---

Jeg savner en linux-pendant til Windows' Remote Desktop Connection, dvs. en
grafisk brugerflade til en remote-maskine. Sagen er den, at jeg har en
Ubuntu-box stående på loftet med strøm og netværk og ikke andet i.
Oprindeligt var jeg logget ind, hvorfor jeg kunne VNC'e til den, men efter
en genstart kan jeg jo ikke logge ind grafisk, så nu har jeg mistet
VNC-muligheden.

Jeg har ladet mig fortælle, at Cygwin er en mulighed, hvorfor jeg har
downloadet og installeret den på min XP, men hvordan jeg får mit
linux-skrivebord frem, kan jeg ikke hitte ud af.

/steen

---

Steen wrote:
> Jeg har ladet mig fortælle, at Cygwin er en mulighed, hvorfor jeg har
> downloadet og installeret den på min XP, men hvordan jeg får mit
> linux-skrivebord frem, kan jeg ikke hitte ud af.

Du skal have en X-server (som leverer en service til linux-maskinen,
nemlig et display) og en ssh-klient som opretter forbindelsen.

Jeg fandt den her fortælling på google. Det er ikke sikkert der er helt
nok til at du kan komme i gang, men kig evt. på det og spørg yderligere.
(Jeg har godtnok ikke brugt det, men der er uden tvivl andre der kan
komme med tips.)

/Andreas

---

On 2005-10-26, Steen <virker@ikke.invalid> wrote:
> Jeg savner en linux-pendant til Windows' Remote Desktop Connection, dvs. en
> grafisk brugerflade til en remote-maskine. Sagen er den, at jeg har en
> Ubuntu-box stående på loftet med strøm og netværk og ikke andet i.

Det jeg gør er at jeg kun henter enkelte programmer frem til en anden
maskine og ikke hele desktoppen.

Du installerer en xserver på din windowsmaskine. der er en med cygwin.
så starter du den.

i en cygwinterminal:
ssh -Y -f mig@maskinepåloftet xbomb

så bliver du spurgt om passwd, xbomb kommer frem og ssh-forbindelsen
backgrounder og frigiver terminalen igen.

(xbomb er et minestrygerlignende program)

/Sune

---

Steen wrote:

> Jeg savner en linux-pendant til Windows' Remote Desktop Connection, dvs.
> en grafisk brugerflade til en remote-maskine. Sagen er den, at jeg har en
> Ubuntu-box stående på loftet med strøm og netværk og ikke andet i.
> Oprindeligt var jeg logget ind, hvorfor jeg kunne VNC'e til den, men efter
> en genstart kan jeg jo ikke logge ind grafisk, så nu har jeg mistet
> VNC-muligheden.

Kig efter FreeNX og nomachine. Det er både hurtigt, effektivt OG sikkert.

/Andreas

---

Den Thu, 27 Oct 2005 12:59:47 +0200 skrev /-\ndlo:
> Steen wrote:
>
>> Jeg savner en linux-pendant til Windows' Remote Desktop Connection, dvs.
>> en grafisk brugerflade til en remote-maskine. Sagen er den, at jeg har en
>> Ubuntu-box stående på loftet med strøm og netværk og ikke andet i.
>> Oprindeligt var jeg logget ind, hvorfor jeg kunne VNC'e til den, men efter
>> en genstart kan jeg jo ikke logge ind grafisk, så nu har jeg mistet
>> VNC-muligheden.
>
> Kig efter FreeNX og nomachine. Det er både hurtigt, effektivt OG sikkert.

Sikkert? Sidst jeg læste dokumentationen, bruger default-konfigurationen
en hard-codet private-key, for at brugerne ikke skal have besværet med
at overføre public keys.

Mvh
Kent
--
Hard work may pay off in the long run, but laziness pays off right now.

---

Kent Friis wrote:

> Sikkert? Sidst jeg læste dokumentationen, bruger default-konfigurationen
> en hard-codet private-key, for at brugerne ikke skal have besværet med
> at overføre public keys.

Ja, og en hurtig læsning videre fortæller hvordan man skifter nøglen ud.
Forøvrigt noget der står i alverdens vejledninger til forskellige os'er.

/A

---

Den Thu, 27 Oct 2005 22:26:33 +0200 skrev /-\ndlo:
> Kent Friis wrote:
>
>> Sikkert? Sidst jeg læste dokumentationen, bruger default-konfigurationen
>> en hard-codet private-key, for at brugerne ikke skal have besværet med
>> at overføre public keys.
>
> Ja, og en hurtig læsning videre fortæller hvordan man skifter nøglen ud.

Men det løser jo så kun det specifikke problem. Et system der er lavet
af folk der tydeligvis er bedøvende ligeglade med sikkerhed, bliver
ikke sikkert af at man løser det mest åbenlyse problem.

Mvh
Kent
--
Hard work may pay off in the long run, but laziness pays off right now.

---

Kent Friis wrote:
> Men det løser jo så kun det specifikke problem. Et system der er lavet
> af folk der tydeligvis er bedøvende ligeglade med sikkerhed, bliver
> ikke sikkert af at man løser det mest åbenlyse problem.
>

Sorry men jeg forstår ikke. Hvis public og private key's blliver skiftet, så
er det vel præcis lige så sikkert som så meget andet ssh hvor der benyttes
nøgle kontrol.
Eller er jeg gal på den ?

/A

---

Den Thu, 27 Oct 2005 22:42:12 +0200 skrev /-\ndlo:
> Kent Friis wrote:
>> Men det løser jo så kun det specifikke problem. Et system der er lavet
>> af folk der tydeligvis er bedøvende ligeglade med sikkerhed, bliver
>> ikke sikkert af at man løser det mest åbenlyse problem.
>>
>
> Sorry men jeg forstår ikke. Hvis public og private key's blliver skiftet, så
> er det vel præcis lige så sikkert som så meget andet ssh hvor der benyttes
> nøgle kontrol.
> Eller er jeg gal på den ?

Hvem ved hvad der ellers er gemt i koden? IMHO snakker vi her om
noget der er værre end Gator og tilsvarende ting under Windows - vi
er faktisk ovre i noget der minder kraftigt om en backdoor.

Man kan så fjerne *en* backdoor, men ville du stole på at der ikke
er flere i kode fra programmører der allerede har vist at de er
villige til at putte en backdoor ind?

Mvh
Kent
--
Hard work may pay off in the long run, but laziness pays off right now.

---

Kent Friis <nospam@nospam.invalid> writes:

> Man kan så fjerne *en* backdoor, men ville du stole på at der ikke
> er flere i kode fra programmører der allerede har vist at de er
> villige til at putte en backdoor ind?

Plejer den slags ikke at udmærke sig ved _ikke_ at være dokumenteret?

--
Thorbjørn Ravn Andersen

---

Den 27 Oct 2005 23:09:39 +0200 skrev Thorbjoern Ravn Andersen:
> Kent Friis <nospam@nospam.invalid> writes:
>
>> Man kan så fjerne *en* backdoor, men ville du stole på at der ikke
>> er flere i kode fra programmører der allerede har vist at de er
>> villige til at putte en backdoor ind?
>
> Plejer den slags ikke at udmærke sig ved _ikke_ at være dokumenteret?

Ikke nødvendigvis.

Mvh
Kent
--
Hard work may pay off in the long run, but laziness pays off right now.

---

Kent Friis <nospam@nospam.invalid> writes:

> > Plejer den slags ikke at udmærke sig ved _ikke_ at være dokumenteret?
>
> Ikke nødvendigvis.

Øh, nå.

Har du et andet eksempel på en dokumenteret backdoor (må vel næsten
være en frontdoor).
--
Thorbjørn Ravn Andersen

---

Den 27 Oct 2005 23:32:59 +0200 skrev Thorbjoern Ravn Andersen:
> Kent Friis <nospam@nospam.invalid> writes:
>
>> > Plejer den slags ikke at udmærke sig ved _ikke_ at være dokumenteret?
>>
>> Ikke nødvendigvis.
>
> Øh, nå.
>
> Har du et andet eksempel på en dokumenteret backdoor

En klassiker:
http://www.acm.org/classics/sep95/

> (må vel næsten være en frontdoor).

Frontdoor er den folk der er inviterede kommer ind af.

Mvh
Kent
--
Hard work may pay off in the long run, but laziness pays off right now.

---

Kent Friis <nospam@nospam.invalid> writes:

> > Har du et andet eksempel på en dokumenteret backdoor
>
> En klassiker:
> http://www.acm.org/classics/sep95/

Så er vi vist henne i en definitionssag

Jeg kendte den godt.

Det bunder jo altsammen i hvem man stoler på.
--
Thorbjørn Ravn Andersen

---

Den 28 Oct 2005 01:25:46 +0200 skrev Thorbjoern Ravn Andersen:
> Kent Friis <nospam@nospam.invalid> writes:
>
>> > Har du et andet eksempel på en dokumenteret backdoor
>>
>> En klassiker:
>> http://www.acm.org/classics/sep95/
>
> Så er vi vist henne i en definitionssag
>
> Jeg kendte den godt.
>
> Det bunder jo altsammen i hvem man stoler på.

Præcis, og jeg stoler ikke på evnerne hos programmører der allerede
har vist at de er villige til at ofre sikkerheden bare for at spare folk
at skulle kopiere end ssh-key.

Mvh
Kent
--
Hard work may pay off in the long run, but laziness pays off right now.

---

Kent Friis wrote:

> Hvem ved hvad der ellers er gemt i koden? IMHO snakker vi her om
> noget der er værre end Gator og tilsvarende ting under Windows - vi
> er faktisk ovre i noget der minder kraftigt om en backdoor.
>
> Man kan så fjerne *en* backdoor, men ville du stole på at der ikke
> er flere i kode fra programmører der allerede har vist at de er
> villige til at putte en backdoor ind?

Jeg opfatter nu ikke det at distribuere et standart nøglepar med et stykke
software som værende en backdoor.
NXclienten for win32 er baseret på cygwin og openssh, en kombination andre
forøvrigt har foreslået her i tråden. Der blev godtnok ikke nævnt noget om
behovet for to-fakter sikkerhed.

Jeg går ud fra at du med Xwin32 og putty selv benytter et nøglepar for at få
to-faktor sikkerheden, som jeg forstår du mener er nødvendig.

/A

---

Den Thu, 27 Oct 2005 23:10:02 +0200 skrev /-\ndlo:
> Kent Friis wrote:
>
>> Hvem ved hvad der ellers er gemt i koden? IMHO snakker vi her om
>> noget der er værre end Gator og tilsvarende ting under Windows - vi
>> er faktisk ovre i noget der minder kraftigt om en backdoor.
>>
>> Man kan så fjerne *en* backdoor, men ville du stole på at der ikke
>> er flere i kode fra programmører der allerede har vist at de er
>> villige til at putte en backdoor ind?
>
> Jeg opfatter nu ikke det at distribuere et standart nøglepar med et stykke
> software som værende en backdoor.

Når den er installeret har hele verden adgang til ens maskine, medmindre
man tilfældigvis er en af dem der både er klar over det er tilfældet,
og ved hvordan man fjerner den igen. Det er ikke et lille hul, det er
et meget stort hul. Et sikkerhedshul der laves bevidst, plejer man ikke
at betegne det som en backdoor?

> Jeg går ud fra at du med Xwin32 og putty selv benytter et nøglepar for at få
> to-faktor sikkerheden, som jeg forstår du mener er nødvendig.

Jeg har ikke udtalt mig om hvorvidt SSH kryptering er nødvendig, det
kommer an på hvordan netværket er sat op.

Hvis jeg sammenligner med mit eget lille netværk, så kører der
ukrypterede X-forbindelser uden anden sikkerhed end hvad der ligger
i Xauth. Ikke noget problem, for iptables sørger for at der ingen
connections kan oprettes fra WAN til LAN. Men hvis nogen så installerede
en backdoor som den i NX, ville SSH pludselig være åben for at enhver
idiot der kender den key kan connecte, og dermed er sikkerheden
på maskinen og dermed netværket brudt.

Mvh
Kent
--
Hard work may pay off in the long run, but laziness pays off right now.

---

Kent Friis wrote:
>>
>> Jeg opfatter nu ikke det at distribuere et standart nøglepar med et
>> stykke software som værende en backdoor.
>
> Når den er installeret har hele verden adgang til ens maskine, medmindre
> man tilfældigvis er en af dem der både er klar over det er tilfældet,
> og ved hvordan man fjerner den igen. Det er ikke et lille hul, det er
> et meget stort hul. Et sikkerhedshul der laves bevidst, plejer man ikke
> at betegne det som en backdoor?
>
Øhh helt præcist, så har hele verden adgang som user NX, og user NX kan ikke
en dyt på systemet.

>> Jeg går ud fra at du med Xwin32 og putty selv benytter et nøglepar for at
>> få to-faktor sikkerheden, som jeg forstår du mener er nødvendig.
>
> Jeg har ikke udtalt mig om hvorvidt SSH kryptering er nødvendig, det
> kommer an på hvordan netværket er sat op.
>
> Hvis jeg sammenligner med mit eget lille netværk, så kører der
> ukrypterede X-forbindelser uden anden sikkerhed end hvad der ligger
> i Xauth. Ikke noget problem, for iptables sørger for at der ingen
> connections kan oprettes fra WAN til LAN. Men hvis nogen så installerede
> en backdoor som den i NX, ville SSH pludselig være åben for at enhver
> idiot der kender den key kan connecte, og dermed er sikkerheden
> på maskinen og dermed netværket brudt.

NX ændrer ikke på dine IPtables, så er det sat op så der ikke er ssh trafik
fra WAN til LAN, så er der selvsagt heller ikke adgang med NX, der jo kører
over ssh.
Så det at en bruger (NX i dette tilfælde) benytter et offentligt kendt
nøglepar skader ikke sikkerheden. Med nøgleparet har man kun den adgang som
brugeren har, og i NX tilfældet, er det adgang til login prompt, og intet
andet.
Ganske som ssh i sin standart opsætning gør...her kender serveren jo ikke
klientens nøgle, men alligevel krypteres trafikken, således at man kan
komme til loginprompten.
ssh kan så sikres yderligere, men er det jo ikke i standart opsætningen.


/A

>
> Mvh
> Kent

---

Den Thu, 27 Oct 2005 23:37:43 +0200 skrev /-\ndlo:
> Kent Friis wrote:
>>>
>>> Jeg opfatter nu ikke det at distribuere et standart nøglepar med et
>>> stykke software som værende en backdoor.
>>
>> Når den er installeret har hele verden adgang til ens maskine, medmindre
>> man tilfældigvis er en af dem der både er klar over det er tilfældet,
>> og ved hvordan man fjerner den igen. Det er ikke et lille hul, det er
>> et meget stort hul. Et sikkerhedshul der laves bevidst, plejer man ikke
>> at betegne det som en backdoor?
>>
> Øhh helt præcist, så har hele verden adgang som user NX, og user NX kan ikke
> en dyt på systemet.

Hvordan sætter man en bruger op så han ikke kan noget på systemet?

>>> Jeg går ud fra at du med Xwin32 og putty selv benytter et nøglepar for at
>>> få to-faktor sikkerheden, som jeg forstår du mener er nødvendig.
>>
>> Jeg har ikke udtalt mig om hvorvidt SSH kryptering er nødvendig, det
>> kommer an på hvordan netværket er sat op.
>>
>> Hvis jeg sammenligner med mit eget lille netværk, så kører der
>> ukrypterede X-forbindelser uden anden sikkerhed end hvad der ligger
>> i Xauth. Ikke noget problem, for iptables sørger for at der ingen
>> connections kan oprettes fra WAN til LAN. Men hvis nogen så installerede
>> en backdoor som den i NX, ville SSH pludselig være åben for at enhver
>> idiot der kender den key kan connecte, og dermed er sikkerheden
>> på maskinen og dermed netværket brudt.
>
> NX ændrer ikke på dine IPtables, så er det sat op så der ikke er ssh trafik
> fra WAN til LAN, så er der selvsagt heller ikke adgang med NX, der jo kører
> over ssh.

Men når man skal connecte til systemet udefra, bruger man naturligvis
SSH, og derfor er SSH åben udefra, hvorimod X ikke er.

> Så det at en bruger (NX i dette tilfælde) benytter et offentligt kendt
> nøglepar skader ikke sikkerheden.

Argumenter?

> Med nøgleparet har man kun den adgang som
> brugeren har, og i NX tilfældet, er det adgang til login prompt, og intet
> andet.

Hvor kommer den login prompt fra? SSH starter normalt et program,
ofte en shell, men kan konfigureres til at starte andre programmer.

> Ganske som ssh i sin standart opsætning gør...her kender serveren jo ikke
> klientens nøgle, men alligevel krypteres trafikken, således at man kan
> komme til loginprompten.

Normalt når jeg er authenticated af SSH, kommer jeg til en shell.

Mvh
Kent
--
Hard work may pay off in the long run, but laziness pays off right now.

---

Kent Friis wrote:
>
> Hvordan sætter man en bruger op så han ikke kan noget på systemet?
>
i /etc/passwd

bruger:x:100:100:bruger der ikke kan logge ind:/:/sbin/nologin
eller
bruger:x:100:100:bruger der ikke kan logge ind:/:/bin/false

Og NX brugeren kører nxserver - der er er en loginwraper.

nx:x:503:503::/var/lib/nxserver/nxhome:/usr/bin/nxerver


>> NX ændrer ikke på dine IPtables, så er det sat op så der ikke er ssh
>> trafik fra WAN til LAN, så er der selvsagt heller ikke adgang med NX, der
>> jo kører over ssh.
>
> Men når man skal connecte til systemet udefra, bruger man naturligvis
> SSH, og derfor er SSH åben udefra, hvorimod X ikke er.
>
Ja, og da NX kører over ssh, er det også den sikkerhed der benyttes.

>> Så det at en bruger (NX i dette tilfælde) benytter et offentligt kendt
>> nøglepar skader ikke sikkerheden.
>
> Argumenter?
>
Hvis jeg connecter til din maskine med en ssh klient, får jeg adgang til
login prompten, og ikke andet hvis ikke jeg har et brugernavn og
adgangskode.

Hvis jeg connecter til en NXserver kommer jeg ikke videre hvis ikke jeg har
et brugernavn og adgangskode.

>> Med nøgleparet har man kun den adgang som
>> brugeren har, og i NX tilfældet, er det adgang til login prompt, og intet
>> andet.
>
> Hvor kommer den login prompt fra? SSH starter normalt et program,
> ofte en shell, men kan konfigureres til at starte andre programmer.
>
Som set i /etc/password, så er det i NX brugerens tilfælde nxserver der
leverer loginprompten.

>> Ganske som ssh i sin standart opsætning gør...her kender serveren jo ikke
>> klientens nøgle, men alligevel krypteres trafikken, således at man kan
>> komme til loginprompten.
>
> Normalt når jeg er authenticated af SSH, kommer jeg til en shell.

Ikke helt korretk. Når du har oprettet en ssh forbindelse, kommer du til
loginprogrammet, og nr du er authentikeret af det, kommer du til feks
shellen.
Man kan så opsætte login programmet til at authentikere vha certifikater, og
dermed "springe" passwordet over, og starte shellen eller hvad man startet.
I NX tilfældet er det blot endnu en loginprompt der startes.

/A

---

Den Fri, 28 Oct 2005 00:00:40 +0200 skrev /-\ndlo:
> Kent Friis wrote:
>>
>> Hvordan sætter man en bruger op så han ikke kan noget på systemet?
>>
> i /etc/passwd
>
> bruger:x:100:100:bruger der ikke kan logge ind:/:/sbin/nologin

Vi prøver lige igen. Hvordan sætter man en bruger op så han kan
logge ind, men ikke kan noget på systemet?

> Og NX brugeren kører nxserver - der er er en loginwraper.
>
> nx:x:503:503::/var/lib/nxserver/nxhome:/usr/bin/nxerver

Og igen, hvordan sætter man en bruger op så han ikke kan noget på
systemet, fx køre et program lavet af folk der tydeligvis ikke har
et begreb om sikkerhed?

>>> NX ændrer ikke på dine IPtables, så er det sat op så der ikke er ssh
>>> trafik fra WAN til LAN, så er der selvsagt heller ikke adgang med NX, der
>>> jo kører over ssh.
>>
>> Men når man skal connecte til systemet udefra, bruger man naturligvis
>> SSH, og derfor er SSH åben udefra, hvorimod X ikke er.
>>
> Ja, og da NX kører over ssh, er det også den sikkerhed der benyttes.

Men når man giver alle og enhver sin private key, er der ingen sikkerhed
tilbage.

>>> Så det at en bruger (NX i dette tilfælde) benytter et offentligt kendt
>>> nøglepar skader ikke sikkerheden.
>>
>> Argumenter?
>>
> Hvis jeg connecter til din maskine med en ssh klient, får jeg adgang til
> login prompten, og ikke andet hvis ikke jeg har et brugernavn og
> adgangskode.

Men hvis du allerede har et brugernavn og en tilhørende private key,
har du jo fuld adgang til de samme programmer som det brugernavn.

Hvis du så ovenikøbet selv havde skrevet de programmer du har adgang
til, ville mulighederne kun være begrænset af din egen fantasi.

> Hvis jeg connecter til en NXserver kommer jeg ikke videre hvis ikke jeg har
> et brugernavn og adgangskode.

Fordi NXserver er sikkert, og det ved du fordi det er skrevet af
nogen folk der lige har bevist at de tror sikkerhed ligger midt mellem
Sydney og Hong Kong?

>>> Med nøgleparet har man kun den adgang som
>>> brugeren har, og i NX tilfældet, er det adgang til login prompt, og intet
>>> andet.
>>
>> Hvor kommer den login prompt fra? SSH starter normalt et program,
>> ofte en shell, men kan konfigureres til at starte andre programmer.
>>
> Som set i /etc/password, så er det i NX brugerens tilfælde nxserver der
> leverer loginprompten.

Og dermed er der adgang til nxserver-programmet, lavet af folk man ikke
kan have nogen tillid til.

>>> Ganske som ssh i sin standart opsætning gør...her kender serveren jo ikke
>>> klientens nøgle, men alligevel krypteres trafikken, således at man kan
>>> komme til loginprompten.
>>
>> Normalt når jeg er authenticated af SSH, kommer jeg til en shell.
>
> Ikke helt korretk. Når du har oprettet en ssh forbindelse, kommer du til
> loginprogrammet, og nr du er authentikeret af det, kommer du til feks
> shellen.

Nej, man kan sætte SSH op til at spørge om password efter
authentication, jeg har dog ikke fundet noget dokumentation på hvordan
man gør. Men det er mig bekendt stadig SSH der spørger om passwordet.

Mvh
Kent

PS: Du forsøger virkelig, men indtil videre er det kun lykkedes dig at
få mig til at holde fingrene endnu længere væk fra NX.
--
Hard work may pay off in the long run, but laziness pays off right now.

---

Kent Friis wrote:

>
> Vi prøver lige igen. Hvordan sætter man en bruger op så han kan
> logge ind, men ikke kan noget på systemet?
>
Ved at sørge for at eneste program brugeren kan køre er et program der intet
kan.

>> Og NX brugeren kører nxserver - der er er en loginwraper.
>>
>> nx:x:503:503::/var/lib/nxserver/nxhome:/usr/bin/nxerver
>
> Og igen, hvordan sætter man en bruger op så han ikke kan noget på
> systemet, fx køre et program lavet af folk der tydeligvis ikke har
> et begreb om sikkerhed?
>
Ved at sørge for at eneste program brugeren kan køre er et program der intet
kan.

>
> Men når man giver alle og enhver sin private key, er der ingen sikkerhed
> tilbage.
>
Sikkerheden er der jo ved brugernavn og passwordet på den bruger der skal
wrappes til efter NX-ssh tundlen er oprettet. det er jo ikke offentligt
kendt. Ligesom ved normal brug af ssh.

>
> Men hvis du allerede har et brugernavn og en tilhørende private key,
> har du jo fuld adgang til de samme programmer som det brugernavn.
>
Præsis - derfor har NX den begrænsning kun at kunne køre eet program

> Hvis du så ovenikøbet selv havde skrevet de programmer du har adgang
> til, ville mulighederne kun være begrænset af din egen fantasi.
>
Helt rigtigt - men det har jo intet med NX at gøre. Det er ganske normalt.

>> Hvis jeg connecter til en NXserver kommer jeg ikke videre hvis ikke jeg
>> har et brugernavn og adgangskode.
>
> Fordi NXserver er sikkert, og det ved du fordi det er skrevet af
> nogen folk der lige har bevist at de tror sikkerhed ligger midt mellem
> Sydney og Hong Kong?
>
Jeg ved ikke hvor det skule være, men ja, jeg har samme tiltro til dem der
skriver nxserveren som dem der skriver openssh eller mange andre af de
programmer der er på mine maskiner.

>> Som set i /etc/password, så er det i NX brugerens tilfælde nxserver der
>> leverer loginprompten.
>
> Og dermed er der adgang til nxserver-programmet, lavet af folk man ikke
> kan have nogen tillid til.
>
Og jeg ved ikke hvorfor man skulle have mindre tiltro til dem end så mange
andre programører.

>
> Nej, man kan sætte SSH op til at spørge om password efter
> authentication, jeg har dog ikke fundet noget dokumentation på hvordan
> man gør. Men det er mig bekendt stadig SSH der spørger om passwordet.
>
Ja, men ikke ssh der auhentikerer det....

Ligesom nxserveren. Den spørger om passwordet og videregiver det til dit
auhentikations program (login)

> PS: Du forsøger virkelig, men indtil videre er det kun lykkedes dig at
> få mig til at holde fingrene endnu længere væk fra NX.

Ja, jeg er virkelig af den opfattelse at NX er geialt. Det er en samling af
gammelkendete teknoloier.
Princippet er enkelt - opret en ssh tunnel, swap over til den rigtige bruger
og færdig. At NX så oveni så også har en rigtig god komprision af X
protekollen og minimerer roundtrips m.m. gør det bare endnu stærkere.



/A

---

Den Fri, 28 Oct 2005 01:15:31 +0200 skrev /-\ndlo:
> Kent Friis wrote:
>
>>
>> Vi prøver lige igen. Hvordan sætter man en bruger op så han kan
>> logge ind, men ikke kan noget på systemet?
>>
> Ved at sørge for at eneste program brugeren kan køre er et program der intet
> kan.

Imodsætning til fx et program der kan en hel masse, og som er skrevet
af personer der allerede har bevist deres indstilling til sikkerhed
(eller rettere, mangel på samme).

>>> Og NX brugeren kører nxserver - der er er en loginwraper.
>>>
>>> nx:x:503:503::/var/lib/nxserver/nxhome:/usr/bin/nxerver
>>
>> Og igen, hvordan sætter man en bruger op så han ikke kan noget på
>> systemet, fx køre et program lavet af folk der tydeligvis ikke har
>> et begreb om sikkerhed?
>>
> Ved at sørge for at eneste program brugeren kan køre er et program der intet
> kan.

Sikke mange ting der skal ændres for at sikre systemet igen efter at
have installeret NX. Ikke nok med backdoor'en, man er også nødt
til at rette i passwd-filen, og skifte nxserver ud med et program
der intet kan.

>> Men når man giver alle og enhver sin private key, er der ingen sikkerhed
>> tilbage.
>>
> Sikkerheden er der jo ved brugernavn og passwordet på den bruger der skal
> wrappes til efter NX-ssh tundlen er oprettet. det er jo ikke offentligt
> kendt. Ligesom ved normal brug af ssh.

Så sikkerheden træder først i funktion efter folk har fået adgang til
et skummelt program (nxserver) skrevet af nogen folk der er bedøvende
ligeglade med sikkerhed...

Det bliver værre og værre.

>> Men hvis du allerede har et brugernavn og en tilhørende private key,
>> har du jo fuld adgang til de samme programmer som det brugernavn.
>>
> Præsis - derfor har NX den begrænsning kun at kunne køre eet program

Som må antages at være mere usikkert end blot at give folk en shell.

>> Hvis du så ovenikøbet selv havde skrevet de programmer du har adgang
>> til, ville mulighederne kun være begrænset af din egen fantasi.
>>
> Helt rigtigt - men det har jo intet med NX at gøre. Det er ganske normalt.

Altså, vi har en private key der er kendt af nogle skumle typer, der
er adgang til et program skrevet af de samme skumle typer...

Hvor ser du sikkerheden henne?

>>> Hvis jeg connecter til en NXserver kommer jeg ikke videre hvis ikke jeg
>>> har et brugernavn og adgangskode.
>>
>> Fordi NXserver er sikkert, og det ved du fordi det er skrevet af
>> nogen folk der lige har bevist at de tror sikkerhed ligger midt mellem
>> Sydney og Hong Kong?
>>
> Jeg ved ikke hvor det skule være, men ja, jeg har samme tiltro til dem der
> skriver nxserveren som dem der skriver openssh eller mange andre af de
> programmer der er på mine maskiner.

Og så konkluderer jeg at du ikke har et begreb om sikkerhed.

>>> Som set i /etc/password, så er det i NX brugerens tilfælde nxserver der
>>> leverer loginprompten.
>>
>> Og dermed er der adgang til nxserver-programmet, lavet af folk man ikke
>> kan have nogen tillid til.
>>
> Og jeg ved ikke hvorfor man skulle have mindre tiltro til dem end så mange
> andre programører.

Fordi de allerede har vist at de er villige til at ofre andres sikkerhed
ved at installere en key som enhver idiot kan få adgang til.

>> Nej, man kan sætte SSH op til at spørge om password efter
>> authentication, jeg har dog ikke fundet noget dokumentation på hvordan
>> man gør. Men det er mig bekendt stadig SSH der spørger om passwordet.
>>
> Ja, men ikke ssh der auhentikerer det....
>
> Ligesom nxserveren. Den spørger om passwordet og videregiver det til dit
> auhentikations program (login)

Eller lader som om. Eller har adskillige buffer-overflows. Der er mange
muligheder, og når folkene bag allerede har bevist at de er ligeglade
med sikkerhed, må man antage at de ikke engang har forsøgt at undgå
sikkerhedshuller.

Medmindre du kan bevise at koden er sikker, for alt tyder på det
modsatte.

>> PS: Du forsøger virkelig, men indtil videre er det kun lykkedes dig at
>> få mig til at holde fingrene endnu længere væk fra NX.
>
> Ja, jeg er virkelig af den opfattelse at NX er geialt.

Et stort amerikansk firma er af den opfattelse af ActiveX er genialt...
Det er bare ikke grund nok til at ofre sikkerheden, specielt ikke når
det samme kan gøres uden at ofre sikkerheden, uanset at det måske
tager et par millisekunder mere at opdatere skærmen.

Mvh
Kent
--
Hard work may pay off in the long run, but laziness pays off right now.

---

Kent Friis wrote:
> Man kan så fjerne *en* backdoor, men ville du stole på at der ikke
> er flere i kode fra programmører der allerede har vist at de er
> villige til at putte en backdoor ind?
>

Jeg tror egentlig også du blander lidt sammen mht. hvad der er inde i
programmet, og hvad der er certifikater medleveret med programmet.

/A

---

Den Thu, 27 Oct 2005 23:43:21 +0200 skrev /-\ndlo:
> Kent Friis wrote:
>> Man kan så fjerne *en* backdoor, men ville du stole på at der ikke
>> er flere i kode fra programmører der allerede har vist at de er
>> villige til at putte en backdoor ind?
>
> Jeg tror egentlig også du blander lidt sammen mht. hvad der er inde i
> programmet, og hvad der er certifikater medleveret med programmet.

Og jeg tror begrebet sikkerhed er ukendt for dig.

Programmører der engang har bevist at de er villige til at ofre
brugernes sikkerhed for at gøre det en smule nemmere at installere deres
program, kan jeg ikke have tillid til. Hvem ved hvad de ellers har af
sikkerhedshuller, både bevidste (som denne) og bugs der kunne være
undgået hvis de havde været bare en lille smule interesseret i at
lave et sikkert system?

Det kommer ikke ind på nogen af mine maskiner, og jeg vil naturligvis
også fraråde andre at installere programmet.

Mvh
Kent
--
Hard work may pay off in the long run, but laziness pays off right now.

---

Kent Friis wrote:
>> Jeg tror egentlig også du blander lidt sammen mht. hvad der er inde i
>> programmet, og hvad der er certifikater medleveret med programmet.
>
> Og jeg tror begrebet sikkerhed er ukendt for dig.
>
Det ar da ærgeligt. For netop det at sætte sig ind i hvordan de enkelte dele
fungerer er jo netop noget af det vigtigste mht sikkerhed.

> Programmører der engang har bevist at de er villige til at ofre
> brugernes sikkerhed for at gøre det en smule nemmere at installere deres
> program, kan jeg ikke have tillid til. Hvem ved hvad de ellers har af
> sikkerhedshuller, både bevidste (som denne) og bugs der kunne være
> undgået hvis de havde været bare en lille smule interesseret i at
> lave et sikkert system?

Jeg ser det altså ikke som at man ofre brugerens sikkerhed. Brugeren er
præcis lige så sikret som før NX blev installeret. At man så kan forbedre
sikkerheden ved at skifte nøglerne ud er jo blot en fordel.

>
> Det kommer ikke ind på nogen af mine maskiner, og jeg vil naturligvis
> også fraråde andre at installere programmet.
>
Det er også ærgeligt, for der er mange muligheder med NX. Den kan bla også
opsættes til at være gateway for RDP og VNC således at den trafik kommer
ind i en ssh tunnel. Det er helt sikkert en sikkerheds frbedring.

/A

---

Den Fri, 28 Oct 2005 00:07:52 +0200 skrev /-\ndlo:
> Kent Friis wrote:
>>> Jeg tror egentlig også du blander lidt sammen mht. hvad der er inde i
>>> programmet, og hvad der er certifikater medleveret med programmet.
>>
>> Og jeg tror begrebet sikkerhed er ukendt for dig.
>>
> Det ar da ærgeligt. For netop det at sætte sig ind i hvordan de enkelte dele
> fungerer er jo netop noget af det vigtigste mht sikkerhed.

Man behøver ikke at sætte sig ind i alle delene, kæden er alligevel
ikke stærkere end det svageste led.

>> Programmører der engang har bevist at de er villige til at ofre
>> brugernes sikkerhed for at gøre det en smule nemmere at installere deres
>> program, kan jeg ikke have tillid til. Hvem ved hvad de ellers har af
>> sikkerhedshuller, både bevidste (som denne) og bugs der kunne være
>> undgået hvis de havde været bare en lille smule interesseret i at
>> lave et sikkert system?
>
> Jeg ser det altså ikke som at man ofre brugerens sikkerhed. Brugeren er
> præcis lige så sikret som før NX blev installeret.

Hvem kendte deres private keys før?

> At man så kan forbedre
> sikkerheden ved at skifte nøglerne ud er jo blot en fordel.

Kan man? Jeg ville i den situation betragte maskinen som compromised.
Ved du hvad folk i sikkerhedsgruppen anbefaler som eneste løsning når
maskinen er compromised?

Reinstall.

>> Det kommer ikke ind på nogen af mine maskiner, og jeg vil naturligvis
>> også fraråde andre at installere programmet.
>>
> Det er også ærgeligt, for der er mange muligheder med NX. Den kan bla også
> opsættes til at være gateway for RDP og VNC således at den trafik kommer
> ind i en ssh tunnel. Det er helt sikkert en sikkerheds frbedring.

Hvordan er det en sikkerhedsforbedring at tage protokoller man normalt
kører over SSH eller VPN, og proppe dem ind i en SSH hvor enhver idiot
kan få fat i key'en?

Mvh
Kent
--
Hard work may pay off in the long run, but laziness pays off right now.

---

Kent Friis wrote:
>> Jeg ser det altså ikke som at man ofre brugerens sikkerhed. Brugeren er
>> præcis lige så sikret som før NX blev installeret.
>
> Hvem kendte deres private keys før?
>
ssh benytter i standart opsæt ikke authentikation med offentlig og private
nøgler. Så min forudsætning var at der ikke var nøgler indblandet.

>> At man så kan forbedre
>> sikkerheden ved at skifte nøglerne ud er jo blot en fordel.
>
> Kan man? Jeg ville i den situation betragte maskinen som compromised.
> Ved du hvad folk i sikkerhedsgruppen anbefaler som eneste løsning når
> maskinen er compromised?
>
> Reinstall.
>

Du reinstallerer måske også efter du har installeret en webserver (apache
feks). Den giver mulighed for afvikling af programmer på din maskine.

>
> Hvordan er det en sikkerhedsforbedring at tage protokoller man normalt
> kører over SSH eller VPN, og proppe dem ind i en SSH hvor enhver idiot
> kan få fat i key'en?

Det er ikke en forbedring i den sammenligning. Så er det faktisk det samme.
Forbedringen ligger i den enkelte brug (også selvom man benytter andre
nøgler), og den mærkbare forbedring der er i komprimeringen af X
protekollen.

/A

---

Den Fri, 28 Oct 2005 01:27:35 +0200 skrev /-\ndlo:
> Kent Friis wrote:
>>> Jeg ser det altså ikke som at man ofre brugerens sikkerhed. Brugeren er
>>> præcis lige så sikret som før NX blev installeret.
>>
>> Hvem kendte deres private keys før?
>>
> ssh benytter i standart opsæt ikke authentikation med offentlig og private
> nøgler. Så min forudsætning var at der ikke var nøgler indblandet.

Men det er de bagefter.

Før var der ikke nogen der kendte deres private keys (hvis der slet
ikke er nogen, kan der jo heller ikke være nogen der kender dem), og
det er der bagefter. Det er et fald i sikkerheds-niveau.

Som standard giver SSH ikke adgang til at køre programmer (uanset
om det så er bash eller nxserver) før man er authenticated.

>>> At man så kan forbedre
>>> sikkerheden ved at skifte nøglerne ud er jo blot en fordel.
>>
>> Kan man? Jeg ville i den situation betragte maskinen som compromised.
>> Ved du hvad folk i sikkerhedsgruppen anbefaler som eneste løsning når
>> maskinen er compromised?
>>
>> Reinstall.
>
> Du reinstallerer måske også efter du har installeret en webserver (apache
> feks). Den giver mulighed for afvikling af programmer på din maskine.

Hvis det viser sig at skumle typer har haft mulighed for at afvikle
programmer på min maskine, er det eneste udvej. Det gør den ikke som
standard, men hvis man kommer til at putte bash i cgi-bin, gør den
godt nok.

>> Hvordan er det en sikkerhedsforbedring at tage protokoller man normalt
>> kører over SSH eller VPN, og proppe dem ind i en SSH hvor enhver idiot
>> kan få fat i key'en?
>
> Det er ikke en forbedring i den sammenligning. Så er det faktisk det samme.

"For lave værdier af 5"... En compromised private key er for mig ikke
det samme som en ikke compromized private key.

> Forbedringen ligger i den enkelte brug (også selvom man benytter andre
> nøgler), og den mærkbare forbedring der er i komprimeringen af X
> protekollen.

ssh komprimerer den også. Men uanset at NX kan gøre det en anelse bedre,
så er det stadig ikke værd at ofre sikkerheden for.

Mvh
Kent
--
Hard work may pay off in the long run, but laziness pays off right now.

---

Den Wed, 26 Oct 2005 22:37:30 +0200 skrev Steen:
> Jeg savner en linux-pendant til Windows' Remote Desktop Connection, dvs. en
> grafisk brugerflade til en remote-maskine. Sagen er den, at jeg har en
> Ubuntu-box stående på loftet med strøm og netværk og ikke andet i.
> Oprindeligt var jeg logget ind, hvorfor jeg kunne VNC'e til den, men efter
> en genstart kan jeg jo ikke logge ind grafisk, så nu har jeg mistet
> VNC-muligheden.
>
> Jeg har ladet mig fortælle, at Cygwin er en mulighed, hvorfor jeg har
> downloadet og installeret den på min XP, men hvordan jeg får mit
> linux-skrivebord frem, kan jeg ikke hitte ud af.

Cygwin er overkill, XWin32 findes i en gratis localhost-only version,
som kombineret med putty's ssh-forwarding virker fint til formålet. Jeg
kan ikke lige huske URL'en, men sig til hvis du ikke kan finde den. Jeg
opdagede den ved et tilfælde da jeg var inde og kigge på Microsofts
Services for Unix.

Mvh
Kent
--
Hard work may pay off in the long run, but laziness pays off right now.

---

Kent Friis <nospam@nospam.invalid> writes:

> Cygwin er overkill, XWin32 findes i en gratis localhost-only version,
> som kombineret med putty's ssh-forwarding virker fint til formålet. Jeg

Har du faktisk prøvet? Jeg prøvede for nogen tid siden, og den
opdager altså det her lille stunt.


--
Thorbjørn Ravn Andersen
http://unixsnedkeren.dk - Unix, Java, Web, Netværk, Århus

---

Den 27 Oct 2005 18:18:38 +0200 skrev Thorbjoern Ravn Andersen:
> Kent Friis <nospam@nospam.invalid> writes:
>
>> Cygwin er overkill, XWin32 findes i en gratis localhost-only version,
>> som kombineret med putty's ssh-forwarding virker fint til formålet. Jeg
>
> Har du faktisk prøvet? Jeg prøvede for nogen tid siden, og den
> opdager altså det her lille stunt.

Jeps, og er faktisk gået over til at bruge den i stedet for den
(version 6.x) i stedet for den registrerede version 4.x, da der
er kommet nogle forbedringer, så som OpenGL support i version 6,
og registrerings-nøglen kun gælder til version 4.

Mvh
Kent
--
Hard work may pay off in the long run, but laziness pays off right now.