Segurança e UltraVNC | ZWAME Fórum
Segurança e UltraVNC
Discussão em 'Dúvidas e Suporte—Internet, Redes, Segurança' iniciada por Neojag, 12 de Março de 2006. (Respostas: 12; Visualizações: 3405)
Estou a utilizar o UltraVNC numa rede local e funciona às mil maravilhas.
Na vossa opinião, o programa é seguro o suficiente para ser utilizado através da internet e para ser corrido como servidor permanentemente (ou como serviço ou a arrancar automaticamente com o sistema)? A máquina a controlar está por detrás de um router (com as portas correctas reencaminhadas para ela), e estou a utilizar um plugin de encriptação com uma chave de 128bits e password normal de acesso.
Podes fazer "SSH tunneling". Mas segundo sei o UltraVNC já possui encriptação built-in por isso provavelmente não será necessário a parte do SSH.
http://www.vncscan.com/UltraVNC/Ultravnc_with_DSM.htm
O servidor é critico? Faz parte de alguma empresa? Se sim o meu aviso era criar uma VPN e fazer o acesso por lá.
Nope, é uma rede caseira, pa controlar os sacanços lá em Lamego a partir do Porto
Neste caso, consideram a segurança suficiente?
eu uso o UltraVNC Pa controlar um pc que esta em corroios de lisboa...uso encriptação e chave...nunca tive problemas.
Tem piada que eu uso o ultravnc para controlar um pc que está em lisboa a partir de corroios.
Tambem nunca tive problemas.
Neojag, o Sandman está lá ,)
Com ou sem encriptação, eu não expunha um port de VNC ao mundo nem que a vaca fizesse malabarismos com frascos de nitro
Arranja um P2/64MB qqr a correr Linux ( Slackware IMHO, mas eu sou biased ), redirecionas um port qqr para o port de SSH da box e prontos, tunneling on the way. Com uma pvt key jeitosa (2048bits deve chegar... ) e tás seguro...
Btw, SSH tunneling não bomba bem só para RFB. Muitas outras coisas funcionam lindamente...
Ok meus senhores, mui agradecido
é netcabo o pc que controlas? tenho tido problemas por causa da ip mudar.. :/
O ip mudar? mão tens um dns em www.dyndns.org
Shadex, desculpa la. será q podes trocar por miudos q n percebem puto de informatica a esse nivel, como fazer isso do ssh tunelling? tipo eu tenho um router com coyote linux.
Mais seguro é instalares o IPCOP como firewall e depois metes o addon OpenVPN, muito facil de instalar, depois ligas-te por VPN a casa e usas o UltraVNC, utilizo este sistema em varias empresas e em casa e nunca tive problemas de segurança.
Quanto menos portas abertas, melhor
É simples. Tens de ter uma box com OpenSSH ou outro SSH server. Não importa se é o router ou uma máquina na LAN interna. Se for o router, tens apenas de abrir o port onde estiver o SSH server a funcionar (por norma o 22, mas aconselho sinceramente a mudar na configuração para outro port qqr, algo tipo 45987, ou outra coisa qqr que não esteja ocupada). Se for uma máquina da LAN, tens de meter o router a encaminhar o trafego desse port para ela.
Ok, temos a parte do SSH Server tratada. Ou nem por isso. Por defeito o OpenSSH e outros aceitam plaintext auth, e tu não queres isso! Tens de mudar na conf para ele aceitar unica e exclusivamente logins com keys. Ao fazer isso, garantes (bugs aparte) que do lado de fora ou têm a key ou nada feito. Alem de precisarem da password da mesma... Obviamente, ocasionalmente podes ter a desgraça de deixar a key em casa e... não tens acesso
Ok, atm tens um SSH server a escutar no port x e que só aceita logins com keys. Assumindo que não andas a fazer isso de PC remotos "pouco seguros" tens um modo muito seguro de fazer login remotamente a essa box. Uma vez mais bugs aparte, se tiveres uma key de tamanho decente e uma passowrd decente nela, ainda o mundo vai estar para acabar antes de a "partirem"...
Quanto aos tunéis. Depois de estabelecido o login, SSH permite fazer diversos tipos de tunelling. O mais comum é meteres o PC onde estás fora da tua rede a escutar num port y qqr e a encaminhar tudo o que para ai for para uma máquina x dentro da tua rede. Quando ligas um client a esse port, o trafego é encaminhado via ssh tunnel para a box onde corre o ssh server e desta para a box de destino onde determinaste que era suposto ir ter.
No caso de VNC, um cenário comum seria meteres o port 5901 a escutar e redireccionar para o port 5900 da máquina y da tua lan. Quando ligasses o client NVC ao localhost:5901 ele "viajava automágicamene" via tunel para o port 5900 da máquina y.
Um factor a ter em conta, é que a box de destino não vê o acesso a vir de fora. Tanto quanto ela sabe, é a box onde está o ssh server que está a fazer o acesso.
Quanto a VPN, sim, sem duvida que providencia mais funcionalidade, se bem que não tenho tanta firmeza quanto á segurança. E tem outro problema. É relativamente mais dificil de configurar e pôr a trabalhar. Ao contrário de um OpenSSH que fica conf e pronto a usar em minutos (alguns minutos se for compilado from source...). Para usos limitados, complicar é o caminho errado...