PS Sécurité de la connexion

Configurer le certificat HTTPS

Un certificat personnalisé auquel tous les ordinateurs clients font confiance doit être configuré pour MyQ Print Server. Trois modes de gestion des certificats sont disponibles :

Par défaut, MyQ Print Server crée son propre certificat d'autorité de certification racine et l'utilise pour signer les certificats du serveur et du client. La partie publique de ce certificat peut être exportée et déployée dans le magasin de confiance des certificats du client, par exemple en utilisant la stratégie de groupe ou le MDM.

Les organisations disposant déjà de leur propre PKI peuvent préférer la seconde option. MyQ Print Server utilise sa propre autorité de certification intermédiaire pour émettre des certificats de serveur et de client. Le certificat de l'autorité de certification intermédiaire autogénéré doit être signé par l'autorité de certification de l'entreprise afin que les clients puissent s'y fier.

Si la politique de sécurité de l'entreprise n'autorise pas l'installation d'un certificat CA intermédiaire sur MyQ Print Server, ou si un certificat émis par une autorité de certification publique doit être utilisé, la gestion manuelle des certificats doit être utilisée à la place.

Quel que soit le mode de l'autorité de certification, les certificats sont physiquement stockés dans le répertoire "C:\ProgramData\MyQ\Cert", qui peut contenir les fichiers suivants :

• server.pfx - certificat du serveur avec les clés publique et privée

• server.cer - certificat de serveur avec clé publique

• server.key - clé privée du serveur

• ca-root.crt - certificat de l'autorité de certification racine de l'entreprise avec clé publique

• ca-myq.pfx - émission d'un certificat d'autorité de certification avec clés publique et privée

• ca-myq.crt - certificat d'autorité de certification avec clé publique

• ca-myq.key- émission des clés privées de l'AC

Les clés privées de l'autorité de certification locale (utilisées dans les deux premiers modes de fonctionnement) sont toujours protégées par un mot de passe généré de manière aléatoire et stocké dans la base de données interne de Firebird sous une forme cryptée.

Bloquer le trafic HTTP non crypté

Le trafic HTTP non crypté ne doit pas être activé dans la configuration de MyQ Print Server :

Bloquer les ports inutilisés

Réduire la surface d'attaque en désactivant les règles de pare-feu pour les protocoles non utilisés par MyQ Print Server :

Cryptage des connexions à MyQ Central Server

N'utilisez que HTTPS pour vous connecter à MyQ Central Server :

Utiliser des mots de passe forts pour l'authentification de serveur à serveur

Le mot de passe pour la communication entre le serveur central et le site doit être fort (complexité du mot de passe) :

Sécuriser le trafic SMTP

Lorsque le protocole SMTP est utilisé pour envoyer des courriers électroniques ou pour recevoir des documents provenant de scanners du réseau, le cryptage TLS doit toujours être appliqué pour garantir la confidentialité des données.

Le cryptage TLS doit également être appliqué lorsque le protocole IMAP est utilisé, tandis que l'ancien protocole POP3 doit être évité :

Utiliser des mots de passe RADIUS forts et uniques

Si l'authentification RADIUS est utilisée, il faut toujours générer des secrets partagés forts qui sont spécifiques au MyQ Print Server :

Chiffrer le trafic LDAP

Le cryptage TLS doit être utilisé pour sécuriser tout le trafic LDAP :

Pour des raisons de sécurité, n'utilisez pas START TLS, car il est vulnérable aux attaques MITM. Un certificat émis par une autorité de certification de confiance doit être configuré sur tous les serveurs LDAP (contrôleurs de domaine Active Directory).

Sécuriser le trafic SNMP

Les communications SNMPv1 non sécurisées avec les appareils doivent être évitées :

N'utilisez SNMPv3 qu'avec un mot de passe fort et configurez l'utilisation d'algorithmes cryptographiques plus sûrs (SHA1 et AES) :

Sécuriser les informations d'identification de l'imprimante

La gestion des justificatifs d'identité des imprimantes se fait en dehors de MyQ Print Server et est spécifique à chaque fournisseur. Dans la mesure du possible, il convient d'utiliser des mots de passe forts, générés de manière aléatoire, pour gérer les imprimantes :

Toujours utiliser le FQDN

Pour éviter les attaques MITM, utilisez strictement des noms de domaine pleinement qualifiés dans toutes les fenêtres de configuration :

Protéger les clés d'API REST

En cas d'utilisation d'API REST, protégez les secrets du client contre toute exposition inutile et procédez à un renouvellement périodique des secrets :