关于C-Lodop安全策略及相关设置
 
  Lodop系列软件的安全机制灵活而有效,所有安全细节经过周密推演,全球广泛流行十几年来也未曾有安全事故报告。本文主要针对一些安全评估需求做一下说明。

一、安全访问本地资源
  网页程序利用C-Lodop或Lodop访问本地文件时,会有如下安全许可提示:
关于C-Lodop安全策略及相关设置

注意这个许可也只能是本机浏览器页面,如果试图远程访问会被严禁,类似如下警示:

关于C-Lodop安全策略及相关设置

二、管理页面功能被安全固化
   C-Lodop软件以“零设置”为架构设计目标,所以可设置项极少,那个8000端口看到“欢迎页面”全是demo,便于初学者入门,程序内部也已锁死\Rootdir这个目录,其中全是例子文件。直白点说,无论攻击者如何费劲周折,获得的仅仅是这些“广告”而已。
  另外由于C-Lodop是浏览器与打印设备之间的接口(也就是空管道)程序,本身没有数据库一类的涉密资源,所以通过web端口的不轨意图几无油水可寻。

三、登录账户和密码是业务安全补充
  既然没有安全信息资产可图,那么借用C-Lodop进行私自打印就是占纸张便宜的唯一"漏洞"。这个密码之所以没那么复杂,正因管理者希望的是简单好记、容易改动的小范围人群口授令。而且即便真要被突破成功,那么私自打印出来的内容纸张正是"物理罪证"本身。所以严格来说,这个环节属于“非技术加密”范畴,安全评估者不用费心思于此。
关于C-Lodop安全策略及相关设置
四、安装C-Lodop时可选择本机模式
  对于仅本地打印的电脑,安装C-Lodop时选择“只许本机打印”,则彻底避免因开启了几个web端口引起的盲目恐慌。选择方式截图如下:
关于C-Lodop安全策略及相关设置

如果安装时忘记以上选择,还可以重新安装一遍。当然也可以通过禁选“允许访问”网络,让操作系统防火墙来避免其他设备使用本机,截图如下(这个操作不影响本机正常打印),安装时点“取消”按钮即可:

关于C-Lodop安全策略及相关设置

五、屏蔽web管理页面让恶者无从下手
   如果是部署云打印服务器,则建议屏蔽web管理页面,屏蔽地址为:8000/c_options,此时为了避免登录密码被暴力破解,可以设置密码长点,一个超十位的字母数字混合密码,粗略测算可让理论上能破解的程序在实践上运行上百年才行。
  当然破解之后才发现,安全门之后是一面"白墙",因为C-Lodop程序是固化单一功能。

 

  C-Lodop的HTTPS端口为了兼容更多的浏览器(特别是低版浏览器),
 默认支持的通讯协议有多个,它们由低到高见如下:
 SSLv2;SSLv3;TLS1.0;TLS1.1;TLS1.2;
 对于有条件要求浏览器较高的系统,可以勾选“仅TLS1.2通讯协议”,
 放弃对低版本浏览器的兼容,从而提高通讯安全级别,避免扫出漏洞吓人。
关于C-Lodop安全策略及相关设置
六、设置访问来源的网址白名单,把安全责任统归业务页面
   以上安全举措皆限于C-Lodop本身不被侵害,但由于Lodop强大的编程功能,特别是被打印内容的脚本里包含恶意代码,也就是利用Lodop它作为攻击工具的意图就成了难点。
 此时只能通过地址 :8000/c_whitelist 设置访问来源白名单,把安全责任交有合法来源页面管理。
 为了避免白名单地址被恶意冒充,尽量用https打头的白名单。

关于C-Lodop安全策略及相关设置

如果你还有其它安全需求,譬如您想定做“默认勾选本机打印模式”的安装程序,可联系Lodop官方:

<完>

<<转到博文目录