Microsoft Uzak Masaüstü Yöneticisi parolaları nasıl şifreler?

9

Bağlantı parolalarını saklarken, MS RDP parolayı açık metin olarak saklama veya şifreleme olanağı sağlar.

Dosyada oluşan düğüm

<logonCredentials inherit="None">
   <userName>USER</userName>
   <domain>DOMAIN</domain>
   <password storeAsClearText="False">AQAdERjHoAwE/Cl+sBAAAA(...)zh</password>
</logonCredentials>

Bu şifrelemenin ne kadar güvenli olduğunu merak ediyorum ve dosya kolayca parolayı tahmin edemeden iş arkadaşları arasında paylaşılabilirse.

"Çok fazla değil" tahmin ediyorum ama şifreli zincirin nasıl üretildiğini tam olarak bulamadım.

Herhangi bir fikir? Teşekkürler!

security remote-desktop encryption

— Luk
kaynak

1

"Kolay tahmin" tanımlayın, makineye özgü olacağını tahmin ediyorum, böyle bir şey yapmanın en güvenli yolu olurdu. Tabii ki yeterince zaman verildiğinde hemen hemen her şeyi zorlayabilir, parolanın ne kadar iyi olduğuna ve elbette tam olarak ne kullanıldığına bağlıdır. Google'da arama yaptım .... ** Genel öneri yapılandırma dosyasının kendisini şifrelemektir. ** Bunu yapmanızı öneririm.

— Ramhound

Kullanıcılarınız yine de bağlanabiliyorsa şifreyi korumanın anlamı nedir?

— Shadok

@Ramhound Keşke yorumunuzu bir cevap olarak sunmuş olsaydınız, iptal etmiş olurdum.

— Luk

7

RemoteDesktopManager'ın bunu nasıl yaptığını bilmiyorum, ancak bunun bir .RDP dosyasında nasıl sakladığı ile aynı olacağını varsayıyorum .

CryptProtectData (RDP için kullandıkları ayarlarla), dizenin yalnızca şifreleme işlemlerinin bir parçası olarak Windows kurulumunun benzersiz kimliğini kullanması nedeniyle şifrelenen makinede deşifre edilmesine izin verir ( CRYPTPROTECT_LOCAL_MACHINE bayrağı). Yani evet, bir saldırgan şifrenizin şifresini çözebilir, ancak sadece şifreyi saklayan makinede yapabilirler, "çevrimdışı" bir saldırı yapamazlar.

Tüm bunların .RDPdosyalar için olduğunu unutmayın . Uzak Masaüstü Yöneticisi'nin aynı şeyi yapıp yapmadığını bilmem mümkün değil.

— Scott Chamberlain
kaynak

1

dosya ile biraz oynadıktan sonra, şifreleme bilgisayara bağlı gibi görünüyor. Muhtemelen haklısınız (ve bu da şifreler açık metin değilse dosyanın paylaşılamayacağı anlamına gelir)

— Luk

1

Aslında, RDPMan'dan gelen RDP, hash depolamanın tek yolunu ayırt eder: ilk olarak onu onaltılık gösterimde saklar ve ikincisi Base64 kodlamasını gerçekleştirir. Bu yüzden R64 Şifre Hasher yardımcı programını kullanarak Base64 kod çözme sonra orijinal parolayı alın. Ancak, yalnızca şifreyi oluşturan kullanıcı adına çalışarak kranklanabilir.

— Alexey Kramnyuk
kaynak

-2

MS RDP, "ortadaki adam" saldırılarına ve ayrıca Worms'a eğilimlidir. Bu nedenle, bunu hafifletmek için taşıma katmanı şifrelemesi eklenebilir.

İşte tüm ticari RDP yazılımlarının bir listesi. Şifreleme özel olarak gösterilmiş ve açıkça listelenmemiş olsa da.

Daha fazla açıklama için burayı okuyun http://blogs.msdn.com/b/rds/archive/2008/07/21/configuring-terminal-servers-for-server-authentication-to-prevent-man-in-the-middle -attacks.aspx

RDP şifrelemesi ve kimlik doğrulamasının taşıma ve uygulama katmanı şifrelemesine uygulanan MS Sunucularına yönelik güvenlik güncelleştirmeleri için burayı okuyun. http://technet.microsoft.com/en-us/library/dd582586.aspx

ve daha fazla bilgi için: http://social.technet.microsoft.com/forums/en-US/winserverTS/thread/8b9a13a4-6d0a-496d-b331-b1fbe9ebcb28/ Citrix RDP başlatma için .ica betiklerinin silinecek bir girdi içerdiğini unutmayın oturum açıldığında ana bilgisayar etki alanını içeren .ica komut dosyası. Bu ek bir güvenlik özelliğidir. "RemoveICAFile = yes"

.Rdp komut dosyaları, ica komut dosyalarına benzer biçimdedir, ancak bu satır girişini hariç tutabilir. Belki de "RemoveRDPile = yes" işe yarayabilir ??

Kullanıcılar oturum açmayı kolaylaştırmak için bazen bu komut dosyasını kaydeder, ancak içerikler parola tahminine izin vermek için kullanıcı karması ve alan adı hakkında çok fazla bilgi verebilir. Genellikle 3 grev kilidi bunu önler, böylece güvenlik artırılır.

— Tony Stewart Sunnyskyguy EE75
kaynak

Bu tamamen doğru değil. Yanlış bağlanan herhangi bir bağlantı bir MITM saldırısına maruz kalabilir.

— Burgi

Bu son rapor, 2012 yılından itibaren Düşüncelerinizi ve destekleri mayın geçersiz plugins.openvas.org/nasl.php?oid=902658 için düzeltin.

— Tony Stewart Sunnyskyguy EE75