|
Lodop系列软件的安全机制灵活而有效，所有安全细节经过周密推演，全球广泛流行十几年来也未曾有安全事故报告。本文主要针对一些安全评估需求做一下说明。
一、安全访问本地资源
网页程序利用C-Lodop或Lodop访问本地文件时，会有如下安全许可提示：
注意这个许可也只能是本机浏览器页面，如果试图远程访问会被严禁，类似如下警示：
二、管理页面功能被安全固化
C-Lodop软件以“零设置”为架构设计目标，所以可设置项极少，那个8000端口看到“欢迎页面”全是demo，便于初学者入门，程序内部也已锁死\Rootdir这个目录，其中全是例子文件。直白点说，无论攻击者如何费劲周折，获得的仅仅是这些“广告”而已。
另外由于C-Lodop是浏览器与打印设备之间的接口（也就是空管道）程序，本身没有数据库一类的涉密资源，所以通过web端口的不轨意图几无油水可寻。
三、登录账户和密码是业务安全补充
既然没有安全信息资产可图，那么借用C-Lodop进行私自打印就是占纸张便宜的唯一"漏洞"。这个密码之所以没那么复杂，正因管理者希望的是简单好记、容易改动的小范围人群口授令。而且即便真要被突破成功，那么私自打印出来的内容纸张正是"物理罪证"本身。所以严格来说，这个环节属于“非技术加密”范畴，安全评估者不用费心思于此。
四、安装C-Lodop时可选择本机模式
对于仅本地打印的电脑，安装C-Lodop时选择“只许本机打印”，则彻底避免因开启了几个web端口引起的盲目恐慌。选择方式截图如下：
如果安装时忘记以上选择，还可以重新安装一遍。当然也可以通过禁选“允许访问”网络，让操作系统防火墙来避免其他设备使用本机，截图如下（这个操作不影响本机正常打印），安装时点“取消”按钮即可：
五、屏蔽web管理页面让恶者无从下手
如果是部署云打印服务器，则建议屏蔽web管理页面，屏蔽地址为:8000/c_options，此时为了避免登录密码被暴力破解，可以设置密码长点，一个超十位的字母数字混合密码，粗略测算可让理论上能破解的程序在实践上运行上百年才行。
当然破解之后才发现，安全门之后是一面"白墙"，因为C-Lodop程序是固化单一功能。
C-Lodop的HTTPS端口为了兼容更多的浏览器（特别是低版浏览器)，
默认支持的通讯协议有多个，它们由低到高见如下：
SSLv2；SSLv3；TLS1.0；TLS1.1；TLS1.2；
对于有条件要求浏览器较高的系统，可以勾选“仅TLS1.2通讯协议”，
放弃对低版本浏览器的兼容，从而提高通讯安全级别，避免扫出漏洞吓人。
六、设置访问来源的网址白名单，把安全责任统归业务页面
以上安全举措皆限于C-Lodop本身不被侵害，但由于Lodop强大的编程功能，特别是被打印内容的脚本里包含恶意代码，也就是利用Lodop它作为攻击工具的意图就成了难点。
此时只能通过地址 :8000/c_whitelist 设置访问来源白名单，把安全责任交有合法来源页面管理。
为了避免白名单地址被恶意冒充，尽量用https打头的白名单。
如果你还有其它安全需求，譬如您想定做“默认勾选本机打印模式”的安装程序，可联系Lodop官方：
<完>
<<转到博文目录
|
