Nedavno smo implementirali rješenje na Windows terminal serveru. Kao što to obično biva, stavili smo prečace na radne površine zaposlenika za povezivanje i rekli im - radite. No, korisnici su se pokazali zbunjenima u vezi s kibernetičkom sigurnošću. Kada su se pokušavali povezati na server, vidjevši poruke poput: "Povjeravate li ovom serveru? Jeste li potpuno sigurni?", bili su prestrašeni i javljali su se nama - je li sve u redu, mogu li pritisnuti OK? Tada je odlučeno da će se sve napraviti lijepo, kako ne bi bilo pitanja i panike.

Ako vaši korisnici još uvijek dolaze s sličnim strahovima i dosadilo vam je stavljati kvačicu "Ne pitaj me više" - dobrodošli u nastavak.

Korak nula. Priprema i povjerenje

Dakle, naš korisnik klikne na spremljenu datoteku s ekstenzijom .rdp i dobiva ovakav zahtjev:

"Zlonamjensko" povezivanje.

Za uklanjanje ovog prozora koristi se posebna aplikacija pod nazivom RDPSign.exe. Potpuna dokumentacija dostupna je, kao i obično, na službenoj web stranici, a mi ćemo razmotriti primjer korištenja.

Prvo, trebamo dobiti certifikat za potpisivanje datoteke. Može biti:

• Javni.
• Izdani od interne službe Certificate Authority.
• Potpuno samopotpisan.

Najvažnije je da certifikat ima mogućnost potpisivanja (da, može se uzeti
od računovođa ECDP), a klijentska računala mu imaju povjerenje. Ovdje ću koristiti samopotpisani certifikat.

Podsjetit ću da se povjerenje samopotpisanom certifikatu može organizirati pomoću grupnih politika. Malo više detalja - ispod prikaza.

Kako učiniti certifikat povjerenim pomoću čarolije GPO

Najprije je potrebno uzeti postojeći certifikat bez privatnog ključa u formatu .cer (to se može učiniti izvoženjem certifikata iz konzole "Certifikati") i staviti ga u mrežnu mapu dostupnu korisnicima za čitanje. Nakon toga može se postaviti grupna politika.

Uvoz certifikata postavlja se u sekciji: Konfiguracija računala - Politike - Konfiguracija Windows - Postavke sigurnosti - Politike otvorenog ključa - Povjereni korijenski centri za certificiranje. Zatim desnom tipkom miša uvozimo certifikat.

Postavljena politika.

Sada će klijentska računala vjerovati samopotpisanom certifikatu.

Ako su problemi s povjerenjem riješeni, prelazimo izravno na pitanje potpisa.

Prvi korak. Potpisujemo datoteku s povjerenjem

Imamo certifikat, sada moramo saznati njegov otisak. Jednostavno ćemo ga otvoriti u alatki „Certifikati“ i kopirati s kartice „Sastav“.

Potreban nam je otisak.

Bolje je odmah ga formatirati kako treba — samo velika slova i bez razmaka, ako ih ima. To se lako može učiniti u PowerShell konzoli s komandom:

("6b142d74ca7eb9f3d34a2fe16d1b949839dba8fa").ToUpper().Replace(" ","")

Nakon što dobijemo otisak u potrebnom formatu, možemo sigurno potpisati .rdp datoteku:

rdpsign.exe /sha256 6B142D74CA7EB9F3D34A2FE16D1B949839DBA8FA .contoso.rdp

Gdje je .contoso.rdp — apsolutna ili relativna putanja do naše datoteke.

Nakon što je datoteka potpisana, više ne možemo mijenjati dio parametara kroz grafičko sučelje, kao što je ime poslužitelja (uistinu, koji je smisao potpisivanja?). Ako promijenimo postavke tekstualnim editorom, potpis će „pasti“.

Sada će prilikom dvostrukog klikanja na prečac poruka biti drugačija:

Nova poruka. Boja je manje opasna, već je napredak.

Osim toga, riješimo se i toga.

Drugi korak. I opet pitanja povjerenja

Za otklanjanje ove poruke ponovo će nam trebati grupna politika. Ovaj put put vodi u odjeljak Konfiguracija računala — Politike — Administrativni predlošci — Komponente sustava Windows — Usluge udaljenih radnih površina — Klijent za povezivanje s udaljenom radnom površinom — Odrediti SHA1 otiske certifikata koji predstavljaju pouzdane izdavače RDP.

Potreban nam je ova politika.

U politici je dovoljno dodati već poznati otisak s prethodnog koraka.

Vrijedi napomenuti da ova politika nadmašuje politiku „Dopusti RDP datoteke od dopuštenih izdavača i korisničkih RDP postavki zadanih prema zadanim postavkama“.

Postavljena politika.

Voilà, sada nema čudnih pitanja — samo zahtjev za korisničkim imenom i lozinkom. Hmm...

Treći korak. Transparentan ulaz na poslužitelj

Zaista, ako smo se već autentificirali prilikom ulaska na domenasti računalo, zašto bismo ponovo unosili isto korisničko ime i lozinku? Prenijet ćemo vjerodajnice na poslužitelj „transparentno“. U slučaju jednostavnog RDP-a (bez korištenja RDS Gateway) pomoći će nam... Točno, grupna politika.

Idemo u odjeljak: Konfiguracija računala — Politike — Administrativni predlošci — Sustav — Prenos vjerodajnica — Dopusti prenos uobičajenih vjerodajnica.

Ovdje možete dodati potrebne poslužitelje ili koristiti wildcard. Izgledat će to kao TERMSRV/trm.contoso.com ili TERMSRV/*.contoso.com.

Postavljena politika.

Sada, ako pogledamo našu prečicu, izgledat će otprilike ovako:

Ime korisnika ne može se promijeniti.

U slučaju da se koristi RDS Gateway, također će biti potrebno omogućiti prijenos podataka. Za to je u IIS upravitelju potrebno isključiti anonimnu provjeru i uključiti Windows provjeru autentičnosti pod "Metode provjere autentičnosti."

Postavljen IIS.

Ne zaboravite nakon završetka ponovno pokrenuti web usluge pomoću naredbe:

iisreset /noforce

Sada je sve dobro, bez pitanja i zahtjeva.

Samo registrirani korisnici mogu sudjelovati u anketi. Prijavite se, molimo.

Recite mi, hoćete li potpisivati RDP prečice svojim korisnicima?

• 43%Ne, oni su naučili pritisnuti "U redu" u porukama bez čitanja, neki čak sami stavljaju kvačice "Ne pitaj više".

• 29.2%Sam pazim da prečicu stavim ručno i prvi ulazak na poslužitelj radim zajedno s svakim korisnikom.

• 6.1%Naravno, volim imati sve u redu.

• 21.5%Ne koristim terminalske poslužitelje.

Glasovalo je 65 korisnika. 14 korisnika se suzdržalo.

Izvor: habr.com