Kotitulostimen tietoturva jää useimmissa kodeissa miettimättä, vaikka laite on verkossa ympäri vuorokauden ja käsittelee usein perheen arkaluonteisimpia papereita. Verotuspäätös, Omakannasta tulostettu reseptiyhteenveto, palkkalaskelma tai etätyön asiakassopimus kulkee WiFi-tulostimen muistin kautta ilman, että kukaan ajattelee asiaa. Tämä artikkeli käy läpi, miten kotitulostimen langattoman verkon asetukset tehdään oikein ja mitkä viisi asetusta kannattaa tarkistaa heti.
Miksi tulostin on kotiverkon heikoin lenkki
Tulostin on tietokone. Siinä on oma käyttöjärjestelmä, verkkokortti, sisäinen verkkopalvelin hallintaa varten ja usein myös avoimia portteja, joita kukaan ei ole sulkenut tehdasasetusten jälkeen. Kannettava ja puhelin saavat tietoturvapäivityksiä viikoittain, mutta tulostimen firmware päivittyy monessa kodissa ensimmäisen kerran vasta, kun laite vaihdetaan uuteen.
Konkreettinen esimerkki tapahtui vuoden 2018 lopulla. Yksittäinen hakkeri löysi internetistä noin 50 000 tulostinta, joiden tulostusportti 9100 oli auki suoraan verkkoon, ja lähetti niille kaikille tulostettavan viestin. Vahinko jäi paperinkulutukseen, mutta sama reitti olisi mahdollistanut paljon muutakin.
Myytti: kotitulostimessa ei ole mitään varastettavaa
Yleisin väärinkäsitys kuuluu näin: tulostin vain tulostaa, joten hyökkääjää ei kiinnosta. Tämä ei pidä paikkaansa kahdesta syystä.
Ensinnäkin monitoimilaite tallentaa tietoja. Jos olet ottanut käyttöön skannauksen sähköpostiin, laitteen muistissa on sähköpostitilin SMTP-tunnukset. Osa malleista säilyttää myös viimeisimpiä tulostus- ja skannaustöitä tai osoitekirjaa. Toiseksi heikosti suojattu tulostin on hyökkääjälle sisäänpääsy samaan verkkoon, jossa ovat työläppäri, NAS-levy ja älykodin laitteet. Tulostinta itseään ei tarvitse haluta – riittää, että se avaa oven.
Kotitulostimen tietoturva käytännössä – viisi tarkistettavaa asetusta
Kokenut asentaja aloittaa avaamalla tulostimen sisäisen hallintasivun (Embedded Web Server, EWS). Sinne pääsee kirjoittamalla tulostimen IP-osoitteen selaimeen. Osoitteen saa näkyviin tulostamalla verkkokonfiguraatiosivun laitteen omasta valikosta. HP, Canon, Epson ja Brother käyttävät kaikki tätä samaa periaatetta, vaikka valikkojen nimet vaihtelevat.
- Hallintasalasana: Vaihda tehdasasetuksen salasana omaan. Monissa vanhemmissa malleissa salasana on tyhjä tai tulostettu laitteen tarraan.
- Firmware-päivitys: Kytke automaattinen päivitys päälle tai tarkista se käsin 3-6 kuukauden välein.
- Wi-Fi Direct: Sammuta, jos et käytä sitä. Se luo tulostimelle oman langattoman verkon, joka näkyy naapureillekin.
- WPS: Poista käytöstä sekä reitittimestä että tulostimesta asennuksen jälkeen. Erityisesti PIN-pohjainen WPS on tunnetusti murrettavissa.
- Tarpeettomat protokollat: Sulje esimerkiksi Telnet, FTP ja SNMP v1, jos hallintasivu antaa niistä valita.
Koko läpikäynti vie 15-20 minuuttia. Se kannattaa tehdä heti asennuksen yhteydessä, kun laitteen ohjeet ja IP-osoite ovat vielä käsillä.
Langattoman verkon asetukset ja salaus
Tulostin kannattaa liittää verkkoon, joka käyttää WPA2- tai WPA3-salausta. WPA3 on parempi, mutta tässä on tärkeä poikkeus: monet vuosina 2015-2020 myydyt kotitulostimet eivät tue WPA3:a lainkaan. Jos reititin on asetettu pelkkään WPA3-tilaan, vanha tulostin ei yksinkertaisesti löydä verkkoa. Ratkaisu on reitittimen WPA2/WPA3-sekatila, ei salauksen poistaminen.
Toinen tyypillinen ongelma liittyy taajuuksiin. Edullisimmat mustesuihkutulostimet toimivat vain 2,4 GHz:n taajuudella. Jos reititin yhdistää 2,4 ja 5 GHz:n samaan verkkonimeen, asennus voi epäonnistua tai yhteys katkeilla.
Moni suomalainen operaattorireititin tarjoaa vierasverkon. Sen käyttö tulostimelle on houkuttelevaa, koska se eristää laitteen muusta kotiverkosta. Haittapuoli on se, että vierasverkko estää usein laitteiden välisen liikenteen, jolloin läppäri ei näe tulostinta. Toimivampi ratkaisu on erillinen IoT-verkko, jos reititin sen mahdollistaa. Tarkemmin langattomista ominaisuuksista kerrotaan artikkelissa monitoimilaitteen wifi- ja pilviominaisuudet.
Pilvitulostus ja etäkäyttö – hyöty vai riski
Google Cloud Print lopetettiin vuoden 2020 lopussa, ja sen tilalle tulivat valmistajien omat sovellukset: HP Smart, Canon PRINT, Epson Smart Panel ja Brother Mobile Connect. Ne ovat käteviä, koska tulostaa voi vaikka kesämökiltä Kuusamosta kotiin Helsinkiin. Samalla tulostin on kuitenkin jatkuvasti yhteydessä valmistajan palvelimeen.
Asiantuntija kysyy ensin, tarvitaanko etätulostusta oikeasti. Jos koko perhe tulostaa vain kotona, pilviominaisuus kannattaa sulkea. AirPrint ja Androidin Mopria toimivat paikallisessa verkossa ilman pilvitiliä. Jos pilvitilin pitää, sille kannattaa asettaa vahva salasana ja kaksivaiheinen tunnistautuminen, jos valmistaja sitä tarjoaa.
Firmware-päivityksissä on yksi huomioitava seikka. Jotkin valmistajat, HP tunnetuimpana, ovat päivityksillä estäneet kolmannen osapuolen mustepatruunoiden käytön. Tämä ei ole syy jättää päivityksiä tekemättä – tietoturva-aukko on suurempi riski kuin muutaman euron säästö mustepatruunoissa.
Etätyö ja arkaluonteiset tulosteet
Suomessa etätyö on vakiintunut pysyväksi käytännöksi, ja kotitulostimen kautta kulkee nyt aineistoa, joka ennen tulostettiin toimiston valvotussa laitteessa. Työnantajan tietoturvaohje voi edellyttää, ettei asiakasaineistoa tulosteta yksityiseen laitteeseen lainkaan. Tämä kannattaa tarkistaa ennen kuin hankkii kotitoimistoon monitoimilaitteen.
Toimistoissa käytetään usein pull print -tekniikkaa, jossa tuloste vapautetaan vasta käyttäjän tunnistauduttua laitteella. Kotitulostimissa tällaista ei yleensä ole, mutta periaate on hyvä tuntea – siitä lisää artikkelissa tulostuksen tietoturva – pull print ja käyttäjätunnistus. Kotona vastaava suoja on yksinkertainen: tuloste haetaan heti, eikä sitä jätetä alustalle, jossa vieraat tai kimppakämpän asukkaat näkevät sen.
Yleisimmät virheet kotitulostimen asennuksessa
Ajurin lataaminen väärästä lähteestä. Hakukoneen ensimmäinen tulos ei aina ole valmistajan sivu. Lataa ajurit ja asennusohjelmat vain valmistajan omilta sivuilta tai käyttöjärjestelmän päivityksen kautta. Ohjeita löytyy artikkelista tulostimen draiverit ja niiden asennus.
Tulostimen myynti tai kierrätys ilman nollausta. Käytetyn monitoimilaitteen muistiin voi jäädä WiFi-salasana, sähköpostitunnukset ja faksien osoitekirja. Tee aina tehdasasetusten palautus ennen kuin laite lähtee talosta.
Reitittimen porttiohjaus tulostimelle. Joku on joskus neuvonut avaamaan portin, jotta tulostus toimisi etänä. Tämä on juuri se virhe, joka paljasti vuonna 2018 kymmeniätuhansia laitteita. Etätulostukseen kuuluu käyttää valmistajan pilvipalvelua tai VPN-yhteyttä, ei avointa porttia.
UKK
Voiko kotitulostinta oikeasti hakkeroida?
Voi, jos laitteessa on vanha firmware, oletussalasana tai se näkyy suoraan internetiin. Kun salasana on vaihdettu, päivitykset ovat ajan tasalla ja tulostin on reitittimen takana ilman avoimia portteja, riski on kotikäytössä pieni.
Pitääkö tulostin liittää WiFiin vai riittääkö USB-kaapeli?
USB-kaapelilla kytketty tulostin ei ole verkossa lainkaan, joten se on tietoturvan kannalta turvallisin vaihtoehto. Se sopii hyvin kotiin, jossa tulostaa vain yksi tietokone. Jos tulostajia on useampia tai halutaan tulostaa puhelimesta, WiFi on käytännöllisempi.
Kuinka usein tulostimen firmware pitää päivittää?
Paras vaihtoehto on automaattinen päivitys. Jos sitä ei ole, tarkista päivitykset 3-6 kuukauden välein valmistajan sivuilta tai tulostimen hallintasivulta.
Turvallinen tulostin ilman monimutkaisia asetuksia
Kotitulostimen suojaamiseen ei tarvita tietoturva-asiantuntijaa. Vaihda hallintasalasana, pidä firmware ajan tasalla, sulje Wi-Fi Direct ja WPS ja varmista, ettei reititin päästä tulostinta suoraan internetiin. Nämä neljä toimenpidettä estävät valtaosan todellisista uhista. Kun hankit uutta laitetta, kysy tulostinkaupasta, tukeeko malli WPA3:a ja kuinka pitkään valmistaja lupaa julkaista sille tietoturvapäivityksiä – vastaus kertoo laitteen käyttöiästä enemmän kuin moni tekninen arvo.