Dotaz: Bezpečnost VNC

[Harvie.CZ]

Používám následující setup a přemýšlím, jestli je bezpečné pustit ho na firewallu veřejně do netu:

V inetd.conf mam takhle Xvnc server(y) pro ruzny rozliseni:

5901 stream tcp nowait nobody /usr/bin/Xvnc :1 -inetd -once -query 127.0.0.1 -SecurityTypes=none -geometry 800x600 -depth 24

Na VNC se da dostat bez hesla, ale na cloveka vyskoci graficky prihlasovaci dialog (uz jako obrazek skrz VNC vzdalenou plochu). Je tam nejaky lightdm s XDMCP na ktery se VNC server pripoji. Takze prihlasovani uz probiha jako by clovek sedel u terminalu.

Je to bezpecny? Hlavne mi jde o pripadny odposlechnuti hesla pri jeho zadavani, nejsem si jistej, jak je VNC odolny. Treba co se tyka bruteforcovani mi to prijde odolny, protoze kazdej pokus trva extremne dlouho a navic bych si toho asi vsim brzo v htopu. Ale vysvetlovat sekretarkam, jak si na windows rozchodit SSH tunel na VNC je malinko opruz ve srovnani s ciste primym VNC pristupem...

Co si o tom myslite?

Odpovědi

[NN]

Cele to obal transparentnim tunelem(L2,GRE,TLS/SSL,IPsec etc.) a nebudes si muset lamat hlavu z bezpecnosti..

[Harvie.CZ]

Na to jsem se ale neptal.

[vandrovnik]

Ale dát na jeho radu bys měl. Pokud vím, samotné VNC půjde odposlechnout hravě, tedy např. to zadávané heslo nebude v bezpečí.

[lertimir]

Co vím tak jako protokol pro VNC se používá RFB. A ten tedy zabezpečení neřeší. Placené verze RealVNC serveru šifrování zahrnují a v některých jiných implementacích se bezpečnost řeší za cenu ztráty kompatibility. Nejspolehlivější je zabalit VNC do tunelu a pro sekretářky nakonfigurovat script, který tunel vytvoří a session pustí do něj.

[NN]

Doplnim RFC 6143 pokud by jsi to potreboval na papire. lertimir thx..

[Jendа]

VNC přenášená data IMHO nešifruje, a i kdyby, tak určitě nechrání před MITM, protože jsem si nikdy nevšiml, že by VNC klient chtěl potvrdit fingerprint serveru.