Printeren understøtter ikke OAuth — hvad gør man så?

Hvad OAuth kræver af en enhed

Moderne godkendelse — OAuth 2.0 — er ikke bare en anden måde at sende et kodeord på. Den forudsætter, at enheden kan tre ting, en printer ikke kan:

• Sende brugeren videre til et login i en browser. Godkendelsen sker hos Microsoft eller Google, ikke i enheden. En printer har ikke en browser at sende nogen hen i.
• Håndtere tokens, der udløber. Adgangen gives som en nøgle med udløbsdato, der løbende skal fornys i baggrunden. En printer gemmer et kodeord én gang og bruger det, til nogen ændrer det.
• Være registreret som en app. Enheden skal have et app-id og en hemmelighed i kundens eget lejemål. Printerens SMTP-klient har ikke et sted at lægge dem.

Det er derfor, det ikke hjælper at opdatere firmwaren. Der mangler ikke en rettelse — der mangler en helt anden slags klient, end den der sidder i maskinen.

Hvad du så kan gøre

1. Lad printeren sende internt uden login

Direct Send til jeres eget domæne kræver ingen godkendelse. Det virker kun til modtagere på jeres eget domæne, og det forudsætter at jeres SPF-post dækker printerens ip-adresse. Skal scanninger ud af huset, holder det ikke.

2. Giv printeren sin egen postkasse med basisgodkendelse

Det virker, hvor SMTP AUTH stadig kan slås til. Prisen er en licens pr. maskine, en konto der skal undtages fra totrinsgodkendelse og betinget adgang, og et kodeord der står i klartekst i en printer. Det er en midlertidig løsning på lånt tid — Microsoft strammer skruen løbende.

3. Byg en relayconnector

En connector i Exchange Online, der stoler på jeres offentlige ip-adresse. Kræver en fast ip, og alt på det netværk kan i praksis sende som jer. Der er ingen log pr. maskine. Se scan til mail med Microsoft 365 for detaljerne.

4. Lad maskinen aflevere et sted, der tager imod som den er

Det er den vej, ScanTilMail er. Printeren logger ind med brugernavn og kodeord over TLS — præcis det, den kan i forvejen — og vi leverer videre. Jeres Microsoft 365 skal ikke ændres, og printeren skal hverken have en licens eller en undtagelse fra jeres sikkerhedspolitik.

Er brugernavn og kodeord så ikke usikkert?

Det er et rimeligt spørgsmål, og svaret er, at det afhænger af hvad kontoen kan.

Problemet med basisgodkendelse i Microsoft 365 er ikke kodeordet i sig selv — det er, at den samme konto giver adgang til postkassen, kalenderen, filerne og alt det andet. Bliver kodeordet læst ud af en printer, er hele brugeren kompromitteret.

En konto, der udelukkende kan aflevere post fra én maskine, har ikke det problem. Hos os kan kontoen kun sende, kun fra godkendte afsenderdomæner, kun over krypteret forbindelse, og den kan bindes til jeres faste ip-adresse. Sender maskinen pludselig langt mere end normalt, spærres den automatisk. Der er ikke noget at stjæle ud over evnen til at sende — og den er indhegnet.