Zebra PrintSecure – Kompletny przewodnik po zabezpieczeniach drukarek dla administratorów IT

🔒 Zabezpieczenia infrastruktury druku w firmie. Drukarki etykiet bywają pomijane w strategiach cyberbezpieczeństwa, a stanowią potencjalny wektor ataku. Przewodnik opisuje wdrożenie zabezpieczeń PrintSecure w drukarkach Zebra z systemem Link-OS.

Czym jest Zebra PrintSecure?

PrintSecure to kompleksowe rozwiązanie zabezpieczające drukarki Zebra z platformą Link-OS. Umożliwia administratorom IT pełną kontrolę nad:

• Usługami sieciowymi – FTP, HTTP, HTTPS, LPD, SNMP, TCP, UDP
• Szyfrowaniem komunikacji – TLS, certyfikaty SSL
• Uwierzytelnianiem użytkowników – hasła, PIN-y, dostęp WWW
• Ochroną firmware'u – blokada nieautoryzowanych aktualizacji
• Komunikacją bezprzewodową – Wi-Fi, Bluetooth

Model CIA – fundament bezpieczeństwa

Administrowanie drukarkami Zebra opiera się na modelu CIA (Confidentiality, Integrity, Availability):

Tryb chroniony (Protected Mode) – klucz do bezpieczeństwa

Protected Mode to fundamentalna funkcja blokująca nieautoryzowane zmiany krytycznych ustawień. Gdy tryb jest włączony, zmiana ustawień chronionych wymaga hasła. Chronione są głównie ustawienia sieci i zabezpieczeń. Ustawienia druku, np. zaczernienie, nie są chronione.

Ustawienie hasła trybu chronionego (operacja setup)

Hasło ustawia się poleceniem JSON z operacją setup. W drukarce bez hasła pole password w sekcji authentication jest puste. W drukarce bez trybu chronionego ta operacja ustawia hasło i włącza tryb chroniony.

W drukarkach EU RED tryb chroniony jest włączony fabrycznie, ale hasło nie jest ustawione. Operacja setup ustawia w nich pierwsze hasło. Zwykle wykonuje ją kreator zabezpieczeń Zebry (opis w sekcji o trybie ASM).

{}{
  "protect":{   
    "authentication":{
      "username":"admin",
      "password":"",
      "type":"basic"
    },
    "operation":"setup",
    "setup":{
      "username":"admin",
      "password":"NoweHasloAdmina2026!"
    }
  }
}

WAŻNE: Hasło musi mieć od 14 do 128 znaków i zawierać tylko drukowalne znaki ASCII.

Odpowiedź {"protect":{"status":0,"operation":"setup"}} oznacza, że hasło zostało ustawione.

Sprawdzenie stanu Protected Mode

! U1 getvar "device.protected_mode"

Drukarka odpowie wartością "on" lub "off".

Lista chronionych ustawień

• Usługi sieciowe: FTP, HTTP, HTTPS, LPD, SNMP, TCP, UDP
• Komunikacja bezprzewodowa: Wi-Fi, Bluetooth, wykrywalność BT
• Bezpieczeństwo: hasła, certyfikaty, poziomy
• Firmware: kontrola aktualizacji
• Interfejs: hasło do panelu, blokady menu

Gdy tryb chroniony jest włączony, ustawienia chronione zmienia się operacją set w poleceniu protect, z hasłem.

Advanced Security Mode (ASM) i EU RED

Tryb Advanced Security Mode (ASM) wprowadzono w Link-OS 7.4.2. Przełącza on drukarkę w stan „bezpieczna domyślnie” (secure by default). W tym trybie polecenie ! U1 getvar "device.advanced_security_mode" zwraca wartość "advanced".

Których drukarek dotyczy

Drukarki wprowadzone na rynek w regionie EMEA (Europa, Bliski Wschód, Afryka) od 1 sierpnia 2025 mają tryb ASM włączony fabrycznie. Wymaga tego dyrektywa EU RED (2014/53/EU). Zebra stosuje te same zmiany w krajach EMEA spoza Unii Europejskiej. Tryb dotyczy następujących modeli:

• Drukarki biurkowe: ZD220, ZD230, ZD411, ZD421, ZD611, ZD621
• Drukarki przemysłowe: ZT111, ZT211, ZT231, ZT411, ZT421, ZT510, ZT610, ZT620
• Moduły drukujące: ZE511, ZE521
• Drukarki mobilne: ZQ310 Plus, ZQ320 Plus, ZQ610 Plus, ZQ620 Plus, ZQ630 Plus, ZQ511, ZQ521

Drukarki wprowadzone na rynek wcześniej nie mają tych ustawień fabrycznie. Tryb chroniony i wyłączenie usług konfiguruje w nich administrator, według tego przewodnika.

Stan drukarki po wyjęciu z pudełka

• Tryb chroniony jest włączony, ale hasło nie jest ustawione.
• Do czasu ustawienia hasła nie można zmieniać ustawień chronionych, np. Wi-Fi.
• Drukarki z kolorowym ekranem dotykowym wymagają kodu PIN panelu (4 cyfry).
• Pobieranie części plików jest zablokowane, np. certyfikatów i plików emulacji języka drukarki.
• Reset do ustawień fabrycznych nie wyłącza tych zabezpieczeń.
• Wycofanie z eksploatacji (decommission) też ich nie wyłącza.

Domyślnie wyłączone w ASM

Wi-Fi można skonfigurować dopiero po ustawieniu hasła trybu chronionego. Hasło stron WWW (ip.http.admin_password) i kod PIN panelu (display.password.current) są puste. Minimalny poziom zabezpieczeń Bluetooth wynosi 2 w drukarkach bez wyświetlacza. W pozostałych drukarkach wynosi 3.

Włączone w ASM

• Bluetooth (on) – do konfiguracji
• Ethernet (on)
• IPP (on) – tylko IPPS, szyfrowany druk
• TLS (on) – szyfrowana komunikacja
• Wykrywanie drukarki w sieci (on)

Po konfiguracji należy wyłączyć usługi, które nie są potrzebne.

Interfejsy dostępne przy pierwszej konfiguracji

• port szeregowy,
• USB,
• Bluetooth,
• IPPS (IPP przez TLS),
• port TCP 9143 (dane surowe przez TLS),
• port TCP 9243 (JSON przez TLS).

Konfiguracja drukarki EU RED

Hasło i usługi ustawia się kreatorem zabezpieczeń (Security Setup Wizard) na stronie zebra.com/asr. Kreator oferuje cztery metody:

• Komputer Windows – aplikacja Zebra Nucleus Connector dla systemu Windows ze strony zebra.com/setup. Wersja jest przeznaczona tylko dla regionu EMEA. Drukarkę łączy się przewodem USB albo przez port Ethernet.
• Pamięć USB – kreator przygotowuje pliki do zapisania w pamięci USB. Drukarka sama ustawia hasło i wykonuje polecenia. Metoda wymaga Link-OS 7.6 lub nowszego i nie obsługuje drukarek ZQ310 Plus, ZQ320 Plus, ZQ610 Plus, ZQ620 Plus i ZQ630 Plus.
• Telefon z systemem Android – aplikacja Nucleus Connector z Google Play.
• Telefon z systemem iOS – aplikacja Nucleus Connector z App Store.

Jeśli drukarka nie ma modułu Bluetooth Classic, należy wybrać metodę z komputerem Windows.

Nucleus Connector dla Windows nie instaluje sterownika drukarki. Sterownik instaluje się programem Zebra Setup Utilities (ZSU).

Na ekranie Additional Security Settings kreator pozwala ustawić:

• Set Front Panel PIN Code – czterocyfrowy kod PIN panelu,
• Allow Firmware Updates – aktualizacje firmware,
• Enable TCP/IP Raw Ports – porty 9100, 9200 i 9300,
• Enable LPD – protokół LPD (port 515),
• Enable Access to Printer Web Pages – strony WWW drukarki przez HTTPS (port 443).

Instrukcję krok po kroku zawiera wpis Twoja Zebra wymaga hasła? Konfiguracja trybu chronionego i dyrektywy EU RED.

Własne skrypty konfiguracyjne należy uzupełnić o hasło trybu chronionego. Bez hasła drukarka nie przyjmie zmian ustawień chronionych, np. Wi-Fi, sieci i firmware.

Wi-Fi w drukarkach EU RED

Drukarki EU RED nie obsługują szyfrowania TKIP. Wymaga tego norma EN 18031-1.

• Drukarka nie łączy się z siecią z szyfrowaniem TKIP.
• Drukarka nie łączy się z siecią w trybie mieszanym TKIP/WPA2.
• Punkt dostępu musi używać szyfrowania WPA2 albo WPA3.

10 najlepszych praktyk bezpieczeństwa

1. Planowanie bezpieczeństwa od początku

Politykę bezpieczeństwa należy przygotować przed wdrożeniem drukarek – określić hasła, certyfikaty i wymagane ustawienia.

2. Szyfrowane połączenia

Zawsze należy wybierać HTTPS zamiast HTTP, IPPS zamiast IPP, TLS zamiast TCP. Drukarek nie należy podłączać bezpośrednio do internetu.

3. Rotacja haseł i poświadczeń

Należy planować regularną rotację haseł (co 90 dni). Im dłużej hasło pozostaje niezmienione, tym większe ryzyko kompromitacji.

4. Wyłączenie nieużywanych usług

Każda włączona usługa zwiększa powierzchnię ataku:

! U1 setvar "ip.ftp.enable" "off"
! U1 setvar "ip.lpd.enable" "off"
! U1 setvar "ip.http.enable" "off"

5. Zdalne zarządzanie

Zebra Printer Profile Manager Enterprise umożliwia masowe wdrażanie ustawień bezpieczeństwa na całej flocie.

6. Ograniczenie ujawniania informacji

Nie należy niepotrzebnie informować o infrastrukturze drukarek. Dostęp do dokumentacji konfiguracji powinien być ograniczony.

7. Monitorowanie zaginionych urządzeń

Jeśli drukarka została skradziona, należy natychmiast cofnąć poświadczenia (hasła, certyfikaty, dostępy).

8. Urządzenia z długim wsparciem

Drukarki Zebra Link-OS otrzymują aktualizacje bezpieczeństwa przez wiele lat.

9. Plan wycofania urządzeń

Przed utylizacją należy wykonać decommissioning – usunąć dane, certyfikaty i hasła z pamięci.

10. Model CIA na każdym etapie

Od wdrożenia, przez eksploatację, aż po wycofanie – należy uwzględniać poufność, integralność i dostępność.

Zarządzanie usługami sieciowymi

Wyłączanie usług – komendy SGD

FTP:

! U1 setvar "ip.ftp.enable" "off"

HTTP:

! U1 setvar "ip.http.enable" "off"

SNMP:

! U1 setvar "ip.snmp.enable" "off"

LPD:

! U1 setvar "ip.lpd.enable" "off"

UDP:

! U1 setvar "ip.udp.enable" "off"

TCP Raw:

! U1 setvar "ip.tcp.enable" "off"

Wskazówka: gdy tryb chroniony jest włączony, polecenie setvar nie zmienia ustawień chronionych. Zmianę należy wysłać operacją set w poleceniu protect, z hasłem trybu chronionego.

Szyfrowanie TLS i certyfikaty

Porty TLS

• 9143 – TLS Raw (parser języka drukarki)
• 9243 – TLS JSON (konfiguracja JSON)

Pliki certyfikatów

• TLSRAW_CERT.NRD – certyfikat drukarki
• TLSRAW_KEY.NRD – klucz prywatny
• TLSRAW_CA.NRD – łańcuch certyfikatów CA

Test połączenia TLS

echo "~WC" | openssl s_client -connect 192.168.1.100:9143 -quiet

Obsługiwane szyfry TLS (Link-OS 7.4.2)

• ECDHE-ECDSA-AES256-GCM-SHA384
• ECDHE-ECDSA-AES128-GCM-SHA256
• ECDHE-ECDSA-AES256-SHA384
• ECDHE-ECDSA-AES128-SHA256
• ECDHE-RSA-AES256-GCM-SHA384
• ECDHE-RSA-AES128-GCM-SHA256

Od Link-OS 7.4.2 drukarki nie obsługują szyfrów ChaCha20, AES-CBC i AES-CTR.

Zabezpieczenia Bluetooth

Wykrywalność Bluetooth

Od Link-OS 6 wykrywalność BT jest domyślnie wyłączona. Aby sparować urządzenie, należy:

• przytrzymać przycisk FEED przez 5 sekund lub
• włączyć wykrywalność programowo: ! U1 setvar "bluetooth.discoverable" "on"

Poziomy bezpieczeństwa Bluetooth

• 1 – brak zabezpieczeń (niezalecany)
• 2 – na poziomie usługi
• 3 – na poziomie łącza (zalecany)
• 4 – Secure Simple Pairing

Komenda ustawienia:

! U1 setvar "bluetooth.minimum_security_mode" "3"

Ochrona firmware'u

Blokada aktualizacji

! U1 setvar "device.allow_firmware_downloads" "no"

Jednorazowa autoryzacja aktualizacji

W trybie chronionym, aby autoryzować pojedynczą aktualizację:

{}{
  "protect":{
    "authentication":{
      "username":"admin",
      "password":"HasloTrybuChronionego",
      "type":"basic"
    },
    "operation":"allow-next-firmware-download"
  }
}

Logowanie i audyt

Włączenie syslog

! U1 setvar "device.syslog.enable" "on"
! U1 setvar "device.syslog.log_max_file_size" "1000000"

Eksport logów do pliku

! U1 setvar "device.syslog.save_local_file" "E:syslog.txt"

Zdalne logowanie (serwer syslog)

! U1 setvar "device.syslog.server" "192.168.1.50"
! U1 setvar "device.syslog.port" "514"

Wdrożenie krok po kroku

Krok 1: Inwentaryzacja

• Zidentyfikować wszystkie drukarki w organizacji
• Sprawdzić model, wersję firmware, opcje komunikacyjne
• Ocenić aktualne ustawienia zabezpieczeń
• Sprawdzić, które drukarki wprowadzono na rynek EMEA od 1 sierpnia 2025 (tryb ASM)

Krok 2: Analiza wymagań

• Jakie protokoły drukowania są używane?
• Czy potrzebny jest dostęp WWW?
• Jakie są wymagania regulacyjne (EU RED, RODO)?

Krok 3: Konfiguracja

• Ustawić hasła administratora (od 14 do 128 znaków)
• Wyłączyć nieużywane usługi
• Skonfigurować szyfrowanie TLS
• Włączyć Protected Mode

Krok 4: Weryfikacja

• Wydrukować raport konfiguracji
• Sprawdzić stan trybu chronionego
• Przetestować połączenia szyfrowane
• Zweryfikować blokadę nieautoryzowanych zmian

Narzędzia do zarządzania

• Printer Profile Manager Enterprise – masowe zarządzanie flotą
• Zebra Nucleus Connector – konfiguracja zabezpieczeń drukarek EU RED (Windows, Android, iOS); wersja dla Windows tylko w regionie EMEA, ze strony zebra.com/setup
• Zebra Setup Utilities – konfiguracja pojedynczych drukarek i instalacja sterownika Windows
• Link-OS SDK – integracja z systemami korporacyjnymi

Sterowniki i oprogramowanie: Strona ze sterownikami i oprogramowaniem

FAQ – Najczęściej zadawane pytania

Czy Protected Mode trzeba włączać na każdej drukarce osobno?

Nie. Do masowego wdrożenia ustawień na całej flocie służy Printer Profile Manager Enterprise. W drukarkach EU RED wiele drukarek obsługuje też jeden plik ustawień z Nucleus Connector albo jedna pamięć USB (Link-OS 7.6 lub nowszy).

Jak odzyskać dostęp po utracie hasła Protected Mode?

Zebra nie przechowuje haseł. Reset do ustawień fabrycznych nie wyłącza zabezpieczeń drukarki EU RED.

Zebra przewiduje wycofanie z eksploatacji poleceniem ~PM z numerem seryjnym drukarki. Polecenie działa wyłącznie przez port USB. Usuwa wszystkie dane użytkownika i ustawienia drukarki. W drukarce EU RED tryb chroniony pozostaje włączony, a niezabezpieczone usługi pozostają wyłączone. Po ponownym uruchomieniu należy ustawić nowe hasło i ponownie skonfigurować drukarkę.

Od Link-OS 7.6.1 jest też polecenie JSON reset-advanced-security-mode. Polecenie przywraca hasło trybu chronionego do stanu domyślnego. Pozostałe ustawienia drukarki zostają zachowane. Polecenie wymaga jednak podania obecnego hasła, więc po utracie hasła nie można go użyć.

W razie trudności pomagamy jako autoryzowany serwis Zebra.

Czy wyłączenie HTTP uniemożliwi drukowanie?

Nie. HTTP służy tylko do konfiguracji przez przeglądarkę. Drukowanie odbywa się przez inne protokoły, np. IPP, TCP 9100 lub TLS.

W drukarkach EU RED port 9100 jest jednak fabrycznie wyłączony. Fabrycznie działa tylko szyfrowany druk przez IPPS i TLS. Port 9100 włącza się w kreatorze zabezpieczeń: ekran Additional Security Settings, opcja Enable TCP/IP Raw Ports. Opcja włącza porty 9100, 9200 i 9300.

Jakie drukarki obsługują PrintSecure?

Wszystkie drukarki Zebra z platformą Link-OS – serie ZD, ZT, ZQ i inne.

Czy TLS spowalnia drukowanie?

Minimalnie. Szyfrowanie dodaje niewielki narzut, ale korzyści bezpieczeństwa znacznie przewyższają koszty wydajnościowe.

Słownik terminów

Powiązane materiały

• 📰 Twoja Zebra wymaga hasła? Konfiguracja trybu chronionego i dyrektywy EU RED – podstawowy przewodnik dla użytkowników
• 🎬 Film: tryb chroniony (Protected Mode) i EU RED w drukarkach Zebra – konfiguracja krok po kroku
• 📥 Sterowniki i oprogramowanie Zebra – Zebra Setup Utilities do instalacji sterownika Windows

Potrzebujesz pomocy z wdrożeniem?

Pomagamy przy zabezpieczaniu floty drukarek:

📞 Zadzwoń: +48 601 619 898 — konsultacje dla działów IT

🔧 Zgłoś zapytanie: Formularz kontaktowy →

Jako autoryzowany serwis Zebra oferujemy:

• Audyty bezpieczeństwa floty drukarek
• Wdrożenia PrintSecure i Protected Mode
• Szkolenia dla administratorów IT
• Wsparcie przy zgodności z EU RED
• Konfigurację drukarek EU RED i pomoc po utracie hasła trybu chronionego