Vor nicht allzu langer Zeit haben wir eine Lösung auf einem Windows-Terminalserver implementiert. Wie üblich haben wir den Mitarbeitern Verknüpfungen auf ihren Desktops bereitgestellt und gesagt – arbeiten Sie einfach. Doch die Nutzer waren in Bezug auf Cybersicherheit verunsichert. Bei der Verbindung zum Server sahen sie Nachrichten wie: „Vertrauen Sie diesem Server? Wirklich sicher?“, was sie beunruhigte. Sie kamen zu uns mit Fragen – ist alles in Ordnung, kann ich auf OK klicken? Daraufhin haben wir beschlossen, alles sauber zu gestalten, um keine Fragen und keine Panik aufkommen zu lassen.
Wenn Ihre Nutzer immer noch mit solchen Ängsten zu Ihnen kommen und Sie es leid sind, das Kästchen „Nicht mehr fragen“ zu aktivieren – heißen wir Sie willkommen im nächsten Abschnitt.
Schritt null. Vorbereitung und Vertrauensfragen
Also, unser Nutzer klickt auf die gespeicherte Datei mit der Endung .rdp und erhält diese Anfrage:
„Verdächtige“ Verbindung.
Um dieses Fenster loszuwerden, wird ein spezielles Tool namens RDPSign.exe. Die vollständige Dokumentation ist wie gewohnt verfügbar unter , und wir werden ein Anwendungsbeispiel durchgehen.
Zunächst müssen wir ein Zertifikat zum Signieren der Datei besorgen. Es kann sein:
- Öffentlich.
- Von einer internen Zertifizierungsstelle ausgestellt.
- Oder komplett selbstsigniert.
Das Wichtigste ist, dass das Zertifikat die Möglichkeit zum Signieren hat (ja, es kann von Buchhaltern mit einer elektronischen Signatur abgenommen werden), und dass die Client-PCs ihm vertrauen. Hier werde ich ein selbstsigniertes Zertifikat verwenden.
Ich erinnere daran, dass das Vertrauen in ein selbstsigniertes Zertifikat über Gruppenrichtlinien organisiert werden kann. Etwas mehr Details — im Spoiler.
Wie man ein Zertifikat durch die Zauberkraft von GPO vertrauenswürdig macht
Zunächst muss man das vorhandene Zertifikat ohne den privaten Schlüssel im .cer-Format nehmen (das kann man tun, indem man das Zertifikat aus der Snap-In "Zertifikate" exportiert) und in einen Netzwerkordner ablegen, der für Benutzer zum Lesen zugänglich ist. Danach kann man die Gruppenrichtlinie einrichten.
Der Import des Zertifikats wird im Abschnitt konfiguriert: Computer-Konfiguration — Richtlinien — Windows-Konfiguration — Sicherheitseinstellungen — Öffentliche Schlüsselrichtlinien — Vertrauenswürdige Stammzertifizierungsstellen. Dann rechtsklicken und das Zertifikat importieren.
Eingestellte Richtlinie.
Jetzt werden die Client-PCs dem selbstsignierten Zertifikat vertrauen.
Wenn die Probleme mit dem Vertrauen gelöst sind, kommen wir direkt zur Frage der Signatur.
Wenn alle Vertrauensprobleme gelöst sind, kommen wir direkt zur Frage der Unterzeichnung.
Schritt eins. Wir signieren die Datei großzügig.
Das Zertifikat ist vorhanden, jetzt müssen wir seinen Fingerabdruck herausfinden. Öffnen wir es einfach im Snap-In „Zertifikate“ und kopieren wir ihn auf der Registerkarte „Details“.
Der benötigte Fingerabdruck.
Es ist besser, ihn gleich in das richtige Format zu bringen – nur Großbuchstaben und keine Leerzeichen, falls vorhanden. Das lässt sich bequem in der PowerShell-Konsole mit folgendem Befehl erledigen:
("6b142d74ca7eb9f3d34a2fe16d1b949839dba8fa").ToUpper().Replace(" ", "")
Nachdem wir den Fingerabdruck im gewünschten Format erhalten haben, können wir die RDP-Datei bedenkenlos signieren:
rdpsign.exe /sha256 6B142D74CA7EB9F3D34A2FE16D1B949839DBA8FA .contoso.rdp
Dabei ist .contoso.rdp der absolute oder relative Pfad zu unserer Datei.
Nachdem die Datei signiert ist, lassen sich einige Parameter über die grafische Benutzeroberfläche, wie den Servernamen, nicht mehr ändern (sonst hätte das Signieren ja keinen Sinn). Wenn man die Einstellungen jedoch mit einem Texteditor ändert, wird die Signatur ungültig.
Jetzt wird beim Doppelklick auf das Symbol eine andere Nachricht angezeigt:
Neue Nachricht. Die Farbe ist weniger gefährlich, das ist schon ein Fortschritt.
Lasst uns auch das loswerden.
Schritt zwei. Wieder Fragen des Vertrauens.
Um diese Meldung loszuwerden, benötigen wir erneut die Gruppenrichtlinie. Diesmal führt der Weg zum Abschnitt Computer-Konfiguration — Richtlinien — Verwaltungs-Vorlagen — Windows-Komponenten — Dienste für Remotedesktops — Remotedesktopverbindung-Client — SHA1-Zertifikat-Hashes angeben, die vertrauenswürdige RDP-Herausgeber darstellen.
Die benötigte Richtlinie.
In der Richtlinie ist es ausreichend, den bereits bekannten Hash aus dem vorherigen Schritt hinzuzufügen.
Es ist erwähnenswert, dass diese Richtlinie die Richtlinie «RDP-Dateien von erlaubten Herausgebern und standardmäßig festgelegte RDP-Benutzereinstellungen zulassen» überschreibt.
Jetzt werden die Client-PCs dem selbstsignierten Zertifikat vertrauen.
Voilà, jetzt keine seltsamen Fragen mehr — nur noch die Abfrage von Benutzername und Passwort. Hmm…
Dritter Schritt. Transparenter Zugriff auf den Server
Tatsächlich, wenn wir uns bereits beim Login am Domänencomputer authentifiziert haben, warum sollten wir die gleichen Anmeldedaten erneut eingeben? Lassen Sie uns die Anmeldeinformationen transparent an den Server übermitteln. Im Fall von einfachem RDP (ohne Verwendung von RDS Gateway) kommt uns… Richtig, die Gruppenrichtlinie zur Hilfe.
Gehe zu: Computer-Konfiguration — Richtlinien — Administrative Vorlagen — System — Credential-Routing — Standardmäßig installierte Anmeldedaten zulassen.
Hier können Sie die gewünschten Server zur Liste hinzufügen oder ein Wildcard verwenden. Es wird so aussehen: TERMSRV/trm.contoso.com oder TERMSRV/*.contoso.com.
Jetzt werden die Client-PCs dem selbstsignierten Zertifikat vertrauen.
Jetzt, wenn wir unser Symbol betrachten, wird es ungefähr so aussehen:
Der Benutzername kann nicht geändert werden.
Falls RDS-Gateway verwendet wird, müssen Sie auch die Datenübertragung darauf erlauben. Dazu müssen Sie im IIS-Manager unter „Authentifizierungsmethoden” die anonyme Authentifizierung deaktivieren und die Windows-Authentifizierung aktivieren.
IIS konfiguriert.
Vergessen Sie nicht, nach Abschluss die Webdienste mit dem Befehl neu zu starten:
iisreset /noforce
Jetzt läuft alles gut, keine Fragen oder Anfragen mehr.
Nur registrierte Benutzer können an der Umfrage teilnehmen. Sind Sie an Contour interessiert?
Erzählen Sie, signieren Sie RDP-Verknüpfungen für Ihre Benutzer?
43%Nein, sie sind es gewöhnt, ohne Lesen auf „OK“ zu klicken, einige setzen sogar selbst das Häkchen „Nicht mehr fragen“.
29.2%Ich lege die Verknüpfung sorgfältig selbst und mache den ersten Zugang zum Server zusammen mit jedem Benutzer.
6.1%Natürlich liebe ich Ordnung in allem.
21.5%Ich nutze keine Terminalserver.
65 Nutzer haben abgestimmt. 14 Nutzer haben sich enthalten.
Quelle: habr.com
