IPPS steht für Internet Printing Protocol Secure. Dabei handelt es sich um die verschlüsselte Variante des Internet Printing Protocol (IPP). Wie man einen Drucker per IPPS mit einem Zertifikat absichern kann, soll der nachfolgende Ratgeber zeigen.
Absicherung eines Druckers per IPPS (IPP über TLS) mit Zertifikat — Schritt für Schritt
Nachfolgend soll eine plattformunabhängige Erläuterung gegeben werden.
Grundlagen verstehen
Zunächst sollte man verstehen, worum es geht:
- IPP (Internet Printing Protocol) ist das Standardprotokoll für Netzwerkdruck
- IPPS ist IPP über TLS-Verschlüsselung (vergleichbar mit HTTPS)
- Durch ein X.509-Zertifikat wird die Verbindung verschlüsselt
- Ebenso wird die Identität des Druckers bestätigt
- Dabei werden „Man-in-the-Middle-Angriffe“ reduziert
Typischer Port:
- IPPS: 443/tcp (Standard nach RFC)
- IPPS: 631/tcp (oft bei CUPS-Servern)
Voraussetzungen schaffen
Bevor man beginnt, stellt man sicher, dass:
- Der Drucker oder Druckserver IPPS unterstützt (z. B. moderner Netzwerkdrucker, CUPS, Windows Print Server)
- Man Zugriff auf die Administrationsoberfläche hat
- Ein Zertifikat vorliegt oder erstellt werden kann
- von interner PKI / Unternehmens-CA
- von öffentlicher CA
- oder selbstsigniert (Testumgebung)
Hinweis zu PKI: Eine Public Key Infrastructure (PKI) ist ein Sicherheitsrahmen, der digitale Zertifikate und asymmetrische Kryptografie (öffentliche/private Schlüssel) verwendet, um Identitäten in digitalen Netzwerken zu authentifizieren, Daten zu verschlüsseln und zu signieren.
Hinweis zu Unternehmens-CA: Eine Unternehmens-CA (Certificate Authority) ist eine interne Zertifizierungsstelle, die digitale Zertifikate für die Identifizierung, Verschlüsselung und Authentifizierung innerhalb eines Unternehmensnetzwerks ausstellt. Zusätzlich benötigt man:
- Hostname / FQDN des Druckers
- Administrative Rechte
- Zugriff auf Netzwerk- und Firewallkonfiguration
Hinweis zu FQDN: Ein Fully Qualified Domain Name (FQDN) ist die vollständige, absolut eindeutige Adresse eines Geräts (Host) im Internet oder einem Netzwerk, die dessen exakten Ort in der DNS-Hierarchie bestimmt.
Zertifikat erzeugen oder beschaffen
Hierbei geht man folgendermaßen vor:
Schlüsselpaar erzeugen
Man erzeugt zuerst einen privaten Schlüssel: openssl genrsa -out printer.key 2048 (oder 3072 oder 4096)
Zertifikatsanforderung (CSR) erstellen
Danach erstellt man eine Anfrage: openssl req -new -key printer.key -out printer.csr Dabei gibt man an:
- Common Name (CN) → Drucker-Hostname
- Organisation usw.
Wichtig: Der CN oder SAN muss zum später verwendeten Hostnamen passen.
Zertifikat signieren lassen
Nun lässt man das CSR signieren:
- durch interne CA
- oder öffentliche CA
Alternativ erstellt man ein selbstsigniertes Zertifikat:
- openssl x509 -req -days 365 \
- -in printer.csr \
- -signkey printer.key \
- -out printer.crt
Zertifikat auf dem Drucker installieren
Nun installiert man Zertifikat und Schlüssel:
- Man meldet sich an der Weboberfläche oder am Server an
- Nun navigiert man zu „Sicherheit, TLS/SSL und Zertifikatsverwaltung“
- Anschließend lädt man „printer.crt, printer.key und ggf. CA-Kette“ hoch
- Danach aktiviert man das Zertifikat für „HTTPS oder IPPS“
- Zuletzt wird die Konfiguration gespeichert
IPPS aktivieren
Nun aktiviert man den verschlüsselten Druck:
- Man öffnet die Protokolleinstellungen
- Danach aktiviert man „IPP über TLS“
- Man deaktiviert optional „unverschlüsseltes IPP“
- Zuletzt startet man den Dienst oder Drucker neu
Firewall konfigurieren
Anschließend passt man Netzwerkregeln an:
- Man erlaubt „TCP 631“
- Ebenso beschränkt man den Zugriff ggf. auf „bestimmte Subnetze“ oder „Druckserver“
Optional blockiert man „unverschlüsseltes IPP“ oder „RAW-Portdruck (9100)“.
Client konfigurieren
Der Client wird wie folgt konfiguriert:
Drucker hinzufügen
Jetzt richtet man Clients ein:IPPS-URL: ipps://hostname:631/printers/name
Zertifikat vertrauen
Falls internes Zertifikat benötigt wird:
- Man installiert CA-Zertifikat auf Clients
- Man aktualisiert Trust Store
Linux: sudo cp ca.crt /usr/local/share/ca-certificates/ sudo update-ca-certificates
Windows: Zertifikat in „Vertrauenswürdige Stammzertifizierungsstellen“
Funktion testen
Nun prüft man:
- Verbindung aufbauen
- Testseite drucken
- TLS-Status kontrollieren
Optional mit: openssl s_client -connect hostname:631 Dabei prüft man:
- Zertifikat gültig
- Hostname korrekt
- Verschlüsselung aktiv
Sicherheitsmaßnahmen erweitern (Best Practice)
Zusätzlich kann man:
- schwache Cipher deaktivieren
- TLS 1.0/1.1 abschalten
- Zertifikat regelmäßig erneuern
- Zugriff authentifizieren (Kerberos/LDAP)
- Logging aktivieren
- Zertifikatsablauf überwachen
Hinweis zu Cipher: Ein Cipher (deutsch: Chiffre oder Verschlüsselungsverfahren) ist ein kryptografischer Algorithmus, der Klartext in unleserlichen Geheimtext umwandelt (Verschlüsselung) und diesen mittels eines Schlüssels wiederherstellt.
Wartung durchführen
Regelmäßig führt man durch:
- Zertifikatsprüfung
- Firmware-Updates
- Konfigurationsaudit
- Sicherheitsüberwachung
Fazit:
Zur Absicherung eines Druckers per IPPS geht man strukturiert vor:
- Unterstützung prüfen
- Schlüssel und Zertifikat erstellen
- Zertifikat installieren
- IPPS aktivieren
- Netzwerk konfigurieren
- Clients einrichten
- Funktion testen
- Sicherheitsniveau erhöhen
Damit erreicht man einen verschlüsselten und authentifizierten Netzwerkdruck.
Weiterführende Hilfen
- Anleitung: Drucker installieren
- Anleitung: Drucker deinstallieren
- Drucker mit Laptop verbinden
- Drucker mit Smartphone verbinden
- Drucker mit Tablet verbinden
- Drucker mit Fritz!Box verbinden
- Druckerpatronen auf Rechnung
- Toner auf Rechnung
- Drucker wird nicht erkannt
- Standarddrucker einrichten
- Netzwerkdrucker einrichten
- WLAN Drucker einrichten
- Druckerserver einrichten
