Newsgroup: it.comp.sicurezza.windows
Titolo: Implementare SSH in VNC!!!!!

Vorrei sapere se e' possibile utilizzare la sicurezza di SSH con VNC dato
che passa le passwords in chiaro.
Sono andato un po' giro,ma non sono
riuscito a trovare niente che mi interessasse......tranne che per un certo
Tunnelling che se ho capito bene ha bisogno comunque di passare attraverso
un server Unix/Linux .
Nella compagnia dove lavoro non c'e' ombra di Unix
tanto meno di Linux.
Andrebbe bene anche un altro tipo di desktop remoto
basta che utilizzi anche SSH.
Grazie anticipatamente.
Manuele
--------------------------------
Inviato via 
http://usenet.iol.it

un server Unix/Linux .
No. Basta che la macchina da controllare abbia un server SSH, anche per
Windows.
Poi, ti colleghi con un client SSH dalla TUA macchina al SERVER, e, tra
i forwardings SSH, metti le porte 5800 e 5900.
A questo punto, ti colleghi con VNC alla TUA macchina - e comparira' il
desktop remoto 8-D
Questo, tra l'altro, consente di firewallare le porte 5800 e 5900 sulla
macchina remota, cosi' dall'esterno uno non si connette.
Leonardo
-- 
ftp://warez.slashdot.com:12345
 - Warez for nerds. Stuff that matters.

Grazie mille!Per l'informazione!

 Grazie mille!Per l'informazione! 
A quello che ha gia' scritto Leonardo, aggiungo solo tre dettagli: 
1) la versione di OpenSSH inclusa in Cygwin (
http://www.cygwin.com/
) ha 
un server SSH (per windows, ovviamente) che funziona benissimo per 
forwardare le connessioni VNC (almeno, a me funziona...). 
2) Nella configurazione di VNC server devi abilitare esplicitamente le 
connessioni "loopback", se no non funziona. 
3) In alternativa a SSH, ho provato anche ZeBeDee 
(
http://www.winton.org.uk/zebedee/
), che funziona solo da tunnel (non ti 
puoi loggare come su SSH, per intenderci). Con VNC funziona anche lui 
molto bene. Dal punto di vista della sicurezza non so se sia meglio o 
peggio di SSH, pero' la configurazione del server e' piu' semplice (e ben
descritta nel manuale, usando proprio VNC come esempio). Inoltre, puoi
settare VNC server per accettare SOLO connessioni "loopback", cosa che
non mi funziona con il forwarding SSH. Questo vale, ovviamente, se lo
devi usare SOLO come tunnel per VNC. Se ti serve anche una shell remota
il problema non si pone: devi usare SSH!. 
-- 
Carlo Luciano

 
Daje...
Vnc NON manda le pass in chiaro...
semplicemente le cripta un po' maluccio con DES... 
-- 
Pascal-X - mICQ 25553477 - 
www.pascalbrax.com
Responsabile Pubbliche Relazioni del SIACD
Profeta del Sommo C_R_O_S_S__B_O_N_E_S
Nemico dichiarato del Kyle Jordan Klan

 comparira' il desktop remoto 8-D
Vnc.....dicono sia un po troppo fragile...tu cosa ne dici?
-- 
PGP FP: B61A F1FA 9B99 A3BD 5D2B 6D99 8D3A 5C92 3525 3509

 Vnc NON manda le pass in chiaro...
Si', ma il resto della sessione e' in chiaro.
-- 
E' in votazione it.sociale.globalizzazione
news://it.news.votazioni

 Vnc.....dicono sia un po troppo fragile...tu cosa ne dici?
Cosa intendi per "fragile"?
Io ti posso dire che lo uso ormai da un po', nella versione "tight"
(
www.tightvnc.com
), visto che lo uso con un modem 56K, e non ho mai avuto
problemi di blocchi o crash di sistema (Win2K/SP2). 
Se ti riferisci invece alla sicurezza della connessione, un tunnel su SSH
dovrebbe risolvere ogni problema. 
-- 
Carlo Luciano

 su SSH dovrebbe risolvere ogni problema. 
Beh....mi riferivo proprio ai problemi di sicurezza e non da remoto
ma da console...Mai sentito parlare di Revelations? pensaci...


Deh..................ma allora...................decidiamoci!!
Che mi dice che passa le pass in charo ora te che mi dici di no!In che senso
le cripta maluccio!Sul sito del VNC dice che si puo' "improvare" la
sicurezza di VNC con ssh tunnelling,e inoltre in ditta qui da me (premetto
mai usato VNC) mi avevano detto che le passava in chiaro e mi hanno chiesto
appunto di vedere se si poteva in qualche maniera renderlo piu' sicuro!
Morale?

 sicurezza di VNC con ssh tunnelling
improvare vuol dire "migliorare"... a prescindere che la sicurezza
contro il grep selvaggio dei pacchetti in transito fa pipi' da tutte le
parti, sul sito del VNC ce' anche un PDF che spiega come funziona il
protocollo RFB usato da VNC... e li' spiega (vado a memoria, potrei
sbagliarmi) che quando tu come client:
a) ti colleghi al server, lui ti manda una stringa contenente
   dati random,
b) quando inserisci la password, il tuo client rimanda la stringa 
   di prima cifrata in DES usando la pass che hai inserito tu come
   chiave 
c) il server cifra a sua volta la stringa che ti ha mandato usando
   la pass che hai lui nella configurazione come chiave
d) se le 2 stringhe cifrate combiaciano, vuol dire che sia tu,
   sia il server avete usato la stessa chiave, questo vuol dire che
e) stessa chiave = stessa password, quindi tu puoi entrare.


 
mi sono permesso di pastare quello che esce fuori facendo
# ngrep port 5900
interface: \Device\Packet_{CB44E0CE-B5C9-4762-AFDF-0769F7E486C7}
filter: ip and ( port 5900 )
[cut...]
T 
192.168.0.1:5900
 -> 
192.168.0.7:3688
 [A]
  of.h.Y...>.9.....z..<.q...]..e...[6^.....m..š.łk.. ..*l..0....p...>..Y
  ..z:u....Ś5r=3O..&.. `....%t)S<.+Ie#....łkZ..Z.."8............Q..P*@G|
  ...F..[Z...y.>...˛e.1Śf.C.x.ŚŚ......]........3Yši.d`..SN.....s....V.6V
  ..#.%. ...Ś.ł....roV.B...x.Py...>..4.13FO..(.{P..:QN.})6..2}M.>.b....3
  E....K.J.Q....qA9...o.............}iA...;....F........3@.*...5_p*.:T.?
  ..Q.....s.U..>..._..|..W.Si?pm.{.,..R...gR&..%#.&Ś..l.9.....\~.U.l.9.c
  ....'2.....2j..#..E..s../..w...#A.P).(H.fs....l.rQxl..)m '.T.˛)..k....
  ...˛.l.js)+....7<.+..MNv..-...`...S...O....t.q...5..|1....h.........S%
  ..r8...."T....]...ZBM.)"..q.>T....3Q.@...-.. ..`:...*.>bO.[..5........
  o... ..E...P..RU...t...$`o.y.?..?........-.q..F...5 .8..c.....4..;.5pc
  ...J...u...šPL}..<Śu.Ax.........=....OSG|..#..1N'.......Pi..QE........
  ...:....QI.L.....Ri(...(...(...(...(...G`....-..5.:.^....P..=.....4...
  .-.......).m.........;....QHM.-......e>.@..(=(....1..`...p.9......@.=9
  .Q,._kD...".&...........=h...(..U$..E*..dc.P.....(..Rf...L....ZL.h...(
  ...(....*X..QM.QE..*<.Z..../J.. 8...@...E.P.E.P.E.P...f?.4|.rE?m'J..b.
  ..?..|...Z)......:P....F.:.V&.pip)h.16.....(.@....\.4.F)....7c.6..~.I.
  .h..dR...P.J:.Q@....E..QE..QE..QE..QE..QE&...JH..J...=.Q..ih........4.
  8....*#.l.y...Vbj..].\...ł.....qU..{k. .....CZ4SRh.p.i..K&.M.?....Z...
  ?=.@+....To.V......*.FK.g1....n..{y.?.._ib..%.l......b.YJK'=y.z..omf..
  ;?.5q....n3.M.....[mV.....m......ylT....._.....2s..j...nDV.I.......F?.
  @5......G..2.x.~u-p;.5B.:R..Q@..u.....KL...H.q..H.(...".E...
#
T 
192.168.0.1:5900
 -> 
192.168.0.7:3688
 [AP]
  (...(...(...(...(......Q...};˛h....W......@..`zP...ZZ(.8.`....u...(...
  (...i.N.....K.M....M...\).j....U...&........@.......'.{..B.u]...@..Q@.
  .QM .(...B.....'.........".E;..(...Rw.-#}.,..R..bv..x...I.4SQ.(.P....,
  .E.S...)X..(...QE0........(...(...(...(...
##
T 
192.168.0.1:5900
 -> 
192.168.0.7:3688
 [AP]
  ............`.........................................................
  ..............................š.......................................
  ............................łš......................Ś˛...Ś............
  ......................................................................
  ...........................................š..........................
  .................ššš..................................................
  .................................................˛..Ś˛...............ł
  ..š...................................................................
  ................................˛........ł.......................ł....
  ......................................................................
  ................................ł...˛..ł...Śłł..˛˛....................
  .......................Ś..šŚ.....š....................................
  .....š......................ł...š...ł...š................ł...ł........
  .......................š...Ś..łŚ.......
#
T 
192.168.0.1:5900
 -> 
192.168.0.7:3688
 [AP]
  .....X....%..#4.......Q:..I'.u.v.s...m;.N.v......~....B....)e$i.|?˛<..
  ..x...i.....l.\......ł..^.`..7..p.M7..h...-^|š.w.Yr..--...S||..BQ.|r..
  .. .......ł.Ct.ap.<......<]...u.]:.G>...e)..qŚ..G^.#.N...[.G...*......
  ...#..#G.r.i.F.~...G.u..1..{...._0n.......˛.š.}."......6..`z._[;....p\
  ......M.&..P..Rp.......'../......˛/.....?....jy\....%....M.D]]..e.....
  ..>.b...<.r...V.zł..&.(.......A6..#i..3.E...~?KR.h.......aLL75m.H...8.
  >E.l...$EQJ$.AB4.msł7...&.....A..$=....W?..sk.<..../....u...~˛k..5.@..
  .M...... ......?........p..ł...H.K&1.?Ś.. ._..D..7.px#f.mšo.\.C. ..\..
  0MK.77lx..w6n|..M...`..-.~T_.q.AŚ.d...2@.B........gA...$.O..n˛..m..ł.{
  t.....Ś_....I.*O..v|>..sš...6..2.1....ł...4.p8,..'M.y.%.'_z..)u.Z.N.]?
  m..WX..@).š@O.9.r_YSs....5š.0/..>..]..$.e˛......#.9...1......˛.....bš?
  .˛W+...j}\C.....im%....{....}š.Ś&..|š.Ś˛..p...?.3.@.....xI..ł.......Pr
  .g...k.?'...q./.V˛g..bY.:..AU..........\..!....$.Kl.....+...Wk+.uw.B.C
  .~Ś.....š.....9z..?..š.o....Iutt.JY˛....%*...g;...M...A(......ł...D.!.
  ...Y3...e.....Q..{.IB...v..Ś.4M....%.|oz5Y..U....+.j...............+..
  1....>7..~.......$.3:/..,x...q.L....D..<.k?.tb...&..D...&..0<...~`..cE
  b...bš_.l.m.....h...`š.Q.....[.8....Fš..w.b..f...A.;Y........w......?.
  R....g..v:.{.......lllNXN...9a......
Forse sara' anche in chiaro... ma io personalmente non vedo dati 
sensibili...


 ma da console...Mai sentito parlare di Revelations? pensaci...
Ti riferisci alla possibilita' di rivelare la password che sta sotto gli
asterischi? 
Si', hai ragione. Comunque l'attaccante deve in ogni caso prima loggarsi
sulla macchina per farlo. E, anche avendo la password di VNC, tutto
quello che ottiene e' connettersi al computer da remoto ed ottenere la
finestra di login di Win2K (ovviamente non stamo parlando di Win9x/ME). 
In altre parole, un simile attacco potrebbe venire solo da un utente gia'
accreditato sulla macchina. Ma in tal caso non vedo il senso dell'attacco
e che danni potrebbe fare l'attaccante che non potesse gia' fare da
console senza il VNC installato. In questo senso, non mi sembra che VNC
"diminuisca" la sicurezza della macchina. L'unica cosa che l'attaccante
potrebbe fare e' collegarsi di nascosto e spiare l'utente attualmente
loggato sulla macchina, ma il server di VNC puo' (e deve!) essere
configurato in modo da impedirlo. Tu che ne pensi? 
-- 
Carlo Luciano

 configurato in modo da impedirlo. Tu che ne pensi? 
In parte vero, ma pensa ad una situazione simile.....il dipendente 
incazzato ceh vuole operare in tutta tranquillità da casa per compiere
atti inleciti alla azienda per la quale è alle dipendenze....
Ora come la mettiamo?


 Differenza tra encoded ed encrypted? :-)
probabilmente per lui è lo stesso dal momento che cmq non riesce a 
decifrare neppure la seconda :) (dai scherzo...)


 
eh eh, questo e' vero... ma sinceramente uno cosi pazzo da grepparsi tutti 
i pacchetti, rimettersi insieme e encodarli, sinceramente penso che non lo 
fermi neanche con l'SSH...
non nel senso che SSH sia debole, ma nel senso che sarebbe capacissimo di 
farsi un endovena direttamente dal tuo cavo ethernet! ;)


 
licenziamo l'amministratore di rete!
che senso ha per un'azienda avere un ip pubblico per ogni postazione di 
lavoro? ;)


 postazione di lavoro? ;)
Tempo fa, non ricordo quanto tempo fa a dire il vero...La Digital ha 
avuto la brillante idea di fare sviluppare il lavoro di programmazione
a casa....Ovviamente fu un totale insuccesso.....ma qualcuno secondo me
ci ha guadaganto parecchio....:)
Dmitry finirà davvero in galera.....:))


 ethernet! ;) 
Bella questa :))


 Ora come la mettiamo?
La prima cosa che mi viene in mente e' che potrebbe compiere ne' piu' ne'
meno gli stessi atti illeciti che potrebbe compiere dalla sua scrivania.
Tutte le procedure di controllo e di log sono operative nello stesso e
identico modo sia che il tizio sia fisicamente alla sua scrivania sia che
stia a casa e usi VNC. L'unico vantaggio che ha usando VNC e' che non gli
puo' arrivare il capoufficio alle spalle sul piu' bello. 
Comunque una situazione del genere la risolvi facilmente proprio con il
tunnel via SSH. Infatti, in tal caso, per connetterti con VNC devi prima
connetterti con SSH, e le password di SSH sono *molto* piu' difficili da
scoprire di quelle di VNC. Tu potresti replicare che magari la password
di SSH e' proprio la password di login e che quindi al tizio cio' non fa
ne' caldo ne' freddo visto che puo' usare la sua solita password per
connettersi via SSH. Ti ricordo pero' che il server di SSH puo' essere
configurato per accettare il login *solo* di certi user (al limite, solo
dell'amministratore), anche sotto Windows.
-- 
Carlo Luciano

 Carlo Luciano
Scusate: assenza di 2 settimane e cambio di PC. Qualcuno avrebbe la bonta'
di aggiornarmi con 3 righe sulla cosa?
Soprattutto mi interesserebbero 2 aspetti della faccenda a scopo di
telelavoro ed assistenza:
1) come fare in modo che l'ip tunneling si armonizzi con un apposito
firewall per assistenza remota da una postazione extralan;
2) come (: purtroppo sono molto ignorante in materia!) fare in modo di
inviare un segnale per far si' che vi sia una connessione modem-to-modem a
carico del ricevente.
Grazie
K

 modem-to-modem a carico del ricevente.
Per la chiamata "a carico" credo che tu debba seguire la procedura
standard della telecom. Se questo implica l'interazione con un operatore
umano, non so come risolvere il problema. 
-- 
Carlo Luciano

 Carlo Luciano

 acceso in eterno?!).
Questa dei radio-switch non la avevo mai sentita (non che non si possano 
fare, solo non sapevo che fossero anche in commercio). Beh, il 
alternativa il computer da accendere potrebbe essere in standby o in 
suspend e avere attiva la funzione "wake-up on lan" o "wake-up on modem 
call".
-- 
Carlo Luciano