|
|
 | VNC
Fra : Morten Ovi |
Dato : 20-11-01 20:23 |
|
Hvilke sikkerhedsricisi er der ved VNC, hvis:
- ens password ikke er kendt end andre end en selv
- man bruger nyeste version
- man bruger enten browser eller vncviewer
- og man bruger en anden port end 5900
Kunne det være at man sender passwordet i klar tekst, eller er det
selve VNC der er "usikkert"?
--
Morten Ovi
| |
 Karsten H. (20-11-2001)
| Kommentar
Fra : Karsten H. |
Dato : 20-11-01 20:54 |
|
Thus spake Morten Ovi in news:Xns915FCF46C77F1.Morten.Ovi@ovi.dk:
> Kunne det være at man sender passwordet i klar tekst, eller er det
> selve VNC der er "usikkert"?
Det er ikke klar tekst, men det er ret tæt på. Et program som f.eks.
ettercap (hedder det vidst) kan dekode passwordet meget hurtigt.
--
Karsten H.
Som har skrevet delen før @ baglæns for at narre fjenden i Aalborg.
| |
Morten Ovi (20-11-2001)
| Kommentar
Fra : Morten Ovi |
Dato : 20-11-01 22:13 |
|
Karsten H. wrote in news:dk.edb.sikkerhed :
>> Kunne det være at man sender passwordet i klar tekst, eller er
>> det selve VNC der er "usikkert"?
>
> Det er ikke klar tekst, men det er ret tæt på. Et program som
> f.eks. ettercap (hedder det vidst) kan dekode passwordet meget
> hurtigt.
Hvis nu man sidder på en windowsmaskine, er det så bare en maskine på
netværket, som kører f.eks. linux med ettercap, som kan opsnappe
password og lignende?
--
Morten Ovi
| |
 Karsten H. (20-11-2001)
| Kommentar
Fra : Karsten H. |
Dato : 20-11-01 22:23 |
|
Thus spake Morten Ovi in news:Xns915FE1F76B712.Morten.Ovi@ovi.dk:
> Hvis nu man sidder på en windowsmaskine, er det så bare en maskine på
> netværket, som kører f.eks. linux med ettercap, som kan opsnappe
> password og lignende?
Ja. Eller en maskine der sidder på ruten hen til din maskine.
--
Karsten H.
Som har skrevet delen før @ baglæns for at narre fjenden i Aalborg.
| |
Peder Vendelbo Mikke~ (20-11-2001)
| Kommentar
Fra : Peder Vendelbo Mikke~ |
Dato : 20-11-01 23:31 |
|
"Morten Ovi" skrev
> Hvis nu man sidder på en windowsmaskine, er det så bare en maskine på
> netværket, som kører f.eks. linux med ettercap, som kan opsnappe
> password og lignende?
Du kan modvirke det, ved at køre Zebedee. Kig iøvrigt på FAQens svar
på dit spørgsmål om sikkerhed:
<URL: http://www.uk.research.att.com/vnc/faq.html#q54 >
Med venlig hilsen
Peder
| |
Peder Vendelbo Mikke~ (20-11-2001)
| Kommentar
Fra : Peder Vendelbo Mikke~ |
Dato : 20-11-01 21:14 |
|
"Morten Ovi" skrev
Nu er det godt nok længe siden jeg sidst har leget med VNC, men det
skal da ikke holde mig tilbage.
> Hvilke sikkerhedsricisi er der ved VNC, hvis:
>
> - ens password ikke er kendt end andre end en selv
Hvis kodeordet er svagt, er det forsåvidt ligegyldigt. F.eks. hvis
ordet optræder i en ordborg, eller består af en "kendt" (f.eks. 1234)
sekvens.
> - man bruger nyeste version
Problemet med nye versioner af alt software er, at fejlene ikke er
fundet endnu. Lad de andre legebørn finde børnesygdommene, opgrader
kun hvis der kommer nye funktioner du har brug for eller der bliver
rettet væsentlige fejl.
> - man bruger enten browser eller vncviewer
Begge kan sættes sikkert op, de kan også sættes usikkert op.
> - og man bruger en anden port end 5900
Der findes VNC-scannere, bl.a. på contrib siden.
> Kunne det være at man sender passwordet i klar tekst,
Det er i alt fald en dårlig ide.
> eller er det selve VNC der er "usikkert"?
VNC er vel ikke værre end alle mulige andre fjernstyringsværktøjer.
Programmet er udviklet til en kæmpe bunke platforme, det kan i sig selv
være med til at "hærde" programmet (fordi udviklerskaren nok er be-
kendt med alverdens sikkerhedsfejl, på den platform de er ansvarlig
for, som ikke er kendte af mange som er på andre platforme).
Kildekoden er tilgængelig, så er der stor mulighed for kompetente folk
at finde fejl i programmet og rette dem.
Andre som kender programmet fra daglig brug, kan sikkert fortælle
meget mere om det.
Med venlig hilsen
Peder
| |
Jonathan Stein (21-11-2001)
| Kommentar
Fra : Jonathan Stein |
Dato : 21-11-01 13:47 |
|
Morten Ovi wrote:
> Hvilke sikkerhedsricisi er der ved VNC, hvis:
VNC er grundlæggende et fjernstyringsprogram - ikke et
sikkerhedsprogram. Der er godt nok gjort lidt for ikke at sende
passwords i klartekst, men hvis der er risiko for, at kommunikationen
aflyttes, bør man køre den i en VPN-tunnel. I det tilfælde, bør der
naturligvis kun være adgang til VNC-serveren via VPN.
M.v.h.
Jonathan
--
Start med PHP, Perl eller JSP uden at omskrive al din gamle ASP-kode.
jsp-hotel.dk tilbyder nu Chili!Soft ASP på alle hoteller.
http://www.jsp-hotel.dk/
| |
|
|