Dans quelle mesure TeamViewer est-il sécurisé pour une assistance à distance simple?
Je déploie un système Web ERP pour un client, de sorte que le serveur et les machines clientes seront à l'intérieur de l'intranet du client. J'ai été informé dans ne autre question ne pas utiliser TeamViewer pour accéder au serveur, en utilisant des moyens plus sécurisés à la place, et moi aussi. Mais maintenant je me demande si TeamViewer serait approprié pour les machines clientes, qui ne sont pas "spéciales" pour ce système en particulier, mais néanmoins je ne veux pas abaisser leur sécurité actuelle, je ne veux pas non plus compromettre l'ordinateur de mon côté.
Ma question est alors de savoir si TeamViewer est "assez bon" pour une prise en charge de bureau à distance simple, où il sera utilisé simplement pour aider les utilisateurs à utiliser le système, et si je dois ou non prendre des mesures supplémentaires (comme changer les paramètres par défaut, changer le pare-feu, etc.) pour atteindre un niveau ou une sécurité satisfaisant.
Quelques détails:
J'ai déjà lu l'entreprise déclaration de sécurité et à mon avis non expert tout va bien. Cependant, cette réponse dans cette autre question m'a mis en doute. Après quelques recherches, UPnP en particulier ne m'inquiète plus, car la fonctionnalité qui l'utilise - DirectIn - est désactivée par défaut. Mais je me demande s'il y a d'autres choses dont je devrais être conscient qui ne sont pas couvertes dans ce document.
Wikipedia article sur TeamViewer dit que le port Linux utilise Wine. AFAIK qui n'affecte pas sa sécurité réseau, est-ce exact?
En définitive, la responsabilité de sécuriser les réseaux de mes clients n'est pas la mienne, c'est la leur. Mais je dois les conseiller sur les possibilités de mise en place de ce système, notamment parce que la plupart d'entre elles sont des petites et moyennes ONG sans personnel informatique propre. Souvent, je ne pourrai pas offrir une configuration "idéale", mais au moins je veux pouvoir donner des conseils comme: "si vous installez TeamViewer sur cette machine, vous ne pourrez pas faire X, Y et Z dedans, car je vais le désactiver "; ou: "vous pouvez installer TeamViewer sur n'importe quelle machine ordinaire que vous voulez, il est sûr dans sa configuration par défaut; seul celui-ci * pointe vers le serveur * est interdit".
Mon choix de TeamViewer était uniquement parce qu'il était simple à installer sur les machines Windows et Linux, et cela fonctionne simplement (son coût est également accessible). Mais je suis ouvert à d'autres suggestions. Je suis faible en budget et en personnel spécialisé, donc je vais pour les outils les plus simples, mais je veux prendre une décision consciente quoi que ce soit.
Il existe quelques différences entre l'utilisation d'un fournisseur tiers (tel que TeamViewer) et une solution de contrôle à distance directe (par exemple, VNC)
Team Viewer présente des avantages en ce qu'il ne nécessite pas l'ouverture de ports sur le pare-feu pour les connexions entrantes, ce qui supprime un point d'attaque potentiel. Par exemple, si vous avez quelque chose comme l'écoute VNC (et qu'il n'est pas possible de restreindre les adresses IP source pour les connexions), s'il y a une vulnérabilité de sécurité dans VNC, ou si un mot de passe faible est utilisé, alors il y a un risque qu'un attaquant puisse utilisez ce mécanisme pour attaquer votre client.
Cependant, il y a un compromis à cela, c'est que vous offrez un niveau de confiance aux personnes qui créent et exécutent le service (dans ce cas, TeamViewer). Si leur produit ou leurs serveurs sont compromis, il est possible qu'un attaquant puisse l'utiliser pour attaquer toute personne utilisant le service. Une chose à considérer est que si vous êtes un client payant du service, vous pouvez avoir un retour contractuel s'il est piraté (bien que cela dépendra très probablement du service en question et de toute une série d'autres facteurs)
Comme tout ce qui concerne la sécurité, c'est un compromis. Si vous avez un produit de contrôle à distance décemment sécurisé et que vous le gérez et le contrôlez bien, je serais enclin à dire que c'est probablement une option plus sûre que de compter sur un tiers de quelque sorte que ce soit.
Cela dit, si les affirmations sur le site Web TeamViewers sont exactes, il semble probable qu'elles accordent une assez grande attention à la sécurité, et vous pouvez également considérer que si quelqu'un pirate TeamViewer (qui a un assez grand nombre de clients), quelle est la chance que ils vous attaqueront :)
Jetez un œil à cette analyse de sécurité de TeamViewer. En bref, ce n'est certainement pas sécurisé sur les réseaux non approuvés: https://www.optiv.com/blog/teamviewer-authentication-protocol-part-1-of-
Conclusion:
Je recommande que TeamViewer ne soit pas utilisé sur un réseau non approuvé ou avec les paramètres de mot de passe par défaut. TeamViewer prend en charge l'augmentation de la force du mot de passe à une longueur configurable et l'utilisation de codes d'accès alphanumériques, mais il est peu probable que les utilisateurs occasionnels aient modifié ce paramètre. communication en texte brut entre le client et le serveur (plus de 100 commandes sont prises en charge et analysées côté client), ainsi que de nombreuses commandes d'égal à égal, acheminées via le serveur de passerelle. Malgré le danger pour cette surface d'attaque très exposée, le risque est quelque peu atténué par une utilisation intensive de std :: string et std :: vector au lieu de chaînes et de tableaux de style C.
Je veux juste ajouter une réponse qui, je pense, n'a pas encore été abordée. Lorsque vous vous connectez via TeamViewer à un autre ordinateur, vous partagez votre presse-papiers avec cet ordinateur (par défaut).
Par conséquent, tout ce que vous copiez dans votre presse-papiers est également copié dans le presse-papiers de l'ordinateur auquel vous êtes connecté. En installant une application de suivi du presse-papiers telle que ClipDiary , sur l'ordinateur hôte, vous pouvez conserver un enregistrement de tout ce qui a été copié dans le presse-papiers par la personne qui se connecte à vous.
La plupart des réponses se concentrent ici sur la sécurité de l'ordinateur utilisé en tant qu'hôte, mais c'est également un problème de sécurité potentiel pour l'ordinateur se connectant à l'hôte, surtout si vous utilisez un outil de gestion de mot de passe tel que KeePass, en tant qu'hôte. l'ordinateur peut potentiellement avoir un enregistrement des noms d'utilisateur et des mots de passe (et potentiellement des URL si vous copiez également l'URL de KeePass vers votre navigateur) dans l'historique du presse-papiers après la fin de votre session.
Je ne connais pas assez TeamViewer pour vous donner une évaluation de ses risques ou si c'est un bon choix pour votre situation. Mais je vais réitérer un commentaire de @Lie Ryan. Si vous déployez TeamViewer à cette fin, un moyen potentiel de réduire le risque d'attaques à distance consiste à configurer un pare-feu (sur les deux points de terminaison) qui bloque tout accès aux ports TeamViewer, à l'exception des machines autorisées.
À propos de TeamViewer, il y a deux choses que je pense que vous devez garder à l'esprit:
- Vous ne pouvez pas facilement regarder la source et vérifier sa sécurité, et c'est une surface d'attaque face au réseau. Ce n'est pas si bien - si vous êtes en mesure de faire un serveur OpenSSH avec l'authentification par mot de passe désactivé la partie accessible à Internet à la place, faites-le. (Vous souhaiterez peut-être donner à l'utilisateur une méthode pour démarrer/arrêter le serveur.) Par le biais du tunnel OpenSSH, vous pouvez simplement utiliser le VNC lié à l'hôte local pour vous connecter à l'écran. Bien sûr, cette méthode ne fonctionne pas si bien si les PC en question sont derrière un pare-feu NAT/trop zélé et que vous n'avez aucun moyen de vous mettre derrière ce pare-feu. Idées pour le contourner:
- Vous pouvez utiliser un hack comme http://samy.pl/pwnat/ pour les ouvrir aux connexions depuis Internet.
- Vous pouvez faire le tunnel SSH dans le sens inverse: quand ils veulent du support, ils démarrent un script qui crée un tunnel SSH à votre serveur de support et connecte une connexion TCP au serveur VNC au SSH Votre serveur de support a la clé publique du client dans son fichier authorized_keys avec une commande forcée qui connecte le client à votre client VNC inversé.
- Si vous l'utilisez, assurez-vous de ne jamais avoir un système fonctionnant avec ce stupide système de mot de passe à 4 chiffres. Oui, ils ont des temps de verrouillage exponentiels, mais d'abord, vous ne voulez pas que le support soit verrouillé aussi facilement et la deuxième chose, eh bien, que se passe-t-il si quelqu'un essaie juste une combinaison aléatoire sur 100000 PC exécutant teamviewer? Il obtiendra environ 100 connexions établies sans se heurter à aucun verrouillage, je pense - afaik, le verrouillage est complètement côté client.
Teamviewer n'est pas une période sécurisée. Pensez-y. Teamviewer peut être configuré pour toujours utiliser le même ID partenaire et le même mot de passe. Un code similaire peut être créé et lancé simplement par l'utilisateur en cliquant sur un e-mail. Excellent outil? Absolument .. pour les gars comme moi qui prennent en charge un grand nombre d'utilisateurs distants qui ne peuvent pas distinguer un deux-points d'un point-virgule. Mais sécurisé? Pas du tout comment. Teamviewer permet l'accès à distance à un PC et peut contourner Cisco VPN ou toute autre sécurité VPN. Cette merde sur l'utilisateur final devant donner l'ID du partenaire et passer est juste que ... merde. Cela peut être contourné très facilement. Ne vous méprenez pas. J'aime Teamviewer. Mais ne te fais pas d'illusions, ce n'est pas sûr du tout.
Je suggérerais une solution native telle que VNC, vous permettant d'omettre des solutions de contournement telles que TeamViewer dans WINE, etc., ainsi que d'utiliser l'utilitaire de gestion des packages des systèmes d'exploitation locaux pour vous assurer que la solution reste à jour. Pour des raisons de sécurité, utilisez un tunnel SSH. Cela garantit que toutes les communications VNC sont cryptées, y compris la négociation initiale d'authentification/mot de passe VNC. Ceci est particulièrement important car de nombreuses implémentations VNC sont plutôt peu sécurisées.
De plus, comme l'a suggéré un autre répondant, utilisez le filtrage IP pour vous assurer que seuls ceux à certaines adresses sont capables de communiquer avec le serveur VNC.
Une façon de le gérer: si le client demande la disponibilité de TeamViewer, tilisateur démarre TeamViewer à la demande et admin le tue à la fin des tâches. Une autre solution que nous avons déployée dans un tel cas est que TeamViewer est démarré à partir d'une session SSH par l'administrateur. Vous pouvez également consulter les outils de partage de bureau "invitez-moi". Ou mon préféré: mettre en miroir la Xsession via SSH sur votre bureau.