HowTo für sicheres VNC mittels SSH unter Windows oder Wie tunnelt man VNC über SSH?

Transkript

1 HowTo für sicheres VNC mittels SSH unter Windows oder Wie tunnelt man VNC über SSH? Letzte Änderungen: 7. Oktober 2006: Nutzung von Nicht-Standard-Ports im VNC-Viewer korrigiert, betrifft Oktober 2006: Erstellung des public key korrigiert, betrifft Januar 2007: Veränderungen durch freesshd , betrifft 2. und 6.; Klarstellung zu Shields Up!!, betrifft 4. René Hanke Warnung: ich übernehme keinerlei Verantwortung für irgendeine Form von Schaden, die deshalb entsteht, weil jemand dieses HowTo gelesen hat und irgendwas nicht so läuft wie erwartet. Jeder muss selber wissen, was er tut. Vorwort Warum dies alles? Was ist dieses nicht? Ja, was ist dieses dann? Bezeichnungen Die Seite des Servers (fernzusteuernder Rechner) 1. RealVNC Einrichten 2. freesshd Einrichten 3. DynDNS-Dienst Einrichten 4. Firewall Einrichten Die Seite des Clients (fernsteuernder Rechner) 5. PuTTy Einrichten Aufbau einer Verbindung 6. Was der Server machen muss 7. Was der Client machen muss Anhang 8. Sicherheit 9. Zusätzliche Sicherheit durch public / private keys 10. Fernsteuern mehrerer Rechner 11. Fernsteuern eines Rechners, auch wenn kein User eingeloggt ist 12. Links und Quellen Vorwort Warum dies alles? Ein Bekannter von mir hat einen Computer. Dieser Bekannte von mir hat viele Fragen, und ist vor allem nun wirklich kein Profi. Leider wohnt er nicht in meiner Stadt. Aber mein Bekannter hat Internet! Somit kam die Idee auf, seinen Rechner mittels RealVNC fernzusteuern, wenn es an's Eingemachte geht. Nach einem nahezu schockierenden Erlebnis (obwohl eine Passwortfrage auf dem fernzusteuernden Rechner installiert war, wurde er plötzlich von einem anderen User übernommen, der auch gleich in das "%Systemroot%" - Verzeichns wollte, also da, wo alles Wichtige liegt) machte ich mich kundig, wie man die unverschlüsselte und und aus eigener Erfahrung eindeutig unsichere Übertragung von VNC absichern kann. Dies kam dabei heraus.

2 Was ist dieses nicht? Eine Anleitung für RealVNC oder TightVNC, ebensowenig führt dieses in die Tiefen von SSH, DynDNS oder auch PuTTY ein. Außerdem habe ich mich auf RealVNC beschränkt (TightVNC dürfte aber ähnlich einzurichten sein). Ja, was ist dieses denn dann? Eine Schritt-für-Schritt - Anleitung, wie man auch mit wenig Erfahrung einen Tunnel zu einem entfernten Windows-Rechner aufbaut, um diesen dann mit SSH verschlüsselt per RealVNC oder TightVNC fernzusteuern. Diese Anleitung bezieht sich wegen des verwendeten freesshd lediglich auf fernzusteuernde Windows NT 4.0, Windows 2000 und Windows XP - Systeme. Setzt man ein anderen SSH-Dämonen ein, funktioniert es aber sicherlich auch auf anderen Systemen. Bezeichnungen Im Folgenden wird der fernzusteuernde Rechner als Server (er stellt die VNC- und SSH-Dienste zur Verfügung), der fernsteuernde Rechner als Client (er loggt sich ein, um die Dienste zu nutzen) bezeichnet. zurück zum Anfang Die Seite des Servers (fernzusteuernder Rechner) 1. RealVNC Einrichten Zuerst lädt man sich RealVNC hier herunter und installiert es wie gewohnt. Sicherheitshalber sollte man RealVNC nicht als Server laufen lassen, denn dann wartet der Rechner die ganze Zeit auf Fernsteueranfragen, und ist eventuell Hacking-Angriffen ausgeliefert. Wir nutzen also den VNC Server im "User Mode", und müssen ihn demzufolge nun mittels "Configure User-Mode Settings" einrichten. 1.1 Unter "Authentication" nimmt man folgende Einstellungen vor: 1.1.1"VNC Password Authentication" wird aktiviert Mit "Configure" setzt man ein (bitte sicheres!) Passwort, mit dem sich eingehende Fernsteuerungsverbindungen authentifizieren müssen "Prompt local user to accept connections" wird ebenso aktiviert. Dies sorgt dafür, dass der Benutzer des ferngesteuerten Rechners gefragt wird, ob er eine Verbindung wirklich annehmen möchte. Das Ganze sollte dann so aussehen:

3 1.2. Für zusätzliche Sicherheit kann man unter "Connections" "Only accept connections from the local machine" aktivieren, um wirklich nur Benutzer, die durch den Tunnel auf SSH zugreifen, zuzulassen. Bei "Accept connections on port:" und "Serve Java Viewer via HTTP on port:" kann man auch noch Nicht-Standard-Ports (also andere als 5800 und 5900) angeben, oder "Serve Java Viewer via HTTP on port:" deaktivieren. Eine eventuelle Firewall sollte in jedem Fall so eingestellt sein, dass man vom Internet aus nicht auf diese zwei Ports zugreifen kann (siehe 4.).

4 2. freesshd Einrichten Hier gilt eigentlich dasselbe wie für RealVNC: Man lädt auch dieses Programm herunter (hier zu bekommen) und installiert es. Wie RealVNC sollte auch freesshd nicht als Server laufen lassen, in diesem Fall könnte ein Angreifer ebenso versuchen, den Rechner zu übernehmen - und freesshd müssen wir für unser Unterfangen im Gegensatz zu RealVNC vom Internet aus erreichbar machen! 2.1 Unter "Users" erstellt man einen neuen Nutzer mittels "Add" (und nennt ihn natürlich anders als "[User]" ;-) ): Unter "Authorization:" "Password stored as SHA1 hash" wählen Unter "Password" und "Password (again):" zweimal ein bitte sicheres Passwort eintragen Dem neuen Benutzer sämtliche Rechte ("Shell", "SFTP" und "Tunneling") einräumen. Hat man alles richtig eingegeben, sieht das dann so aus:

5 2.2 Unter "Tunneling" überprüft man nun, ob Port Forwarding erlaubt ist. Wahlweise kann für zusätzliche Sicherheit auch noch "but forward only to localhost ( )" bzw. "but bind only to localhost ( )" aktiviert werden. Somit wird verhindert, dass man per SSH auf andere Rechner im Netz als den Server zugreifen kann, oder diese gar auf den Client. (Achtung! freesshd hat einen Bug und speichert diese Einstellung nicht! Also besser einsetzen!)

6 2.3 Bei maximaler Paranoia kann man auch unter "SSH" bei "Port:" einen anderen als den Standard-Port 22 eingeben. 3. DynDNS-Dienst Einrichten Damit der fernzusteuernde Rechner auch immer unter ein und derselben Adresse über das Internet zu erreichen ist, sollte ein DynDNS-Dienst eingerichtet werden. Ich für meinen Teil habe immer erfolgreich den Dienst von DynDNS.org genutzt, der zudem von vielen Routern unterstützt wird, und zudem einen einfach zu bedienenden Update-Client für Windows-Systeme anbietet, der hier herunterzuladen ist. 4. Firewall Einrichten Da es eine nahezu unendliche Vielfalt an persönlichen Firewalls und Routern mit integrierter Firewall gibt, kann hier keine Universalanleitung angeboten werden, sondern nur die wesentlichen Punkte aufgelistet werden. 4.1 Persönliche Firewall: freesshd muss vom Internet aus erreichbar sein (wenn der Rechner hinter einem Router hängt, reicht für optimale Sicherheit sogar das eigene Netz aus) RealVNC muss nur vom Subnetz / eigenen Netz aus erreichbar sein. Will man unterbinden, dass andere Nutzer des eigenen Netzes RealVNC direkt erreichen können (z.b. der hackende Bruder oder Nachbarn, die das Netz mitnutzen dürfen), so kann man auch nur die Adresse zulassen (das heißt nur Nutzer, die selber auf dem Rechner eingeloggt sind, können mit RealVNC verbinden). 4.2 In einem Router integrierte Firewall (falls vorhanden): Es muss ein Portforwarding (manchmal auch "Virtueller Server" genannt) zu

7 dem Rechner eingerichtet werden, der ferngesteuert werden soll. Der weitergeleitete Port ist standardmäßig 22, wurde er in 2.3 geändert, muss natürlich dieser weitergeleitet werden Es empfiehlt sich eventuell aus Sicherheitsgründen, als externen Port, der auf Port 22 am fernzusteuernden Rechner weitergeleitet wird, nicht den Port 22 zu nehmen um ein wenig zusätzliche Sicherheit zu haben In jedem Fall sollten die Ports 5800 und 5900 bzw. die Ports aus 1.2 nicht vom Internet aus erreichbar sein! Ansonsten war der ganze Aufwand umsonst! Das war's beim Server! Mittels Shields UP!! kann man bei Bedarf noch austesten, ob bei gestartetem freesshd der zugeordnete Port auch wirklich erreichbar ist (das heißt er muss als "open" gemeldet werden). zurück zum Anfang Die Seite des Clients (fernsteuernder Rechner) 5. PuTTY Einrichten Natürlich braucht man auf Seiten des Clients auch den RealVNC Viewer, aber diese Wissen setze ich mal voraus. ;-) Ansonsten muss PuTTY (am besten der Windows-Installer) hier heruntergeladen werden, und folgende Einstellungen gemacht werden: 5.1 Zuerst legt man ein neues Profil an. Dazu trägt man unter "Session" bei "Host Name (or IP address)" den Namen der unter 3. angelegten DynDNS-Adresse ein. Wurde ein anderer Port als 22 von außen erreichbar gemacht, muss dieser natürlich geändert werden. Abspeichern mittels "Save" nicht vergessen! 5.2 Unter "Connection" -> "SSH" -> "Tunnels" muss nun noch dafür gesorgt werden, dass der

8 VNC-Viewer auch durch den SSH-Tunnel an den VNC-Server des fernzusteuernden Rechners kommt. Dazu trägt man unter "Source Port" 5900 ein, unter "Destination" :5900. Sollte unter 1.2 der 5900-Port geändert worden sein, ist natürlich dieser einzutragen. Hat man nun auf "Add" geklickt, ssollte es so aussehen: 5.3 Nun noch unter "Session" mittels "Save" abspeichern, und fertig ist das Ganze. zurück zum Anfang Aufbau einer Verbindung 6. Was der Server machen muss Erfahrungsmäßigerweise sitzen an der Seite des Servers die Leute, die eher wenig Ahnung von Computern haben. Glücklicherweise müssen diese aber nur zwei Dinge tun, um die Fernsteuerung zu starten: 6.1 Starten von freesshd mittels "freesshd" über das Startmenü. 6.2 Starten eins VNC-Servers im User-Mode mittels "VNC Server 4 (User-Mode)" -> "Run VNC Server" ebenso über das Startmenü. 6.3 Annehmen der Verbindung, sobald sie angefragt wird (und bitte trotz aller Sicherheit nur, wenn man wirklich sicher ist, wer da anfragt).

9 6.4 Nach Beendigung der Verbindung Stoppen des VNC-Servers über Rechtsklick auf das Icon von RealVNC und "Close VNC Server" (falls das noch nicht vom Fernsteuernden erledigt wurde). 6.5 Per Linksklick auf das Icon von freesshd unter "Status" mit "Quit" den freesshd-server beenden. Ab Version geht das ähnlich wie bei RealVNC mit Rechtsklick auf das freesshd-icon und "Quit". 7. Was der Client machen muss 7.1 Man startet PuTTY, und lädt mittels "Load" die entsprechenden Verbindungsdaten. Dann geht man auf "Open".

10 0 Putty hat nun hoffentlich erfolgreich die Verbindung zum Server aufgebaut, und fragt nun nach Login und Passwort. Dazu verwendet man die Daten, die man unter 2.1 auf dem Server eingetragen hat. Danach landet man in einer ganz normalen "Eingabeaufforderung" - allerdings auf dem ferngesteuerten Rechner! (Anmerkung: Das untige Bild zeigt eine typische Anmeldung, wenn man man public / private keys verwendet. Mehr dazu unter 9.)

11 1 Nun ist PuTTY bereit zu tunneln. Also das Fenster erst dann schließen, wenn man die Arbeit mit VNC beendet hat! 7.2 Man startet nun wie gewohnt mit "VNC Viewer 4" -> "Run VNC Viewer" den VNC Viewer. Als "Server" gibt man localhost oder ein. Der VNC-Viewer verbindet dann mit dem fernsteuernden Rechner an Port 5900, wo ja das eine Ende des nun offenen SSH-Tunnels liegt. Nachdem VNC den fernzusteuernden Rechner durch den Tunnel erreicht hat, wird nach dem unter eingegebenen Passwort gefragt. Hat man das als letzte Hürde eingegeben, startet VNC, und man kann an dem fernzusteuernden Rechner arbeiten, als wäre es der eigene. 7.3 Nach Beendigung der Arbeit sollte man am besten erst den VNC-Viewer und dann PuTTY schließen. Wahlweise kann man auch auf dem ferngesteuerten Rechner den VNC-Server wie unter 6.4 beschrieben direkt schließen. zurück zum Anfang

12 2 Anhang 8. Sicherheit Der mögliche Angriffspunkt auf das ferngesteuerte System wird vom unverschlüsselten VNC auf das verschlüsselte SSH umgeleitet. Somit ist deutlich schwerer in das System einzudringen, zudem SSH statt einem Passwort ein Login und ein Passwort verwendet. Generell ist ein Angriff sowieso nur dann möglich, wenn auf dem fernzusteuernden Rechner der SSH-Server (freesshd) gestartet wurde. Dennoch sollte für SSH sicherheitshalber auf "kryptische" Benutzernamen und Passwörter geachtet werden. Richtet man die Port-weiterleitung wie unter 4. beschrieben ein, ist ein direkter Angriff auf VNC vom Internet aus nicht möglich, mit den unter 1.2 angegebenen Einstellungen können noch nicht einmal Nutzer des eigenen Netzes (der besagte hackende Bruder) per VNC eine Verbindung aufbauen. 9. Zusätzliche Sicherheit durch public / private keys Um die Sicherheit zusätzlich zu erhöhen, kann man eine Authentifizierung per Schlüssel, sogenannten "keys" erzwingen. Diese bestehen aus einem Paar von Dateien, von denen eine, der "public key" auf dem Server (hier der fernzusteuernde Rechner), und eine zweite, der "private key" auf dem Client (der fernsteuernde Rechner) vorhanden sein müssen. Zusätzlich muss auch noch der Benutzername und ein Kennwort, in diesem Falle "Passphrase" genannt, beim Verbinden mit PuTTY eingegeben werden. 9.1 Zuerst muss auf dem Server im Ordner von freesshd (normalerweise "C:\Programme\freeSSHd") der Unterordner "ssh_authorized_keys" erstellt werden. In diesen Ordner muss später der sogennante "public key" gestellt werden. 9.2 Auf dem Server nimmt man bei freesshd unter "SSH" -> "Authentification" folgende Einträge vor: 9.2.1"Password authentication" setzt man auf "Disabled" (somit kann man sich nicht mehr einfach mit einem Passwort einloggen, wenn man keinen key hat) "Public key authentication" setzt man auf "Required" (damit ohne key nichts geht) Bei "Path for public keys:" trägt man nun das unter 9.1 erstellte Verzeichnis (standardmäßig "C:\Programme\freeSSHd\ssh_authorized_keys") ein.

13 3 9.3 Nun müssen die Schlüssel erzeugt werden. Dies geschieht auf dem Client (oder einem beliebigen Rechner, auf dem PuTTY installiert ist) mithilfe des Programmes "PuTTYgen", das sich im Startmenü-Ordner von PuTTY findet: Zuerst kann man unter "Number of bits in generated key:" die Sicherheit der zu erstellenden Schlüssel einstellen. Der vorgegebene Wert 1024 ist schon recht gut, kann aber durchaus auch auf 2048 erhöht werden Nun erstellt man mittels "Generate" einen neuen Schlüssel, den man durch das (sinnlose ;-) ) Bewegen des Mauszeigers auf dem leeren Feld auch schön zufällig macht. Das Ganze dauert ein wenig, je nachdem, wie viele Bits der Schlüssel haben soll.

14 Nachdem der Schlüssel erstellt wurde, trägt man unter "Key comment:" den Namen des SSH-Users aus 2.1 ein. Unter "Key passphrase:" und "Confirm passphrase" trägt man hier das Passwort ein, das sinnvollerweise dem Passwort aus 2.1 entsprechen kann (aber meines Wissens nach nicht muss).

15 Mittels "Save private key" speichert man den "private key" in eine Datei (z.b. unter "C:\Programme\PuTTY"). Der Name ist hier im Endeffekt egal, sollte aber die Endung ".ppk" behalten Nun erstellt man eine neue, leere Textdatei mittels dem Editor z.b. auf dem Desktop, die wie der Benutzer aus 2.1 heißen muss, aber keine Endung haben darf (also "[User]" anstatt "[User].txt"), und öffnet diese Nun kopiert man den Inhalt, der unter "Public key for pasting into OpenSSH authorized_keys file:" zu finden ist, in eben diese Datei, und speichert sie ab. (Nicht "Save public key" verwenden, da die so erstellte Datei das falsche Format hat.) 9.4 Die Datei, die den "public key" enthält, kopiert man nun in den Ordner "ssh_authorized_keys" (also standardmäßig "C:\Programme\freeSSHd") auf dem Server. Danach sollte man sie aus Sicherheitsgründen vom Client löschen. 9.5 Letztendlich muss PuTTY auf dem Client noch wissen, dass es einen bestimmten key für die Verbindung benutzen soll. Dazu geht man auf dem Client bei PuTTY nach Laden des in 5. erstellten Profils auf "Connection" -> "SSH" -> "Auth", und gibt dort unter "Private key file for authentication:" den Ort des privaten Schlüssels an Nachdem man unter "Session" mittels "Save" abgespeichert hat, kann man wie gewohnt über "Open" verbinden, und es sollte dann so aussehen:

16 6 Uff. Herzlichen Glückwunsch! 10. Fernsteuern mehrerer Rechner Lässt man auf dem freesshd unter "Tunneling" "but forward only to localhost ( )" deaktiviert, kann der Rechner, auf dem freesshd läuft, auch andere Rechner im Netz des ferngesteuerten Rechners durch den SSH-Tunnel ansprechen. Wenn man dann noch unter PuTTY mittels "Connection" -> "SSH" -> "Tunnels" weitere Weiterleitungen zu den entsprechenden Rechnern einrichtet, kann man auch auf diese zugreifen. Beispielsweise könnte man mit "Source Port" 5901 und "Destination" :5900 ("Add" nicht vergessen, vergleiche 5.2) per VNC auf den Rechner zugreifen, wenn man auf dem Client nach Aufbau der PuTTY-Verbindung im VNC-Viewer mit dem Server localhost::5901 verbinden lässt (es müssen hier entgegen der üblichen Norm wirklich zwei Doppelpunkte angegeben werden). Denn PuTTY leitet den lokalen Port 5901 des Clients an den Rechner , Port 5900 am Ende des Tunnels weiter (wo dann ein VNC-Server lauschen sollte). 11. Fernsteuern eines Rechners, auch wenn kein User eingeloggt ist Selbstverständlich kann man freesshd und RealVNC auch als Server auf einem Rechner betreiben, so dass beide Programme andauernd auf diesem laufen; in diesem Falle kann man mit dem Rechner verbinden unabhängig davon, ob ein Benutzer eingeloggt ist oder nicht. Allerdings ist dann der SSH-Dämon andauernd zur Seite des Internets offen, was eine gewisse Sicherheitslücke bedeutet, denn wer mit SSH auf einen Rechner zugreifen kann, kann dort allerlei Blödsinn anstellen, vom Installieren von Software, über Löschen von Dateien, bishin zur Formatierung der Festplatte. Punkt 9. beschreibt allerdings eine Möglichkeit, das ungewollte Einloggen / Hacken unter SSH zusätzlich zu erschweren. 12. Links und Quellen (Was ist eigentlich ein Tunnel?)

17 7 (VNC über SSH mittels eines fli4l-routers) (HowTo zu freesshd - es kann viel mehr als hier beschrieben!) René Hanke (hanker@rpg-domain.de)