Bureau Distant Vs VNC

[SylvainMFI]

Bonjour à tous,

Mon problème ets le suivant : Dans mon entreprise VNC est installé sur tous les postes pour la prise en main à distance. Je serai plus d'avis d'utiliser le bureau distant et l'assistance à distance, pour une facilité d'administration, mais mon patron me dit que VNC est plus sécurisé que l'utilisation distance. Est ce vrai ?

[kazer]

Non et c'est tout le contraire

[SylvainMFI]

La réponse me plait bien !!

Par contre est ce que je pourrai avoir des explications ou des liens, car je vais avoir des explications à fournir.

Merci

[bigstyle]

La réponse me plait bien !!

Par contre est ce que je pourrai avoir des explications ou des liens, car je vais avoir des explications à fournir.

Merci

C'est simple par défaut avec VNC tout le trafic circule en clair par défaut; de même que l'authentification.

L'authentification peut également facilement être crackée par n'importe quel utilisateur qui peut alors potentiellement prendre la main sur tous les postes car je présume que c'est le meme mot de passe partout.

Avec le bureau à distance, il y a la possibilité de définir des comptes nominatifs pour l'accès

etc...

[Koj]

J'ai étudié le remplacement de VNC par l'assistance à distance.

Alors pour la question de sécurité il y a plusieur VNC à distinguer :
- WinVNC
- RealVNC
- TightVNC
- ...
- UltraVNC
- UltraVNC + certificat de cryptage (ce dernier étant une solution sécurisé)

Avantage de l'assistance à distance :
- GPO pour définir qui peut faire du support
- quand on prend la main, ca nous dit avant qui est connecter à l'ordinateur (ce permet d'éviter de se planter de machine)
- dans le gestionnaire Microsoft il y a intégrer le chat et le transfert de fichier
- il n'y a pas de déploiement ni de mise à jour du client VNC qui a une faille de sécurité (maj par WSUS / windows update avec celui de MS)
- obligation d'avoir l'autorisation de l'utilisateur
- connection kerberos (je pense qu'on peut augmenter la securité avec le serveur TS + certificat et IpSec fonctionne en LAN)

Inconvénient :
- la prise de main est moins rapide car le processus de prise de controle est en plusieur étape
- impossible de prendre le controle de l'ordinateur avec une session verrouillé et utilisateur absent, pour casser la session. (poste libre service, utilisateur malade avec une intérimaire qui la remplace...). Faut se déplacer sur site.
(- pas d'IpSec inter-site)

Koj

[kazer]

- impossible de prendre le controle de l'ordinateur avec une session verrouillé et utilisateur absent, pour casser la session. (poste libre service, utilisateur malade avec une intérimaire qui la remplace...). Faut se déplacer sur site.
(- pas d'IpSec inter-site)

Koj

Tu as remote desktop pour ces cas la

[Koj]

Ah oui comme le dit Kazer, le TS sur le poste permet de casser la session.
J'avais oublié ce cas de figure

Koj

[94corsica]

Une solution simple serait d'utiliser ultravnc SC.
Rien a installer sur le poste client, tout est basé sur java, et c'est le client qui initialise la connexion ...

[kazer]

Une solution simple serait d'utiliser ultravnc SC.
Rien a installer sur le poste client, tout est basé sur java, et c'est le client qui initialise la connexion ...

Non

[Koj]

J'utilise ce système pour prendre la main sur des poste hors de mon réseau et dans des cas vraiment spécifiques. Le service tourne sur un serveur hébergé chez OVH. Et le client controlé sort du LAN adverse en TCP 80.

Lorsqu'on ferme la session, le remote saute (ca tourne en mode applicatif).
Ce n'est pas réalisable avec un parfeu "adverse" qui fait du deep inspection.
Cela peut être considéré comme une intrusion de le réseau adverse. (j'ai pas de retour juridique la dessus)

Mais comme le dit Kazer : "Simple" surement pas.

Koj

[bigstyle]

J'utilise ce système pour prendre la main sur des poste hors de mon réseau et dans des cas vraiment spécifiques. Le service tourne sur un serveur hébergé chez OVH. Et le client controlé sort du LAN adverse en TCP 80.

Lorsqu'on ferme la session, le remote saute (ca tourne en mode applicatif).
Ce n'est pas réalisable avec un parfeu "adverse" qui fait du deep inspection.
Cela peut être considéré comme une intrusion de le réseau adverse. (j'ai pas de retour juridique la dessus)

Mais comme le dit Kazer : "Simple" surement pas.

Koj

Si je comprends bien cette solution consiste à autoriser la prise de main à distance depuis un réseau local lorsque la demande de connexion est initiée par l'utilisateur, c'est bien ca ?

Si oui, tu peux donner plus d'infos sur le produit qui permet cela please ?

[Timil]

UltraVNC + certificat de cryptage (ce dernier étant une solution sécurisé)

L'authentification est cryptée, ok... mais le trafic reste en clair d'après certaines sources.

Il existe des solutions comme webex ou autres Inquiero pour que le client fasse des demandes, mais à part cela... RDP c'est pas si mal

[Koj]

Si je comprends bien cette solution consiste à autoriser la prise de main à distance depuis un réseau local lorsque la demande de connexion est initiée par l'utilisateur, c'est bien ca ?

Si oui, tu peux donner plus d'infos sur le produit qui permet cela please ?

Mon PC --- [MesFirewalls] -------- INTERNET ------- [FirewallsAdverses] --- PC à dépanner

En fait il y a un serveur Nat-To-Nat sur internet qui permet l'interconnexion (proxy VNC). Les 2 clients se connectent au serveur Nat-To-Nat.

Et pour éviter d'installer un soft sur le poste a dépanner, le Simple Click est un executable standalone qui permet de faire serveur VNC tout préconfiguré. Le client click et le technicien prend la main. (en réalité il click, il rentre un password, puis un numéro de session, et le technicien se connecte au meme numéro de session)

Donc le Simple Click permet de prendre le controle de l'ordinateur même s'il est firewallé car c'est une connexion sortante vers le serveur proxy VNC (nat 2 nat). Après faut pas être trop bête est configurer le Simple Click pour sortir en TCP 80 et non 5900, sinon le firewall adverse le voit direct.

Donc c'est une combinaison Serveur VNC préconfiguré (PC a controlé) + Proxy VNC + Client VNC (Mon PC).

Tout est expliqué sur le site d'ultraVNC.

Koj

[bigstyle]

Si je comprends bien cette solution consiste à autoriser la prise de main à distance depuis un réseau local lorsque la demande de connexion est initiée par l'utilisateur, c'est bien ca ?

Si oui, tu peux donner plus d'infos sur le produit qui permet cela please ?

Mon PC --- [MesFirewalls] -------- INTERNET ------- [FirewallsAdverses] --- PC à dépanner

En fait il y a un serveur Nat-To-Nat sur internet qui permet l'interconnexion (proxy VNC). Les 2 clients se connectent au serveur Nat-To-Nat.

Et pour éviter d'installer un soft sur le poste a dépanner, le Simple Click est un executable standalone qui permet de faire serveur VNC tout préconfiguré. Le client click et le technicien prend la main. (en réalité il click, il rentre un password, puis un numéro de session, et le technicien se connecte au meme numéro de session)

Donc le Simple Click permet de prendre le controle de l'ordinateur même s'il est firewallé car c'est une connexion sortante vers le serveur proxy VNC (nat 2 nat). Après faut pas être trop bête est configurer le Simple Click pour sortir en TCP 80 et non 5900, sinon le firewall adverse le voit direct.

Donc c'est une combinaison Serveur VNC préconfiguré (PC a controlé) + Proxy VNC + Client VNC (Mon PC).

Tout est expliqué sur le site d'ultraVNC.

Koj

Merci pour ces explications, je vais regarder.

par contre, tu dis qu'on peut définir de sortir sur le port 80 mais si notre parefeu est un parefeu applicatif, je suppose que le trafic sera tout de même bloqué ? (à moins que le tout soit encapsulé dans du HTTP mais j'en doute).

Le trafic est alors chiffré entre les deux parties ?

[Koj]

Merci pour ces explications, je vais regarder.

par contre, tu dis qu'on peut définir de sortir sur le port 80 mais si notre parefeu est un parefeu applicatif, je suppose que le trafic sera tout de même bloqué ? (à moins que le tout soit encapsulé dans du HTTP mais j'en doute).

Le trafic est alors chiffré entre les deux parties ?

Non ce n'est pas encapsulé mais on peut le faire je pense.
Non ce n'est pas crypté de base, mais on peut ajouter le plugin de crypage et un certificat (il y a tout d'expliqué sur le site d'ultraVNC)

Koj