L'impression est un flux de données comme un autre. Lorsque le document contient des informations non classifiées contrôlées (CUI), le travail d'impression transporte des CUI sur le réseau, et la page imprimée est une CUI sur papier. Pour la CMMC, l'imprimante fait donc partie du périmètre CUI : qui peut lui envoyer un travail, comment ce travail circule et qui récupère la page, tout compte.
Les imprimantes réseau sont aussi des cibles faciles. La plupart acceptent n'importe quoi sur le port 9100 de la part de quiconque peut les atteindre, exposent une page d'administration web et conservent souvent d'anciens services comme FTP, Telnet ou SNMP avec leurs réglages par défaut. Placer l'imprimante derrière Access Gate transforme « tout le monde sur le réseau peut imprimer » en « seuls les utilisateurs authentifiés de cette enclave peuvent imprimer ».
Les protocoles d'impression décident de ce qui est possible
- Impression brute (JetDirect, TCP 9100). La plus courante. Le client ouvre une connexion et envoie le travail. Il n'y a ni authentification ni chiffrement : quiconque atteint le port peut imprimer, et le travail traverse le réseau en clair.
- LPD (TCP 515). Plus ancien, mêmes limites que l'impression brute.
- IPP (TCP 631) et IPP sur TLS (IPPS). Le protocole moderne. IPPS chiffre le travail entre le client et l'imprimante, lorsque les deux le prennent en charge.
La conséquence pratique : avec l'impression brute, l'accessibilité est le seul contrôle sur qui peut imprimer, et le chemin réseau la seule protection du travail. C'est précisément la couche que fournit Access Gate.
Trois couches pour sécuriser l'impression
Couche 1 : contrôler qui peut imprimer (Access Gate)
Ajoutez l'imprimante en tant qu'actif avec les services dont elle a besoin : tcp:9100 pour l'impression, et http:80 si les utilisateurs doivent voir sa page d'état. Placez-la dans une enclave et accordez ces services aux utilisateurs ou groupes autorisés à imprimer des CUI. Voir Protéger un actif avec les enclaves et Listes de contrôle d'accès.
Ajoutez un écran d'accès pour que les utilisateurs s'authentifient avant que l'imprimante ne devienne accessible. Avec un annuaire Active Directory, les utilisateurs se connectent avec leur nom d'utilisateur principal (UPN). Voir Authentifier les utilisateurs avec les écrans d'accès.
Sur le client, configurez l'imprimante sur son adresse jumelle, et non sur son adresse réelle, afin que chaque travail passe par Access Gate. Sous Windows, ajoutez-la à la main avec un port TCP brut (voir plus bas le point de vigilance sur l'assistant Add a printer) :
Add-PrinterPort -Name "PRN-01" -PrinterHostAddress "<printer twin address>" -PortNumber 9100
Add-Printer -Name "PRN-01" -DriverName "Microsoft PCL6 Class Driver" -PortName "PRN-01"
"Test page - $(Get-Date)" | Out-Printer -Name "PRN-01"
Le travail atteint l'imprimante via Access Gate. Sa page d'état, elle aussi atteinte par l'adresse jumelle, liste les travaux reçus :
Les utilisateurs qui ne se sont pas authentifiés, comme toute autre machine, ne peuvent pas atteindre l'imprimante : Access Gate refuse la connexion.
Couche 2 : protéger le travail sur le fil
L'impression brute sur le port 9100 envoie le document en clair. Deux façons de le protéger :
- Utilisez IPPS lorsque le client et l'imprimante le prennent tous deux en charge, et accordez le service IPPS à la place de
tcp:9100. - Protégez le chemin. Lorsque les utilisateurs impriment depuis un environnement CUI distant ou dans le cloud, le travail atteint le site par un tunnel chiffré, et seul le dernier tronçon, d'Access Gate à l'imprimante, circule en clair. Gardez ce tronçon court : placez l'imprimante sur un segment où Access Gate est la seule porte d'entrée.
Dites honnêtement quels tronçons sont chiffrés plutôt que de supposer que tout le chemin l'est.
Couche 3 : contrôler la page imprimée (réglages de l'imprimante)
Access Gate décide qui peut envoyer un travail ; l'imprimante décide de la suite. Sur l'imprimante elle-même :
- Retenez les travaux jusqu'à leur libération (code PIN ou badge à l'imprimante), pour que les CUI ne restent pas dans le bac de sortie.
- Désactivez ce que vous n'utilisez pas : FTP, Telnet, LPD, SNMP v1 avec la communauté par défaut, et protégez la page d'administration par un mot de passe robuste.
- Marquez les CUI comme l'exige votre programme CUI, par exemple avec une bannière ou un filigrane configuré sur le serveur d'impression ou dans l'application.
Exemple : de l'enclave cloud CUI Vault à l'atelier
L'intégration entre Trout Software et CUI Vault (en anglais) est un flux d'impression conçu de bout en bout pour la CMMC. Les utilisateurs travaillent dans CUI Vault, l'enclave Microsoft GCC High gérée par NtelSec, et impriment sur une imprimante de l'usine :
- Dans l'enclave cloud, les utilisateurs travaillent sur un bureau virtuel. Les CUI n'atterrissent jamais sur un poste de travail local.
- En chemin, l'enclave se connecte à Access Gate par un tunnel IPsec reposant sur des modules validés FIPS 140-3.
- Sur site, Access Gate vérifie qui imprime, termine la session et ne transmet le travail qu'à l'imprimante autorisée. L'enclave cloud n'est jamais routée sur le réseau de l'usine.
- À l'imprimante, le travail arrive comme un travail ordinaire. L'imprimante ne nécessite aucune modification.
Les captures d'écran de cette page proviennent de ce flux : le principal VDI Demo est le bureau cloud, et les travaux listés sur la page d'état ont été imprimés depuis celui-ci. Pour le parcours complet des CUI, de l'enclave cloud jusqu'à la machine, voir The Last Hop: Carrying CUI From a Cloud Enclave to the Machine That Uses It (en anglais).
Notes et points de vigilance
- La découverte ne traverse pas Access Gate. WSD, mDNS et les autres mécanismes de découverte par diffusion restent sur le segment local. Les utilisateurs ajoutent l'imprimante par son adresse jumelle.
- L'impression brute n'a pas d'accusé de réception. Windows marque le travail comme terminé dès que la connexion se ferme proprement. La page d'état, ou le journal des travaux de l'imprimante, fait office de confirmation.
- Les réponses de l'imprimante doivent revenir par Access Gate. L'imprimante voit l'utilisateur sous son adresse jumelle : son routeur doit donc router les adresses jumelles vers Access Gate. Voir Comment la réponse revient.
Récapitulatif
Vous avez placé une imprimante CUI derrière Access Gate en couches : une enclave et un écran d'accès pour que seuls les utilisateurs authentifiés puissent envoyer un travail, un protocole ou un chemin chiffré pour que le travail soit protégé sur le fil, et des réglages d'imprimante pour que la page imprimée et l'imprimante elle-même restent sous contrôle.
Optez pour cette approche lorsque des CUI sont imprimées sur site et que vous devez montrer qui pouvait imprimer, comment le travail a circulé et que personne d'autre ne pouvait atteindre l'imprimante.