Não faz muito tempo implantamos uma solução em um servidor Windows Terminal. Como de costume, adicionamos atalhos para os desktops dos funcionários e dissemos – trabalhem. Mas os usuários estavam amedrontados em relação à Cibersegurança. Ao se conectar ao servidor, ao ver mensagens como: "Você confia nesse servidor? Tem certeza?", eles ficavam assustados e nos perguntavam – está tudo bem, posso clicar em OK? Foi então que decidimos tornar tudo mais claro, para evitar dúvidas e pânico.

Se seus usuários ainda vêm até você com tais medos e você está farto de marcar a opção "Não perguntar novamente" – seja bem-vindo ao nosso guia.

Passo zero. Preparação e questões de confiança

Assim, nosso usuário clica no arquivo salvo com a extensão .rdp e recebe o seguinte pedido:

"Conexão maliciosa".

Para remover essa janela, usamos uma ferramenta especial chamada RDPSign.exe. A documentação completa está disponível, como sempre, em faqen zyrtare, e vamos analisar um exemplo de uso.

Para começar, precisamos de um certificado para assinar o arquivo. Ele pode ser:

• Público.
• Emitido por um serviço interno de Autoridade Certificadora.
• Totalmente autoassinado.

O mais importante é que o certificado tenha a capacidade de assinar (sim, pode ser retirado
dos contabilistas pelo e-CPF), e que os PCs dos clientes confiem nele. Aqui eu vou usar um certificado autoassinado.

Lembro que a confiança em um certificado autoassinado pode ser organizada usando políticas de grupo. Um pouco mais de detalhes – está sob o spoiler.

Como tornar um certificado confiável usando a mágica do GPO

Primeiro, precisamos pegar o certificado existente sem a chave privada no formato .cer (isso pode ser feito exportando o certificado da ferramenta "Certificados") e colocá-lo em uma pasta de rede, acessível aos usuários para leitura. Depois disso, podemos configurar a política de grupo.

A importação do certificado é configurada na seção: Configuração do computador – Políticas – Configuração do Windows – Opções de Segurança – Políticas de Chave Pública – Autoridades Certificadoras Raiz Confiáveis. Em seguida, clicamos com o botão direito e importamos o certificado.

Política configurada.

Agora os PCs dos clientes confiarão no certificado autoassinado.

Se os problemas com a confiança foram resolvidos, vamos passar diretamente à questão da assinatura.

Passo um. Assinamos o arquivo de forma ampla

O certificado está disponível, agora precisamos saber seu hash. Vamos simplesmente abri-lo na ferramenta "Certificados" e copiá-lo na aba "Detalhes".

O hash necessário.

É melhor já apresentá-lo no formato adequado – somente letras maiúsculas e sem espaços, se existirem. Isso pode ser facilmente feito no console do PowerShell com o comando:

("6b142d74ca7eb9f3d34a2fe16d1b949839dba8fa").ToUpper().Replace(" ","")

Tendo obtido o hash no formato desejado, podemos assinar o arquivo rdp tranquilamente:

rdpsign.exe /sha256 6B142D74CA7EB9F3D34A2FE16D1B949839DBA8FA .contoso.rdp

Onde .contoso.rdp é o caminho absoluto ou relativo para nosso arquivo.

Depois que o arquivo é assinado, não será possível mudar parte dos parâmetros através da interface gráfica, como o nome do servidor (realmente, qual é o sentido de assinar?). Se as configurações forem alteradas por um editor de texto, a assinatura "cairá".

Agora, ao clicar duas vezes no atalho, a mensagem será diferente:

Nova mensagem. A cor é menos perigosa, já é um progresso.

Vamos nos livrar dela também.

Passo dois. E mais uma vez questões de confiança

Para remover essa mensagem, novamente precisaremos de uma política de grupo. Desta vez, o caminho é: Configuração do computador – Políticas – Modelos Administrativos – Componentes do Windows – Serviços de Área de Trabalho Remota – Cliente de Conexão de Área de Trabalho Remota – Especificar hashes SHA1 de certificados que representam editores RDP confiáveis.

A política que precisamos.

Na política, é suficiente adicionar o hash que já conhecemos do passo anterior.

Vale ressaltar que essa política substitui a política "Permitir arquivos RDP de editores confiáveis e parâmetros de RDP definidos por padrão".

Política configurada.

Voilà, agora não há mais perguntas estranhas – apenas o pedido de login e senha. Hmm…

Passo três. Acesso transparente ao servidor

De fato, se já nos autenticamos ao entrar em um computador que pertence ao domínio, por que precisamos inserir novamente o mesmo login e senha? Vamos passar as credenciais para o servidor de forma "transparente". No caso do RDP simples (sem usar RDS Gateway), a política de grupo nos ajudará aqui.

Vamos para a seção: Configuração do computador – Políticas – Modelos Administrativos – Sistema – Transferência de Credenciais – Permitir a transferência de credenciais definidas por padrão.

Këtu mund të shtoni serverat e nevojshëm në listë ose të përdorni wildcard. Do të duket si TERMSRV/trm.contoso.com ose TERMSRV/*.contoso.com.

Política configurada.

Tani, nëse e shikoni shkurtore, do të duket ndjashëm si kjo:

Emri i përdoruesit nuk mund të ndryshohet.

Nëse përdoret RDS Gateway, do të nevojitet gjithashtu të lejoni transferimin e të dhënave në të. Për këtë, në menaxherin IIS duhet të çaktivizoni verifikimin anonim dhe të aktivizoni verifikimin e Windows në "Metodat e verifikimit".

IIS i konfiguruar.

Mos harroni pas përfundimit të rihapni shërbimet e uebit me komandën:

iisreset /noforce

Tani gjithçka është mirë, nuk ka pyetje dhe kërkesa.

Vetëm përdoruesit e regjistruar mund të marrin pjesë në anketë. Hyni, ju lutemi.

A flisni me përdoruesit tuaj për të nënshkruar shkurtoret RDP?

• 43%Jo, ata janë mësuar të klikojnë "OK" në mesazhe pa lexuar, disa madje vendosin vetë opsionet "Mos e pyes më".

• 29.2%Unë me kujdes vendos shkurtoren dhe bëj hyrjen e parë në server bashkë me çdo përdorues.

• 6.1%Sigurisht, unë e dua rendin në çdo gjë.

• 21.5%Nuk përdor servera terminal.

65 përdorues votuan. 14 përdorën rezervën.

Burimi: habr.com