fonction dans les environnements où elle est inutile ou inappropriée. Les fonctions désactivées ne sont pas affichées sur le panneau de commande à écran tactile du multifonction. Le processus d'authentification des informations d'identification des utilisateurs est également très souple. Le multifonction peut utiliser différents protocoles à cet effet : LDAP, LDAP via SSL, Kerberos ou NTLM. La prise en charge d'une large gamme de protocoles d'authentification induit la compatibilité de la fonction d'authentification fournie par les multifonctions avec la plupart des environnements réseau, tels qu'active Directory de Microsoft, edirectory de Novell, ainsi que tous les autres services d'annuaires LDAP. 9

L'utilisation de protocoles tels que LDAP via SSL, Kerberos ou NTLM permet de protéger les informations d'identification des utilisateurs lors du processus d'authentification. Recherche dans le carnet d'adresses grâce à LDAP via SSL Lors d'une opération de numérisation vers e-mail ou télécopie, les utilisateurs peuvent tout simplement rechercher l'adresse e-mail ou le numéro de télécopie du destinataire, plutôt que de retenir et de taper toutes les informations nécessaires. Grâce au protocole LDAP, le multifonction récupère ces informations dans l'annuaire d'entreprise. La technologie SSL vient renforcer la sécurité du processus. Grâce à l'établissement d'une connexion SSL avant la génération de requêtes LDAP, le multifonction et le serveur d'annuaire protègent les informations qu'ils s'échangent. de l'utilisation de LDAP via SSL : Les informations demandées par le multifonction sont sécurisées (cryptées) sur le réseau. Le multifonction utilise l'infrastructure PKI existante pour établir une connexion SSL, dans le respect des pratiques de sécurité standard du client. Vous pouvez configurer le multifonction pour qu'il reconnaisse l'autorité de certificat du client en installant le certificat X.509. Plusieurs certificats peuvent être installés afin d'assurer la reconnaissance de plusieurs autorités. Le multifonction, si sa configuration le précise, fait précéder tout trafic LDAP par la négociation d'une connexion SSL : le serveur d'annuaire fournit son certificat, le multifonction le valide et un canal de communication sécurisé (crypté) est ouvert. Tout trafic LDAP ultérieur passe par ce canal de manière à ce que toutes les informations LDAP soient cryptées sur le réseau. Cela s'applique au processus d'authentification des utilisateurs via LDAP, ainsi qu'aux requêtes LDAP concernant les données d'e-mail et de télécopie. Verrouillage du multifonction Lorsque la fonction de verrouillage du multifonction est activée, le panneau de commande ne peut pas être utilisé et les travaux d'impression entrants sont stockés sur le disque dur du multifonction au lieu d'être imprimés. Le multifonction est ainsi totalement sécurisé en dehors des heures de travail : la copie et la numérisation sont impossibles. Il ne peut pas être reconfiguré via le panneau de commande et les documents imprimés ne risquent pas de "traîner" sans protection dans le réceptacle de sortie. Pour déverrouiller le multifonction le moment venu, l'utilisateur doit entrer un code PIN préconfiguré. Les travaux verrouillés sont ensuite débloqués et le multifonction reprend son fonctionnement normal. du verrouillage du multifonction : Sécurisation aisée du multifonction en dehors des heures de travail grâce à la désactivation des fonctions de numérisation et d'impression. Les documents imprimés sur un multifonction verrouillé ne peuvent pas être subtilisés. Le verrouillage du multifonction est paramétré par l'administrateur via la page Web du multifonction. Cette opération consiste à spécifier un code PIN de quatre chiffres, qui sera ensuite utilisé pour verrouiller ou déverrouiller le multifonction via le panneau de commande. Pour cette fonction, un disque dur est obligatoire. Lorsque le multifonction est verrouillé, aucune opération n'est possible sur le panneau de commande, excepté l'entrée du code PIN pour le déverrouiller. Les travaux d'impression entrants et les télécopies ne sont pas imprimés. Ils sont stockés sur le disque dur. Si le cryptage du disque dur est activé, les impressions stockées sur le disque dur sont cryp- Lorsque le multifonction est déverrouillé, les travaux reçus pendant la période de verrouillage sont imprimés. S'il s'agit d'impressions confidentielles, elles ne sont pas imprimées mais restent disponibles via l'interface normale d'impression confidentielle sur le panneau de commande. Restrictions sur les périphériques USB Les multifonctions Lexmark prennent en charge les clés USB pour l'impression et la numérisation. Il est ainsi possible d'imprimer des fichiers d'images (JPEG, TIFF, BMP, PDF) à partir de ces clés et de stocker des pages numérisées sur ces clés. Si la sécurité doit être renforcée, le multifonction peut limiter ou refuser ces opérations. 10

des restrictions sur les périphériques USB : Possibilité d'interdire aux utilisateurs d'effectuer des opérations de numérisation vers une clé USB dans les environnements nécessitant un contrôle étroit des documents sensibles. Possibilité d'interdire aux utilisateurs d'effectuer des opérations d'impression à partir d'une clé USB lorsque l'impression fait l'objet d'un suivi ou est payant. Possibilité de limiter les opérations de numérisation ou d'impression via une clé USB aux seuls utilisateurs authentifiés pour une sécurité accrue. Le multifonction permet seulement d'utiliser des clés USB pour la numérisation ou l'impression. Les autres opérations ne sont pas autorisées. Ainsi, vous ne pouvez pas définir ou enregistrer la configuration du multifonction, ni modifier ou mettre à jour le firmware du multifonction au moyen de périphériques USB. Il est possible de gérer séparément les fonctions de numérisation ou d'impression via des périphériques USB. Plusieurs états sont par ailleurs possibles : Actif et aucune authentification requise - Les fonctions sont actives et aucune authentification n'est demandée. Ce mode peut être utilisé lorsqu'aucun contrôle ou suivi n'est nécessaire. Nom d'utilisateur requis - Dans ce mode, l'utilisateur doit entrer son identifiant, mais pas son mot de passe, avant d'utiliser le périphérique USB. Ce mode peut être utilisé lorsqu'il n'y a aucun doute quant à l'identification correcte des utilisateurs et lorsqu'aucun contrôle strict n'est nécessaire. Nom d'utilisateur et mot de passe requis - Dans ce mode, les utilisateurs doivent entrer leur identifiant valide et le mot de passe correspondant avant d'utiliser la fonction USB protégée. Fonction désactivée - Le multifonction n'autorise pas du tout les opérations d'impression et/ou de numérisation avec des clés USB. Résumé La sécurité des multifonctions concerne la protection des multifonctions eux-mêmes, du réseau et des données impliquées dans l'utilisation des multifonctions. Il s'agit d'un problème complexe comportant de nombreux éléments à prendre en compte. Les multifonctions Lexmark sont dotés de nombreuses fonctions qui permettent de sécuriser les périphériques multifonctions réseau ainsi que leur utilisation : Gestion sécurisée par le biais de mots de passe, de protocoles HTTPS, SNMPv3 et IPSec. Sécurisation par filtrage des ports, filtrage des connexions TCP, cryptage du disque dur et nettoyage du disque dur. Utilisation sécurisée grâce aux fonctions LDAP via SSL, d'authentification des utilisateurs, d'impression confidentielle et de verrouillage du multifonction. Copyright 2005 Lexmark International, Inc. Tous droits réservés. Ce livre blanc n'est en aucun cas une spécification ou une garantie. Tous les droits et recours relatifs aux produits sont inscrits dans la déclaration de garantie limitée de chaque produit. 71k3200 11