Newsgroup: it.comp.sicurezza.varie
Titolo: Gestire le password di VNC

Problema: una rete remota di circa una trentina di workstations (miste 
Win98-2K-XP) e una manciata di server alla quale fare teleassistenza via 
VNC. In fase di installazione tutti i VNC server sono stati 
preinstallati con la stessa password.
Volendo implementare una gestione un capellino vispa delle suddette 
password (rotazione delle stesse, controllo di validità, ecc. ecc.)
che strumenti potrebbero esserci?
(al limite anche sostituendo vnc, o cambiando versione - al momento c'e' 
WinVNC).
E' ovvio che sarebbe il caso di appoggiarsi a qualche directory esterna, 
ma non mi risulta sia possibile farlo direttamente da VNC. Agganciarsi 
con un sistema di sincronizzazione?
La password di WinVNC è gestita tramite una chiave di registro criptata.
Grazie per ogni commento :-)
-- 
Fabrizio "Hermooz" Ermini

 criptata. 
si, ma una volta connesso tutto passa in chiaro. Quindi ina 
crittazione con SSL non sarebbe male (sempre che non usi SSH 
altrimenti la seconda sostituisce la prima)
-- 
Ciao, Dmitry
FIAG - Free It-Alt Group  ~   
http://www.fiag.it
X-PLANET Community        ~   
http://www.x-planet.org

 altrimenti la seconda sostituisce la prima)
Non mi preoccupavo per quello... lo citavo come informazione per pensare 
a qualche sistema di sincronizzazione della stessa. Ad esempio, fosse 
stata salvata in un file si potrebbe pensare ad una sincronizzazione 
dello stesso tramite rsync o similare; trattandosi di una chiave di 
registro... magari con un programmillo in VB da mettere in esecuzione 
automatica, non so.
-- 
Fabrizio "Hermooz" Ermini

 programmillo in VB da mettere in esecuzione automatica, non so.
non conosco il Viral Basic :)


 SI.
Telefonata: "quando stampo da excel questa tabella esportata da as/400 
mi vien fuori un errore di link non risolto e mi crasha excel".
Se mi dici in che modo mi può essere utile una shell dos per risolvere 
un problema del genere...
bye!
-- 
Fabrizio "Hermooz" Ermini


Si. Il nick.

 preinstallati con la stessa password.
<snippone>
Scusa se salto dentro a piè pari (in ogni caso
ho letto il thread) ... oltretutto con una soluzione
"alternativa", ma .. beh, per una gestione remota
di VNC ho trovato estremamente utile ZeBeDee
http://www.winton.org.uk/zebedee/
 il programma
permette di mappare più hosts/porte "LAN" usando
una sola porta "esterna" (semplice regola allow sul
firewall) quello che mi piace di ZBD in particolare è
la possibilità di usare un "keyring", in pratica solo i
clients in possesso di una chiave presente anche nel
keyring del server possono connettersi ed utilizzare
il tunnel ed i relativi mappings; ora, impostando una
cosa del genere (con relativo keyring) potresti anche
lasciare le password VNC invariate, basterebbe che
tu modificassi le impostazioni di VNC per accettare
solo connessioni dal gateway ZeBeDee, a quel punto
volendo disattivare l'accesso di un client basterebbe
rimuovere la relativa chiave dal keyring del server
Ciao

 Con un server ssh su windows, senza dubbio.
Se devi fare le BOFHate... :-)
-- 
Fabrizio "Hermooz" Ermini

 di VNC ho trovato estremamente utile ZeBeDee
Bell'aggeggio, ma non è molto centrato. Il fatto è che si tratta di 
teleassistenza, e spesso capita che non sono sempre le solite persone 
che se ne possono occupare (presente il solito meccanismo della caccia 
al primo bischero che risponde al cellulare? Ecco.), il che taglia fuori 
tutte le soluzioni basate su keyring, configurazioni del client, ecc. ecc.
Da qui ne discende che lasciare prefissata la solita password di VNC nel 
tempo la trasforma in un segreto di pulcinella, com'e' ovvio. Farle 
ruotare è il modo meno dispendioso in risorse per avere un minimo di 
controllo su chi è a conoscenza di cosa; il problema con VNC è che una 
rotazione di password implica una riconfigurazione di N macchine, tutte 
remote e in produzione. Mica divertente. Appoggiarsi all'active 
directory sarebbe mooooolto più gradito...
L'aspetto della sicurezza della trasmissione mi preoccupa meno: nel 
contesto in questione sarebbe come mettere una porta blindata ad un 
appartamento senza finestre... :-)
Cmq grazie a tutti e ciao!
-- 
Fabrizio "Hermooz" Ermini

 Se devi fare le BOFHate... :-)
E in ogni caso, usa _questo_ SSHD per windows
http://sshwindows.sourceforge.net/
 per quanto ne
so è il più stabile/completo; a questo punto per il
file transfer basta 
http://filezilla.sourceforge.net
 che
supporta SFTP (FTP su SSH) il che ti permette di
usare qualsiasi VNC.. dato che il file transfer userà
il protocollo SFTP ed un client a parte :-)
Ciao

 tempo la trasforma in un segreto di pulcinella, com'e' ovvio. Farle
<snip>
Mi sa che non ci siamo capiti... supponiamo di avere un gateway
ZeBeDee configurato più o meno così
Internet
|
ZeBeDee
|
+--VNC1
|
+--VNC2
|
...
|
+--VNCx
a questo punto assumiamo di aver installato su tutte le macchine
che possono fare assistenza remota un client ZeBeDee la cui key
sia stata aggiunta al keyring del gateway di cui sopra; ora, se NON
vogliamo più che l'operatore "tizio" possa usare il proprio client ZBD
per connettersi al gateway, basterà semplicemente connettersi (FTP,
SSH o quello che vuoi) al gateway, rimuovere la relativa key dal ring
del server e forzare il reload della config; in pratica, indipendentemente
dalle password VNC, l'accesso al gateway (e di conseguenza alle varie
macchine "mappate") viene permesso SOLO se il client è in possesso
della key appropriata, a questo punto, visto che le keys stanno in un file
(keyring) sulla macchina gateway, aggiornarle, rimuoverle o cambiarle
diventa un gioco da ragazzi; ovvio che (come scrivevo nel post preced.)
questo non risponde alla domanda originale (come gestire le pass VNC)
però ... beh ... potrebbe aiutare :-)

 sia stata aggiunta al keyring del gateway di cui sopra; 
E' qui che non mi va più bene... io NON SO a priori quali saranno le 
macchine che verranno usate per fare teleassistenza, ne è detto che chi 
la fa utilizzi sempre il solito client, purtroppo...
-- 
Fabrizio "Hermooz" Ermini

 che strumenti potrebbero esserci?
Oltre all'uso di UltraVNC 
http://ultravnc.sourceforge.net/mslogon.html
(che ti e' stato gia' consigliato), una possibilita' e' l'integrazione
VNC + PAM (Pluggable Authentication Module) in modo da usare 
p.es
.
Netware, Kerberos,LDAP o Radius.
Per OS Win32 NTbased c'e' 
http://www.citi.umich.edu/u/itoi/
 = PAM su NT.
-- 
|Ż \/Ż | /Ż\ /Ż__/Ż__|-<|> * FAQ 1.6 ITGF it.tlc.gestori.fastweb <|
|Ż|\/|Ż|/Ż_Ż\|(__\__ \-<|> * ----------------------------------- <|
|_|  |_/_/ \_\___|___/-<|> * SITO: 
http://plany.fasthosting.it
   <|
|>Togli/Remove .INVALID<|> * SITO: 
http://www.gofastweb.cjb.net
 _<|

 doverti spostare.
Di più ... basta installare VNCserver ma impostare il servizio in
avvio manuale, mentre SSH sarà in avvio automatico, a questo
punto per attivare l'assistenza remota basterà connettersi tramite
SSH, tirare su il servizio VNC e ... voilà :-)
Ovvio che quanto sopra complica un pochino le cose, ma neanche
tanto, visto che si potrebbe utilizzare uno script per fare quanto sopra
in modalità batch ..quasi.. la password meglio metterla "a manina" :)

 risolvere un problema del genere...
se tu sei masochista e ai tuoi clienti lasci installato una porcheria 
di sistema operativo quale magari w98 o ME non è colpa mia.
Io faccio anche teleassistenza per centrali termiche. E' evidente che 
la mappatura grafica di una caldaia può essermi utile, ma se c'è una 
sonda bollitore che legge 20° anzi che 80°, ahime devo prendere la 
borsa dei ferri e intervenire.
Ad ogni modo io con SSH e Putty ho risolto spesso motli problemi e 
dove non basta la linea di comando, c'è sempre il desktop remoto.


 Si. Il nick.
commento idiota, ma non mi potevo aspettare di meglio da un Hackers 
come te.


 Su win2k mai avuto problemi.
anche io con UltraVNC su w2k prof non ho problemi. Ho provato perň a 
testarlo su w2003 server e continuava a darmi conflitti (non so con 
quali API o altro.. ma insomma crashava.)


 firewall) 
questo č interessante..


 ovvio. 
credo che questo sia forse il problema minore. Lasciare VNC attivo 24 
su 24 senza SSH mi pare quantomeno avveniristico.



in effetti, sono uno e trino.


Posso usarla come sign ? :-) Tipregotipregotiprego

 metti dentro la coda ? 
non so se tu usi Coster come centraline. Io no, troppa concorrenza.
Se vogliamo parlare di teleassistenza spostiamoci su un ng piů 
adeguato.


 bruciarti la pelliccia.
Scommetto che c'è la sua zampetta nel famoso black out dello scorso
anno.
-- 
Io faccio anche teleassistenza per centrali termiche. (Dmitry)

 aprine uno su it-alt ... it-alt.#.controlli_e_domotica
fallo tu, io sono incasinatissimo. Poi io faccio il resto..


 in questo senso o ci metti dentro la coda ?
Forse voleva dire sinottico ? Mah...
-- 
Who is General Failure and why is he reading my disk?
News 2000 [v 2.06] / StopDialer / PopDuster - 
http://www.socket2000.com
Akapulce portal: 
http://www.akapulce.net