Dans le contexte économique actuel, nous nous tournons de plus en plus vers des outils de gestion à distance pour accéder au lieu de travail d'un employé ou d'un client. Il n'y a pas si longtemps, les administrateurs système étaient visiblement tristes aux mots «accès à distance» et «redirection de port». Désormais, vous n'avez plus besoin de chercher des produits compatibles pour connecter différents types de systèmes d'exploitation, il suffit d'installer Team Viewer (TV), il suffit de le démarrer, vous n'avez même pas à l'installer. De plus, à la télévision, vous pouvez également appeler, voir l'interlocuteur, entendre sa voix surprise, et maintenant vous vous «déplacez» déjà avec votre souris sur le bureau de quelqu'un d'autre. Mais comment ça fonctionne? Quels pièges peuvent menacer les administrateurs système? Dans cet article, je souhaite examiner le principe de fonctionnement de ce logiciel le plus populaire et le comparer également avec des analogues - Anydesk, AmyAdmin, Radmin, Google Remote Desktop, Dameware et Lite Manager.
Team Viewer
- Team Viewer GMBH 2005 .
- - , Windows, Linux, MacOS, Android Chrome app IoT enterprise — . - - ( ) . - Flash.
- .
- , , , AES-256, — RSA-4096.
- Team Viewer , . – .
NAT
Je pense qu'il n'est pas nécessaire de parler beaucoup de NAT sur Habré. En bref - le mécanisme traduit les adresses IP locales des réseaux en public externe et acheminées sur Internet et vice versa. Fonctionne en bordure du réseau.
Cependant, lorsque vous parlez de télévision, il est important de se rappeler les bases et de raconter brièvement la classification RFC des réseaux NAT pour comprendre les options possibles pour établir une connexion:
- Cône plein NAT ou NAT one-to-one - traduction sans ambiguïté des paires. Tous les paquets de l'adresse IP interne: paire de ports passent par l'adresse IP externe: paire de ports. Tout hôte externe peut transférer des paquets vers une adresse interne: port via une adresse IP externe: paire de ports, à condition que cela soit autorisé par le pare-feu.
- Restricted Cone NAT – («») : . , NAT , . c — .
- Port-restricted Cone NAT – , , , .
- NAT symétrique ou NAT symétrique - avec cette connexion, l'adresse interne: port est convertie en une paire libre aléatoire - adresse externe: port. Étant donné que la paire est dynamique - même si le même hôte interne a envoyé une connexion du même port vers une autre destination, la paire de mappage change de manière dynamique. En conséquence, l'hôte externe ne peut renvoyer le paquet qu'à l'hôte interne. Dans ce cas, l'initiation de connexion depuis le réseau public n'est pas possible.
Il existe également des implémentations NAT qui combinent ces principes et, par conséquent, se comportent de manière unique.
À propos des principes de base de la télévision
Team Viewer est à la fois un serveur et un client. L'application TV utilise des serveurs proxy sur Internet pour les connexions persistantes. Le type de connexion VP est sélectionné et installé par le téléviseur lui-même.
Les développeurs ne divulguent pas l'algorithme exact, cependant, selon l'analyse du journal dans son ensemble, les options sont les suivantes:
- Une connexion avec deux IP externes, sans NAT est le cas le plus simple et le plus courant d'établissement d'une connexion VPN, ce qui ne nous intéresse pas.
- IP- . , , , , . IP - TV. TCP UDP-. UDP hole punching. – , TV , . TV . , , , . . , TV, , , . , «firewall pinhole» .
- «» IP, (NAT). , NAT . TV https-. . – . , TV. 4G- hotspot .
Malgré l'énorme simplification des tâches de connexion, les inconvénients de ces systèmes de contrôle découlent directement de leurs avantages: le
téléviseur dispose de versions de support rapide qui ne nécessitent pas d'installation ou de droits d'administrateur et démarrent même à partir d'une clé USB. Il suffit de donner à la personne un lien vers le programme. Une telle version peut être générée avec un mot de passe pré-connu et, bien qu'il y ait une limite pour une seule session de 5 minutes, cela suffit amplement pour prendre pied et prendre le contrôle de l'OS, ou pour obtenir des données secrètes.
La télévision a donné une impulsion puissante au développement de programmes d'accès et de contrôle à distance. Il existe des dizaines d'alternatives - parmi les plus connues dans notre pays Anydesk, AmyAdmin, Radmin, Google Remote Desktop, Dameware, Lite Manager. Alors que la pandémie de 2020 a provoqué une augmentation incroyable de la demande, tous les fournisseurs ne se sont pas développés aussi gros que la télévision pour répondre aux problèmes de sécurité.
Amyadmin. En 2016, il est connu pour avoir survécu à une attaque sur son site Web, à la suite de laquelle la distribution officielle a été installée avec le cheval de Troie Lurk. Bien que le problème ait été résolu il y a longtemps, il a entravé la popularité du produit.
Anydesk.Un produit sensationnel en Russie et dans le monde, grâce au domaine de la fraude et du trading quasi bancaire. Il y a un cas connu de fraude client (fraude) à la Reserve Bank of India en 2019. Anydesk s'est vu proposer de se faire passer pour un chat pour résoudre des problèmes. En 2018, des assemblages Anydesk non officiellement modifiés et déguisés utilisés pour la cybercriminalité ont été ajoutés par les Japonais de Trend Micro en tant que signatures de virus. Depuis lors, dans différents antivirus, les logiciels peuvent fonctionner comme un virus. En fait, Anydesk a même des avantages technologiques par rapport à la télévision sous la forme d'un codec vidéo DeskRT plus productif, qui compresse le trafic et produit 60 images / s contre 30, ainsi qu'une licence plus libérale.
Bureau Chrome OS- fonctionne directement à partir du navigateur, qui peut également être lancé à partir d'une machine virtuelle ou d'un conteneur. Un exemple est le bureau à distance de Google Chrome dans un environnement isolé (technologie Application Guard) pour le navigateur Windows 10 Edge. Dans le même temps, l'application n'a aucune connexion avec le système d'exploitation principal, aucun accès aux disques ou au presse-papiers; lorsque la fenêtre est fermée, le conteneur est complètement détruit.
Le bureau Chrome OS est gratuit et cela dit tout. Cependant, vous ne pouvez pas contrôler votre appareil mobile à partir d'un PC, ni configurer votre téléphone à partir d'un téléphone. À cet égard, le bureau Chrome OS est nettement inférieur à la télévision.
Les antivirus classent toujours ces programmes comme des logiciels à risque - potentiellement dangereux pour fournir un accès à distance. La communauté de la cybersécurité caractérise une catégorie distincte de criminels - les escrocs du support technique. Ce sont des escrocs prétendant être un support à distance légitime pour les grandes entreprises. Le schéma de base est basé sur la sollicitation à froid et l'ingénierie sociale afin de réaliser l'installation d'un téléviseur ou similaire, alors leurs approches sont inventives:
- installation d'un keylogger;
- renouvellement payé des «clés de licence expirées»;
- convaincre la victime qu'elle est attaquée par des pirates en exécutant des commandes dans cmd - netstat ou récursivité dir / s;
- télécharger ou supprimer des documents confidentiels par distraction et demander une rançon;
- verrouiller le système d'exploitation en définissant un mot de passe de démarrage;
- bien plus au-delà de la portée de cet article.
La première mention de ces cas a commencé en 2008. Depuis que la télévision est traduite en 30 langues et est populaire dans presque tous les pays du monde, beaucoup ont souffert. Selon les statistiques, la télévision est déjà utilisée par plus de 300 millions de personnes.
Les mesures les plus puissantes pour protéger les connexions de Team Viewer
- Le logiciel est protégé par une signature Verisign.
- TV a été certifié conforme à la norme ISO 27001.
- Enregistrement de session introduit.
- Le protocole d'autorisation a été changé en SRP, les clés ont été renforcées à la télévision. L'échange de clés est effectué via RSA 4096 et la session est cryptée avec AES 256. La télévision assure que «l'attaque de l'homme au milieu» est impossible.
- Implémentation de l'authentification à deux facteurs pour la connexion à un enregistrement.
- Une liste de blocage a été introduite pour les connexions entrantes, y compris celles en dehors du réseau d'origine.
- La possibilité d'accès illimité aux tests sans autorisation a été détruite (depuis 2016).
Malgré les mesures de protection des entreprises, pour les administrateurs, les contrôles tels que la télévision sont une perte de contrôle et un énorme casse-tête. Outre les portes blindées des passerelles de sécurité d'entreprise, avec autorisation et contrôle des utilisateurs distants, ils reçoivent une porte constamment ouverte à travers laquelle vous pouvez accéder à l'ensemble de l'intranet sans ouvrir de ports, sans autoriser et ne laisser aucun journal de session VPN.
Un lien vers le logiciel peut venir de n'importe où et de n'importe qui, il suffit d'avoir au moins un certain accès à Internet et vous pouvez déjà mener un dialogue crypté et contrôler le PC. Et puis il y a les appareils BYOD (personnels) qui mettent au travail, où la télévision ou son équivalent peut même être installé par défaut.
Oui, il existe des solutions DLP qui peuvent détecter le lancement de processus et de nouvelles passerelles comme Checkpoint ou Palo Alto, analysant et bloquant le trafic non pas par les ports, mais par les signatures d'applications, mais elles doivent être identifiées et ajoutées. Et combien de telles versions peut-il y en avoir!
Si vous utilisez un tel logiciel au besoin, vous pouvez arriver à un ensemble de recommandations rédigées par les développeurs eux-mêmes.
Recommandations aux développeurs lors de l'utilisation de la télévision ou des analogiques
- Ne quittez pas votre PC pendant une session.
- Enregistrez les sessions d'autres personnes, si possible.
- Supprimez ou désactivez le logiciel après utilisation.
- Utilisez le logiciel que vous avez téléchargé et installé vous-même, pas ce qui vous a été envoyé.
- N'acceptez pas l'aide d'étrangers - le «fournisseur» ou «Microsoft» ne proposera pas de télécharger et d'utiliser une telle solution.
Dans l'ensemble, le concept Team Viewer me fascine. C'est un produit révolutionnaire qui allie commodité, sécurité et fonctionnalité. Cela fonctionne simplement, vous n'avez pas besoin de transférer les ports, ni d'entrer dans les détails du routage entre les réseaux, ni de configurer des pare-feu là où il est tout simplement impossible de le faire. Traitez-le avec soin comme un pistolet chargé: sachez à qui vous autorisez à vous connecter, réglez l'utilisation en entreprise et la vie devient plus facile.
Auteur de l'article: Galiulin Timur GTRch