Come valutare e attenuare i rischi per la sicurezza di uno strumento VNC?

Is there a way to mitigate or minimize this security risk?

Certo.

1. Utilizza solo il software del desktop remoto affidabile. Alcuni sistemi operativi hanno uno di default, anche se potrebbe non essere sempre il software ideale. Questo software non deve essere proprietario, ci sono opzioni open source per scegliere fome.
2. Utilizza autenticazione strong , mai password brevi o semplici.
   1. Per una configurazione super sicura, è possibile gestire l'utilizzo di una connessione protetta al server, con qualcosa come un tunnel SSH. Utilizzando il port forwarding, il server VNC può essere configurato per accettare solo connessioni sulle porte del desktop remoto da se stesso e non da alcuna connessione esterna.
   2. Se questa non è un'opzione, usa decisamente una password casuale e assicurati che la tua comunicazione al server sia crittografata. Se la password viene inviata in formato testo, può essere intercettata. VNC stesso non necessariamente crittografato.
   3. Inoltre, se possibile, è possibile utilizzare un firewall per limitare l'accesso solo alla rete locale. Tuttavia, usa comunque una password, un dispositivo locale compromesso può comunque causare danni che non vuoi diffondere.

Poiché dipende dalla tua situazione (ad es. dalla connessione al lavoro o viceversa, quanto puoi fidarti del tuo team IT o delle persone a casa, il tuo ISP, il tuo sistema operativo), ti darò una lista per la configurazione più paranoica:

1. Utilizza l'implementazione più sicura possibile . Innanzitutto, controlla l'elenco qui: link (guarda la tabella "Funzioni" in cui è elencata la crittografia), rifiuta le versioni che non hanno le funzionalità necessarie e ricerca quelle che sembrano promettenti. (Non fidatevi delle descrizioni, dato che una crittografia strong potrebbe nascondere un'implementazione non sicura). La crittografia è solo una "patch" del vecchio protocollo RFB di VNC, quindi fai particolare attenzione ai progetti in cui è evidenziata la "compatibilità".

2. Isola usando macchine virtuali - Esegui il server in una macchina virtuale, dove puoi limitare le cartelle solo a quelle specificate (cartelle condivise) e quindi puoi limitare anche le porte . Installa solo le app che devi utilizzare in remoto.

3. Evita di fare affidamento sulla sicurezza del browser : se i dati con cui devi lavorare sono molto sensibili, assicurati di avere i browser più sicuri possibile su entrambe le estremità. È meglio non usare il browser per nient'altro che VNC. (Ad esempio, non utilizzare PayPal dallo stesso browser o account utente che esegue il server o il client).

4. Password casuali lunghe : ovviamente utilizza password complesse, idealmente da un'app per la memorizzazione delle password protetta da password (e non memorizzata nel browser o altrove).

5. Utilizza account non privilegiati : assicurati di non eseguire alcuna estremità sugli account amministratore. Idealmente creare account utente speciali e non privilegiati sia per il server che per il visualizzatore. Se sei paranoico, esegui sia server che client in macchine virtuali dedicate.

6. Rete / crittografia : configura una VPN tra computer con una buona crittografia. Oppure potresti essere in grado di fare affidamento solo sulla crittografia VNC (RealVNC?). Sta a te decidere se impostare una rete sicura o utilizzare un protocollo sicuro (lato VNC). Se usi entrambi, ciò potrebbe danneggiare la reattività. Se ti connetti tramite hop (ad esempio tunnel SSH), ricorda che devi fidarti del server che stai collegando.

7. Impostazione VNC - Modifica le porte predefinite e utilizza un nome utente e una password con molti caratteri strani / speciali per limitare almeno gli attacchi automatici. Disabilitare le porte listener VNC e qualsiasi funzione non necessaria. Idealmente dovresti essere in grado di bloccare le porte con un firewall quando non ne hai bisogno.

8. Tieni il malware in grado di rilevare il software in esecuzione - Questo limiterà almeno altri vettori di attacco che potrebbero utilizzare VNC per l'escalation. (In pratica, l'accesso remoto a un computer con VNC offre a un utente malintenzionato più opzioni, anche se non si sono verificati tramite VNC stesso).

9. Rimani aggiornato e amp; scegli con attenzione cosa installare - Installa solo client VNC aggiornati, affidabili e ben recensiti, sottoscrivi tutte le fonti di notifica di sicurezza e disinstalla il client e il server quando non utilizzato. Potresti voler masterizzare il programma di installazione su un CD e installarlo da lì per primo, quindi aggiornarlo prima di eseguirlo.

10. Impedisci l'accesso fisico a entrambe le macchine : utilizza la crittografia del disco su entrambe le macchine, poiché l'accesso fisico a entrambi può consentire l'accesso all'altro.

11. Mitigazione delle tecniche di intercettazione della password - Potrebbe essere più sicuro evitare di digitare l'intera password per VNC contemporaneamente (a causa di keylogger, ecc.). Potresti voler tagliare e incollare i bit da un archivio password sicuro da più password per mitigarlo.

Riepilogo: le maggiori minacce relative a VNC sono:

1. Password facili da indovinare / crack riutilizzate per altri servizi, memorizzate nei browser su sistemi operativi non aggiornati non sicuri.
2. Avere VNC e un browser che usi (per lavoro / a casa) sulla stessa macchina (virtuale o reale).
3. Avere le macchine disponibili per le persone di cui non ti fidi.
4. Più app installate (ad esempio Skype, Internet Explorer, Outlook, ecc.) insieme a VNC e / o utilizzando unità USB che possono potenzialmente avere installato malware.
5. Insicuro rete pubblicamente disponibile e crittografia troppo debole o spenta, non sicura / obsoleta / buggata implementazione VNC.
6. Vettori di attacchi per malware (sistema operativo, browser, chiavette USB, allegati e-mail aperti, comunicatori di messaggi istantanei, ecc.) - combinati con VNC, il danno può essere enorme e rapido.

Prima di tutto, con VNC non hai sicurezza. Anche se la tua password non viene trasferita direttamente in testo normale, utilizza comunque un protocollo di autenticazione homebrew che DES-cripta una sfida inviata dal server usando la password come chiave. La password è limitata a 8 caratteri.

Ora, anche se ignoriamo il bit della password, i fotogrammi effettivi vengono trasferiti in chiaro affinché chiunque possa vedere e alla fine iniettare pacchetti che simulano le sequenze di tasti per scaricare potenzialmente software dannoso per compromettere il sistema e ottenere accesso permanente anche se si uccide il tuo server VNC.

Suggerirei di utilizzare un protocollo migliore con crittografia integrata e autenticazione chiave / certificato o perlomeno di tunneling del VNC attraverso un protocollo sicuro come SSH o IPSec.