Следующие ответы зависят от того, запускаются ли сеансы VNC пользователями системы или они предварительно запускаются на сервере (например, вы обычно подключаетесь к менеджеру входа)

User Started Sessions

Как это возможно?

Насколько я понял, Centos7 обычно использует tigervnc.

Tigervnc использует аутентификацию по умолчанию, но любой, кто запускает vnc сервер, может передать опцию -SecurityTypes=None при запуске. Когда это сделано, не имеет значения, настроена ли ваша программа просмотра vnc на отправку учетных данных или нет; сервер не запрашивает никаких учетных данных и позволяет вам подключиться и увидеть сессию.

Поскольку запуск незащищенного vnc-сервера на Centos7 требует усилий, я бы сказал, что человек, использующий порт по умолчанию, не хотел, чтобы его беспокоили запросом пароля, и пошел на то, чтобы сделать свою сессию незащищенной.

Действительно ли это плохо?

Возможно, но это зависит от политики того, кто управляет сервером. Если он находится в доверенной сети и используется только доверенными людьми, то, возможно, все в порядке. Однако такое случается (или должно случаться) довольно редко. Обычно проблема возникает, когда кто-то может выдавать себя за другого без аутентификации, авторизации и аудита, иначе трудно доказать, кто на самом деле делал что-либо от чьего-либо имени.

Вы сделали что-то не так?

Пока вы не делали ничего от имени этого пользователя, вы не сделали ничего плохого. Неправильно поступил тот, кто запустил сервер.

Предварительно запущенный VNC

Как это возможно?

Если сервер настроен на пул серверов VNC или на запуск их по требованию, то если вы можете подключиться к чужому серверу без аутентификации, любой может подключиться к вашему без аутентификации (если только вы не запустите свой собственный сервер на машине для своей сессии и не включите аутентификацию).

Что произошло, так это то, что администратор неправильно настроил службу или специально хотел, чтобы она была небезопасной. Конфигурация, вероятно, должна была вызвать экран приветствия/входа в систему при первом подключении и разрешить подключение только одного клиента, и выйти из системы, когда клиент отключится. Однако он либо позволяет нескольким клиентам подключаться одновременно ("разделяет" соединение), либо позволяет сессии сохраняться после отключения инициатора.

Действительно ли это плохо?

Возможно, это очень плохо, по тем же причинам, что и в случае с "User Started Sessions", но возможно и хуже, потому что администратор может не ожидать такого поведения. Это легче настроить неправильно, особенно если просто копировать/вставлять примеры конфигураций в Интернете, не читая инструкций.

Вы сделали что-то не так?

В этом случае вы сделали меньше ошибок, чем в случае с пользовательскими сессиями. В том случае можно было ожидать, что вы узнаете, что запущенный сервер не был вашим собственным. Здесь же не было способа узнать, что на порту, к которому вы обычно подключаетесь, уже запущена чужая сессия.