securité d'ultra vnc

[jl56]

bonjour,

lors d'une conversation téléphonique avec une societé editrice de programme
leur technicien me disait qu'ultra vnc n'était pas sur et notament que le mot de passe est non crypté

j'utilise ultra vnc depuis des années et je n'ai jamais eu de probléme

est ce que quelqu'un a des infos plus précises
ou a eu des problemes

est ce qu'il est possible d'intercepter une télémaintenance en cours sur le net
et de recueillir des infos

est ce qu'on peut  acceder facilement a un serveur ultravnc (qui serai derriere un port ouvert d'un routeur) sans connaitre le mot de passe de ce serveur

je parle de l'utilisation d'ultra vnc en mode non crypté et de télémaintenance ponctuel  < 1 heure

merci de vos réponses ou témoignages

a+ jl56

[redge]

il existe des vnc recorder et hacking de mot de passe VNC
le seul prérequis, est de connaitre l'adresse IP à hacker.
les brèches de sécurité non colmaté sont une 2ème source de facilité pour accéder à des serveurs VNC
http://www.intelliadmin.com/blog/2006/05/vnc-flaw-proof-of-concept.html

[arsenic]

Vous m'avez un peu chatouillé, là, tous les deux, je viens de vérifier.

J'ai un serveur ultra vnc installé de chaque côté, puisque je peux avoir besoin d'accéder au boulot de la maison ou lycée de Versailles.

Des 2 côtés, les machines Win2K sont derrière un routeur Ethernet, adressage adsl ip dynamique, mais qui laisse tout passer puisque paramétré en DMZ, et comportent chacune un antique firewall (kério 2.1.5).

Je n'accède personnellement à la prise de contrôle vnc qu'à travers un tunneling VPN (Hamachi).

Le test que redge indique échoue ("connexion impossible") quand bien même j'autorise kério pour la connexion qu'il requiert à cet effet, et que j'y stipule soit l'adresse ip virtuelle Hamachi, soit l'adresse publique ip du moment.

Je ne dis bien sûr pas que la sécurité est absolue, chacun sait que n'importe  quel adolescent boutonneux est capable de casser à peu près tout, mais seulement qu'il ne faut pas non plus être paranoïaque:
la "sécurité de base" semble résister.

Si tel n'était pas le cas, ne resterait plus qu'à s'adresser à des dispositifs coûteux de protection matériello-logicielle, type Cisco et consorts, et encore:
chacun sait que les sites de Microsoft et du Pentagone, qui disposent assurément de ce type de produits, ont déjà été piratés.

Un sujet proche me semble lui totalement passé sous silence, et pourtant:
la sécurisation du mail.
Quant votre expert-comptable, votre conseil juridique ou qui vous voulez vous envoie un mail, il s'en lave par avance les mains avec un message avertissant un "destinataire par erreur" qui ne tiendrait d'ailleurs pas la route une semaine devant la Cour.
Ce qui n'empêche que, à ce jour et en dehors de certains Intranets d'entreprise, le mail est une véritable passoire parce qu'il est si contraignant de le sécuriser, l'enjeu m'en semblant bien plus grand que le "remote desktop" qui de toute façon échouera là où on l'a décidé si on ne partage qu'une partition dédiée à cet effet et pas l'ensemble du système.

Il ne faut pas non plus oublier à cet égard de distinguer 2 choses qui sont totalement différentes:
une demande de maintenance qui sera un minimum sécurisée pour en exiger l'accord du côté accédé, et un accès totalement "transparent" à une autre machine qui lui seul est potentiellement dangereux.