Ubuntu远程桌面密码中存在安全漏洞



我希望其他人能为我确认这一点,然后我可以将其传递给Canonical或TightVNC

我通过使用SSH隧道将远程连接到ubuntu 12.10桌面——也就是说,从我所在的桌面使用putty将SSH连接到远程桌面。Putty被配置为打开远程桌面端口的ssh隧道,例如5900

然后,我使用TightVNC查看器将VNC连接到localhost:5900,然后它通过ssh进行隧道传输并将我连接起来——这是ssh隧道的一个小教训,但不是问题所在。此外,我不使用端口5900-隧道很方便,可以避免打开防火墙上的端口,但我跑题了。。。

远程ubuntu桌面配置为允许使用密码进行远程连接。TightVNC提示我输入密码。Ubuntu接受ANY密码,前提是我输入的密码以实际密码开头。意思是,如果我的密码是FOO-FOOBAR有效,FOO1234有效等

这是故意的吗?这难道不会显著降低密码的有效性吗。

其他人能复制这个吗?我认为隧道工程与此无关。如果其他人可以使用VNC和密码远程进入ubuntu桌面并尝试这个,我很想听听。

密码限制为8个字符,因此会被查看器截断为该长度。

尽管TightVNC对通过网络发送的VNC密码进行加密流量的一个或多个是按原样发送的、未加密的(对于密码加密,VNC使用DES加密的质询-响应方案,其中密码由8个字符限制,有效的DES密钥长度是56位)。[粗体添加]

来源http://www.tightvnc.com/faq.php

最新更新