Segurança do servidor VNC

Question

First, we need to make sure VNC server only listens on localhost.

Qual é o significado desta linha, ela escutará a conexão remota quando nós a encontrarmos para ouvir apenas o host local?

Recommended Step - Secure your VNC server session with encryption. A basic VNC server setup has no encryption, which makes it vulnerable to snooping.

We will create an SSH tunnel with Putty and connect to VNC via this tunnel.

First, we need to make sure VNC server only listens on localhost.

Edit /etc/init.d/vncserver and add -localhost to OPTIONS:

Eu não consigo entender o significado disso, alguém pode explicar

OPTIONS="-depth ${DEPTH} -geometry ${GEOMETRY} :${DISPLAY} -localhost"

    

Answer 1

A opção -localhost (que provavelmente é passada pelo wrapper do servidor VNC para um comando Xvnc subjacente) diz ao servidor para aceitar somente conexões de entrada que se originam - ou pelo menos parecem originar - no mesmo servidor. De Xvnc --help :

localhost      - Only allow connections from localhost (default=0)

A porta (por padrão, porta 5900+n onde n é o número do conjunto de exibição que usa a variável :{DISPLAY} em seu exemplo) aparecerá fechado quando analisada de fora, por exemplo, usando nmap

$ nmap 192.168.1.16 -p 5901

Starting Nmap 5.21 ( http://nmap.org ) at 2014-06-04 12:47 UTC
Nmap scan report for 192.168.1.16
Host is up (0.0015s latency).
PORT     STATE  SERVICE
5901/tcp closed vnc-1

Nesta configuração, a única maneira de se conectar ao serviço VNC é via tunelamento do tráfego VNC sobre uma porta / serviço aberta, normalmente o serviço SSH - mais seguro. Isso é feito porque o tráfego VNC bruto é descriptografado e o esquema de autenticação baseado em senha VNC nativo é fraco.