Hva med sikkerheten og hvordan konfigurere kryptering når vi bruker RDP?

I denne artikkelen har vi behandlet 3 alternativer for publisering av en terminalserver mot internett. Disse er terminalserver gjennom/via VPN, RWW og RDP over internett. I alle tre tilfeller må vi minst passe på å konfigurere kryptering på RDP-tcp lytteren.

Figur 43 – For å konfigurere kryptering, log på terminalserveren som administrator. Klikk Start, Administrativ Tools og Terminals Services Configuration.

Figur 44 – Høyreklikk RDP-tcp og velg Properties og fanen General.

I figur 42 ser vi et skjermbilde av RDP-tcp Properties hvor vi kan konfigurere kryptering. Før vi gjør noe mer la oss raskt gå i gjennom alternativene.

Security layer:

• Negotiate – Denne innstillingen forsøker å benytte TLS 1.0 for å autentisere serveren. Hvis det ikke går benytter den RDP Security.
• RDP Security layer – Denne metoden benytter RDP kryptering og serveren autentiseres ikke.
• SSL – Denne krypteringsformen er først tilgjengelig når et sertifikat er installert på serveren. TLS 1.0 vil da benyttes for autentisering av serveren.

Encryption level:

• FIPS Compliant – I dette tilfellet benyttes FIPS 140-1 kryptering.
• High – I dette tilfellet benyttes 128 bit kryptering.
• Client Compatible – Her vil RDP forhandle med klienten og velge høyeste krypteringsform.
• Low – I dette tilfellet vil 56-bit kryptering benyttes.

 Tips:

Krypteringsnivået vil også være avhengig av hvilken RDP klient som benyttes. Dersom du benytter gamle versjoner av Windows (95,98,Me,CE) må du installere nyere versjoner av Remote Desktop Provider som støtter høyere krypteringsnivåer.

Tips

Det er min oppfattning at det er direkte uforsvarlig å publisere RDP direkte mot internett med et lavere krypteringsnivå en High. Jeg må videre gjøre oppmerksom på at RDP bla kan knekkes med Man in the Midle. Før du publiserer RDP direkte mot internett bør du sjekke opp følgende:

• Microsoft Terminal Services vulnerable to MITM-attacks

-          http://www.securityfocus.com/archive/1/317244

·         Remote Desktop Protocol, the Good the Bad and the Ugly

-          http://www.oxid.it/downloads/rdp-gbu.pdf

·         How Secure are Windows Terminal Services?

-          http://www.windowsecurity.com/articles/Windows_Terminal_Services.html

·         How to configure a Windows Server 2003 terminal server to use TLS ...

-          http://support.microsoft.com/kb/895433

• Hvordan konfigurere SBS Server autentisering for remote administrasjon (RDP SBS 2003 R1)

-          http://smallbizserver.no/Artikler/tabid/53/articleType/ArticleView/articleId/58/Default.aspx

Hvilke valg har vi så etter dette? Vel det er fortsatt smak og behag. Men jeg vil nok si at VPN og RWW er å foretrekke avsikkerhetsgrunner fremfor RDP over internett.