Zabezpečené VNC spojení se SSVNC (diskuse)

[Dag]

Dík!

[marek_hb]

super, díky moc

[Michal Fecko]

Ako je to s pripojením na Linux mašinu (na ktorej beží SSVNC server) a Win mašinou s bežným VNC klientom (RealVNC, TightVNC či UltraVNC)?

[pushkin]

Alespoň co jsem měl možnost vyzkoušet, tak klasické TightVNC se chová stejně pod Linuxem i pod Windows, tj. zahlásí, že server nabídl nepodporovaný způsob zabezpečení. RealVNC asi dopadne stejně - alespoň podle informací na jejich webu, kde o SSL/SSH není ani zmínka. Nicméně stále lze použít buď windowsí verzi SSVNC nebo webový prohlížeč s Javou, obojí jsem zkoušel a funguje to.

[Michal Vyskočil]

Svoje postřehy ohledně VNC připojení z Linuxu na Windows přes ssh jsem sepsal v článku VNC - používáme vzdálený desktop.

[Radek Hladik]

Ono je to s VNC a SSL (resp. šifrováním obecně) trošku komplikovanější. Standardně VNC nabízí mechanismus autentikačních protokolů, které se při hello nabídnou, vybere se shodný a vhodný a ten se použije. Takže to, že se zde bavíme o SSL znamená konkrétně mechanismus VeNCrypt, který sám o sobě má svoje mechanismy (X509+heslo,X509,...). Například šifrování s UltraVNC je úplně jiné a využívá nějakých jejich speciálních vlasntostí.

VNC protokol je poměrně jendoduchý a moc toho neumí a umožňuje snadné rozšiřování (nejen těch autentikačních protokolů). Ale zpátky k VeNCryptu, ten je zajímavý i tím, že ho používá Qemu a potažmo tedy i Libvirt a spol. Také je zajímavý tím, že pro Windows existují dvě implementace, jedna přímo s názvem VeNCrypt, která se už nevyvíjí a dokázala strašně snando spadnout. Druhá je zmíněné SSVNC, což ale ve skutečnosti je jenom wrapper okolo jiných VNC klientů (a funguje i s UltraVNC). Ovšem z hlediska protokolu je to tak, že SSVNC naváže spojení, dohodne parametry, VeNCrypt autentizaci, pak nahodí stunnel, spustí VNC klienta, provede s ním vlastní začátek protokolu, podstrčí mu nějaký auth. způsob, který klient zná a pak ho přesměruje do stunnelu. Řešení funkční, ale docela kostrbaté.

Z toho důvodu a ze zvědavosti jsem se rozhodl si napsat vlastního VNC klienta s podporou pro VeNCrypt a další Qemu rozšíření. Směřuju ho především na Qemu+textovou konzoli, ale docela funguje i s grafickým VNC. Pokud má někdo zájem o vyzkoušení (říkejme tomu alfa verze ), může se mi ozvat přes email v profilu.

[kolcon]

me by spis zajimalo, jake pouzivate spravce vnc spojeni, tj. pripojit se na jedno kliknuti, vcetne spravy hesel atd.

neco jako vinagre, ale lehci, bez gnome dependenci...

[pushkin]

To je dobrá otázka, ale pro někoho jiného - osobně žádného správce hesel nepoužívám ani necítím potřebu jej používat.

[kolcon]

no ja premyslim, jestli neco takoveho treba s ncurses rozhrani nenapsat...

[Radovan Garabík]

CPM

[kolcon]

no, to neni uplne ono - ja myslel spis neco
+------------+
| vnc host1 |
| vnc host2 |
+------------+

kde po najeti se otevre vnc spojeni s automaticky zadanym heslem, parametry a tak

[pushkin]

Mno, to by teoreticky nebyl problém naprogramovat za pomoci nějakého jednoduchého wrapperu pro vnc a konfiguračního souboru*, kde by byly uloženy servery s porty, hesly a příslušnými volbami. Jenom si nedovedu představit jak to nasoftit v bashi

*) Což by mohl být potenciální bezpečnostní problém, protože by musel být čitelný oním wrapperem a tedy nejspíše i uživatelem, který jej spouští ... a člověk přeci nechce aby se jakýkoliv uživatel dostal kamkoliv a ještě navíc viděl hesla k serverům v nezahashované formě.

[kolcon]

jj, si to asi napisu v Perlu... ten konfigurak bude nekde v ~, takze pristupny pouze pro uzivatele, co ten skript pusti

[Radovan Garabík]

dialog --menu 'vyber servera' 15 25 6 1 host1.cz 2 host2.cz