In der gegenwärtigen Wirtschaftslage wenden wir uns zunehmend Fernverwaltungswerkzeugen zu, um auf den Arbeitsplatz eines Mitarbeiters oder Kunden zuzugreifen. Vor nicht allzu langer Zeit waren die Systemadministratoren bei den Worten "Fernzugriff" und "Portweiterleitung" merklich traurig. Jetzt müssen Sie nicht mehr nach kompatiblen Produkten suchen, um verschiedene Arten von Betriebssystemen zu verbinden. Es reicht aus, Team Viewer (TV) zu installieren. Starten Sie es einfach, Sie müssen es nicht einmal installieren. Darüber hinaus können Sie im Fernsehen auch anrufen, den Gesprächspartner sehen, seine überraschte Stimme hören, und jetzt bewegen Sie sich bereits mit der Maus über den Desktop eines anderen. Aber wie funktioniert es? Welche Fallstricke können Sysadmins hier bedrohen? In diesem Artikel möchte ich das Funktionsprinzip dieser beliebtesten Software betrachten und auch mit Analoga vergleichen - Anydesk, AmyAdmin, Radmin, Google-Remotedesktop, Dameware und Lite Manager.
Team Viewer
- Team Viewer GMBH 2005 .
- - , Windows, Linux, MacOS, Android Chrome app IoT enterprise — . - - ( ) . - Flash.
- .
- , , , AES-256, — RSA-4096.
- Team Viewer , . – .
NAT
Ich denke, es ist unnötig, auf Habré viel über NAT zu sprechen. Kurz gesagt - der Mechanismus übersetzt lokale IP-Adressen von Netzwerken in eine externe Öffentlichkeit und wird im Internet weitergeleitet und umgekehrt. Arbeitet am Rande des Netzwerks.
Wenn Sie jedoch über Fernsehen sprechen, ist es wichtig, sich an die Grundlagen zu erinnern und die RFC-Klassifizierung von NAT-Netzwerken kurz zu wiederholen, um die möglichen Optionen zum Herstellen einer Verbindung zu verstehen:
- Vollkegel-NAT oder NAT-Eins-zu-Eins - eindeutige Übersetzung von Paaren. Alle Pakete von der internen IP-Adresse: Port-Paar durchlaufen die externe IP-Adresse: Port-Paar. Jeder externe Host kann Pakete über ein externes IP-Adresse: Port-Paar an eine interne Adresse: Port weiterleiten, sofern dies von der Firewall zugelassen wird.
- Restricted Cone NAT – («») : . , NAT , . c — .
- Port-restricted Cone NAT – , , , .
- Symmetrisches NAT oder symmetrisches NAT - bei dieser Verbindung wird die interne Adresse: Port in ein zufälliges freies Paar konvertiert - externe Adresse: Port. Da das Paar dynamisch ist - selbst wenn derselbe interne Host eine Verbindung von demselben Port zu einem anderen Ziel gesendet hat, ändert sich das Zuordnungspaar dynamisch. Infolgedessen kann der externe Host das Paket nur an den internen Host zurücksenden. In diesem Fall ist eine Verbindungsinitiierung über das öffentliche Netzwerk nicht möglich.
Es gibt auch NAT-Implementierungen, die diese Prinzipien kombinieren und sich daher eindeutig verhalten.
Über die Grundprinzipien des Fernsehens
Team Viewer ist gleichzeitig Server und Client. Die TV-Anwendung verwendet Proxyserver im Internet für Keep-Alive-Verbindungen. Der VP-Verbindungstyp wird vom Fernsehgerät selbst ausgewählt und installiert.
Die Entwickler geben den genauen Algorithmus nicht bekannt. Gemäß der Analyse des gesamten Protokolls stehen jedoch folgende Optionen zur Verfügung:
- Eine Verbindung mit zwei externen IPs ohne NAT ist der einfachste und häufigste Fall beim Aufbau einer VPN-Verbindung, was für uns nicht interessant ist.
- IP- . , , , , . IP - TV. TCP UDP-. UDP hole punching. – , TV , . TV . , , , . . , TV, , , . , «firewall pinhole» .
- «» IP, (NAT). , NAT . TV https-. . – . , TV. 4G- hotspot .
Trotz der enormen Vereinfachung der Verbindungsaufgaben ergeben sich die Nachteile solcher Steuerungssysteme direkt aus ihren Vorteilen:
TV verfügt über schnelle Support-Versionen, die keine Installations- oder Administratorrechte erfordern und sogar von einem USB-Flash-Laufwerk ausgehen. Es reicht aus, der Person einen Link-Link zum Programm zu geben. Eine solche Version kann mit einem bekannten Kennwort erstellt werden. Obwohl für eine einzelne Sitzung ein Limit von 5 Minuten festgelegt ist, reicht dies völlig aus, um Fuß zu fassen und die Kontrolle über das Betriebssystem zu übernehmen oder geheime Daten zu erhalten.
Das Fernsehen hat der Entwicklung von Fernzugriffs- und Steuerungsprogrammen einen starken Impuls gegeben. Es gibt Dutzende von Alternativen - unter den in unserem Land bekannten Anydesk, AmyAdmin, Radmin, Google Remote Desktop, Dameware und Lite Manager. Während die Pandemie 2020 einen unglaublichen Anstieg der Nachfrage ausgelöst hat, sind nicht alle Anbieter so groß wie das Fernsehen geworden, um mit den Sicherheitsbedenken Schritt zu halten.
Amyadmin. 2016 ist er dafür berüchtigt, einen Angriff auf seine Website überlebt zu haben, wodurch die offizielle Distribution zusammen mit dem Lurk-Trojaner installiert wurde. Obwohl das Problem vor langer Zeit behoben wurde, behinderte es die Popularität des Produkts.
Anydesk.Ein sensationelles Produkt sowohl in Russland als auch in der Welt, dank des Bereichs des banknahen Betrugs und Handels. Es gibt einen bekannten Fall von Kundenbetrug (Betrug) in der Reserve Bank of India im Jahr 2019. Anydesk wurde angeboten, sich unter dem Deckmantel eines Chats zu stellen, um Probleme zu lösen. Im Jahr 2018 wurden inoffiziell modifizierte, getarnte Anydesk-Baugruppen, die für Cyberkriminalität verwendet wurden, von den Japanern von Trend Micro als Virensignaturen hinzugefügt. Seitdem kann Software in verschiedenen Antivirenprogrammen wie ein Virus funktionieren. In der Tat hat Anydesk sogar technologische Vorteile gegenüber dem Fernsehen in Form eines produktiveren DeskRT-Videocodecs, der den Datenverkehr komprimiert und 60 Bilder / s gegenüber 30 erzeugt, sowie einer liberaleren Lizenz.
Chrome OS-Desktop- funktioniert direkt über den Browser, der auch von einer virtuellen Maschine oder einem Container aus gestartet werden kann. Ein Beispiel ist der Google Chrome-Remotedesktop in einer isolierten Umgebung (Application Guard-Technologie) für den Windows 10 Edge-Browser. Gleichzeitig hat die Anwendung keine Verbindung zum Hauptbetriebssystem, keinen Zugriff auf Datenträger oder die Zwischenablage. Wenn das Fenster geschlossen wird, wird der Container vollständig zerstört.
Der Chrome OS-Desktop ist kostenlos und das sagt schon alles. Sie können Ihr Mobilgerät jedoch weder von einem PC aus steuern noch Ihr Telefon von einem Telefon aus einrichten. In dieser Hinsicht ist der Chrome OS-Desktop dem Fernseher deutlich unterlegen.
Antivirenprogramme klassifizieren diese Programme weiterhin als Riskware - möglicherweise gefährlich für die Bereitstellung des Remotezugriffs. Die Cybersecurity-Community charakterisiert eine separate Kategorie von Kriminellen - Betrüger des technischen Supports. Dies sind Gauner, die vorgeben, legitime Fernunterstützung für große Unternehmen zu sein. Das Grundschema basiert auf Kaltakquise und Social Engineering, um die Installation eines Fernsehgeräts oder ähnlichem zu erreichen. Dann sind ihre Ansätze erfinderisch:
- Installation eines Keyloggers;
- bezahlte Erneuerung von "abgelaufenen Lizenzschlüsseln";
- das Opfer davon zu überzeugen, dass es von Hackern angegriffen wird, indem Befehle in cmd - netstat oder Rekursionsverzeichnissen ausgeführt werden;
- Herunterladen oder Löschen vertraulicher Dokumente durch Ablenkung und Lösegeldforderung;
- Sperren des Betriebssystems durch Festlegen eines Startkennworts;
- viel mehr als den Rahmen dieses Artikels.
Die erste Erwähnung solcher Fälle begann im Jahr 2008. Da das Fernsehen in 30 Sprachen übersetzt wurde und in fast allen Ländern der Welt beliebt ist, haben viele darunter gelitten. Laut Statistik wird das Fernsehen bereits von über 300 Millionen Menschen genutzt.
Die leistungsstärksten Maßnahmen zum Schutz von Verbindungen vor Team Viewer
- Die Software ist durch eine Verisign-Signatur geschützt.
- TV wurde für die Einhaltung der Norm ISO 27001 zertifiziert.
- Sitzungsaufzeichnung eingeführt.
- Das Autorisierungsprotokoll wurde in SRP geändert, die Tasten wurden im Fernsehen verstärkt. Der Schlüsselaustausch erfolgt über RSA 4096 und die Sitzung wird mit AES 256 verschlüsselt. TV versichert, dass "Man in the Middle Attack" unmöglich ist.
- Zwei-Faktor-Authentifizierung für die Anmeldung bei einem Datensatz implementiert.
- Für eingehende Verbindungen, einschließlich Verbindungen außerhalb des ursprünglichen Netzwerks, wurde eine Sperrliste eingeführt.
- Die Möglichkeit eines uneingeschränkten Testzugriffs ohne Genehmigung wurde (seit 2016) zerstört.
Trotz der Maßnahmen zum Schutz von Unternehmen sind Kontrollen wie das Fernsehen für Administratoren ein Kontrollverlust und große Kopfschmerzen. Zusammen mit den gepanzerten Gates von Sicherheitsgateways für Unternehmen mit Autorisierung und Kontrolle von Remotebenutzern erhalten diese ein ständig geöffnetes Gate, über das Sie auf das gesamte Intranet zugreifen können, ohne Ports zu öffnen, ohne VPN-Sitzungsprotokolle zu autorisieren und zu hinterlassen.
Ein Link zur Software kann von überall und von jedem kommen. Es reicht aus, zumindest einen gewissen Zugang zum Internet zu haben, und Sie können bereits einen verschlüsselten Dialog führen und den PC steuern. Und dann gibt es BYOD (persönliche) Geräte, die zum Laufen bringen, auf denen TV oder ein gleichwertiges Gerät standardmäßig installiert werden kann.
Ja, es gibt DLP-Lösungen, die den Start von Prozessen und neuen Gateways wie Checkpoint oder Palo Alto erkennen und den Datenverkehr nicht nach Ports, sondern nach Anwendungssignaturen analysieren und blockieren können. Sie müssen jedoch identifiziert und hinzugefügt werden. Und wie viele solcher Versionen kann es geben!
Wenn Sie diese Software nach Bedarf verwenden, können Sie zu einer Reihe von Empfehlungen gelangen, die von den Entwicklern selbst verfasst wurden.
Entwicklerempfehlungen bei Verwendung von TV oder Analoga
- Verlassen Sie Ihren PC nicht während einer Sitzung.
- Zeichnen Sie nach Möglichkeit die Sitzungen anderer Personen auf.
- Entfernen oder deaktivieren Sie die Software nach dem Gebrauch.
- Verwenden Sie Software, die Sie selbst heruntergeladen und installiert haben, nicht die, die Ihnen gesendet wurde.
- Akzeptieren Sie keine Hilfe von Fremden - der "Anbieter" oder "Microsoft" bietet nicht an, eine solche Lösung herunterzuladen und zu verwenden.
Insgesamt fasziniert mich das Team Viewer-Konzept. Es ist ein revolutionäres Produkt, das Komfort, Sicherheit und Funktionalität in Einklang bringt. Es funktioniert einfach, Sie müssen keine Ports weiterleiten oder auf die Details des Routings zwischen Netzwerken eingehen oder Firewalls konfigurieren, bei denen dies einfach unmöglich ist. Behandeln Sie es vorsichtig wie eine geladene Waffe: Wissen Sie, wen Sie anschließen dürfen, regulieren Sie die Nutzung, wenn es um Unternehmen geht, und das Leben wird einfacher. Artikelautor
: Galiulin Timur GTRch