Hoe veilig zijn RDP-bestanden

[Verwijderd]

Hoi,

Ik distribueer software via RDP-bestanden, zodat klanten de software kunnen gebruiken alsof deze lokaal is geïnstalleerd.

Nu vroeg ik mij af of het mogelijk is voor een klant om via het RDP-bestand de gegevens van de server te achterhalen waardoor hij/zij via bijv. extern bureaublad verbinding kan maken waardoor hij/zij toegang heeft tot het bureaublad.

Uiteraard is de server ook nog goed afgeschermd m.b.t. uitvoeren van software, etc. dus niet rampzalig als dit kan maar ik was toch benieuwd.


Hartelijk groet,


Jan

[Tadream]

Ligt er denk ik aan hoe de omgeving opgebouwd is.
Wij werken niet met externe klanten, maar voor onze interne gebruikers hebben we ook rdp bestanden.
Deze zijn gesigned met de thumbprint van ons ssl certificaat, dus als je daar ook maar iets aan veranderd dan is die corrupt. Het lijkt me dat als je met externe klanten werkt je minstens die rdp bestanden signed.
Je kunt een rdp bestand natuurlijk gewoon met notepad openen en de gegevens bekijken, maar nogmaals het ligt eraan hoe de omgeving is geconfigureerd.
Wij werken met session collections en zo'n rdp bestand maakt een connectie naar een session collection, die weer bestaat uit 1 of meerdere rds servers, maar daar zie je geen gegevens van de rds server(s) zelf in staan.
Je kan ook een rdp bestand hebben die rechtstreeks naar 1 rdp server gaat - dan weet je zo welke server het is.
Overigens als onze interne gebruikers vanuit huis/remote willen werken dan gaan ze via onze rd web access en multi factor authenticatie (dat gaat dus niet met die interne gesignde rdp bestand - we willen niet dat die bestanden gaan rondzingen en dat jan en alleman er zomaar op kunnen).

[Killah_Priest]

Als iemand rechten heeft voor RemoteApp dan heeft deze user ook de rechten voor een volledige RDP sessie. Aangezien RDP files gewoon platte tekstbestanden zijn kan iemand dus de servergegevens makkelijk achterhalen.

De manier om dit op te lossen : een GPO doorvoeren welke de standaard Explorer.Exe shell verandert in bv logoff.exe (voor remoteapp wordt er een aparte shell geladen), dan wordt de user direct uitgelogt bij het inloggen via een reguliere RDP sessie.