RDP 6.0 über SSL

[SBK 3]

Hallo,

 

Ich habe mich mal ein bisschen mit RDP über SSL auseinandergesetzt und Testweise ein Win2k03 R2 Server als Terminalserver installiert. Diesen habe ich mit einem Zertifikat bestückt und per SSL aktiviert.

 

Hier eine detaillierte Anleitung: 3. RDP über SSL (TLS 1.0) - neues Feature bei Windows Server 2003 SP 1

 

Das ganze funktioniert mit RDP5.2 ganz gut, wenn ich nun aber einen PC mit Vista oder XP mit RDP 6.0 habe, dann kann sich dieser ungeachtet des Zertifikats mit dem Server verbinden (Option Immer verbinden, auch wenn Authentifizierung fehlschlägt). In einem solchen Fall ist die Verbindung auch nicht verschlüsselt. Gibt es für dieses Problem eine Lösung?

 

Gruss SBK

[nobex 10]

Steht die Sicherheitstufe am Server noch auf 'Verhandeln'?

[SBK 3]

Nein eben nicht, die Sicherheitsstufe steht auf SSL und nicht auf Aushandeln. Aber anscheinend ist dies dem RDP 6.0 egal.

 

Ich glaube das die einzige Lösung wohl darin besteht, auf den neuen Terminal Server 2008 umzustellen. Angeblich läuft der TerminalServer 2008 nur mehr über HTTPS (443) und verwendet nicht mehr den RDP-Port (3389). Kann das jemand bestätigen?

 

Gruss SBK

[nobex 10]

Ich denke, hier liegt ein Konfig-Problem vor.

Check doch noch mal die Servereinstellungen:

Sicherheitsstufe - SSL

Verschlüsselungsstufe - Hoch

Zertifikat - Zertifikatname

[SBK 3]

Die Einstellungen sind genau so:

Sicherheitsstufe - SSL

Verschlüsselungsstufe - Hoch

Zertifikat - sbk_cache

 

Wenn ich in den RDP-Einstellungen die Option angebe: Warnung anzeigen, falls Authentifizierung fehlschlägt, erscheint folgende Fehlermeldung (die Verbindung ist aber verschlüsselt):

 

 

Wenn ich aber die Option "Immer verbinden, auch wenn Authentifizierung fehlschlägt" auswähle, erscheint keine Fehlermeldung und die Verbindung ist unverschlüsselt.

 

Gruss SBK

[nobex 10]

Wenn ich aber die Option "Immer verbinden, auch wenn Authentifizierung fehlschlägt" auswähle, erscheint keine Fehlermeldung und die Verbindung ist unverschlüsselt.

Wie prüfst Du dies?

[SBK 3]

Ganz einfach, bei der RDP-Verbindung oben links erscheint kein Schloss :)

 

 

Gruss SBK

[nobex 10]

Ganz einfach, bei der RDP-Verbindung oben links erscheint kein Schloss :)

Die Verbindung (und in deinem Fall auch die Auth.) ist trotzdem verschlüsselt. Nur die Identität des Servers wurde bei der Authentifizierung beim Verbindungsaufbau zwischen Client und Server nicht geprüft. Macht in soweit auch Sinn, da dass 'Schloß' den Anwender in falscher Sicherheit wiegen könnte.

 

Edit: Bei der Verschlüsselung der Authentifizierung bin ich mir allerdings nicht sicher :suspect:

[SBK 3]

Bist Du Dir da sicher? Jedenfalls kann man sich ohne das Zertifikat zu besitzen, auf den Server verbinden.

 

Gruss SBK

[nobex 10]

Das Zertifikat soll Dir nur versichern, dass der Server auch 'Der Echte' ist. Wenn dies Dir bzw. Deinem RDP-Client egal ist, kannst Du Dich trotzdem verbinden.

[SBK 3]

Hallo nobex,

 

Du hast Recht die RDP-Verbindung ist sowieso mit 128Bit verschlüsselt. Das Zertifikat auf dem Terminal Server 2003, soll aber garantieren, dass sich nur Clients mit Zertifikat damit verbinden können.

 

Unter RDP 5.2 funktioniert das einwandfrei und die Verbindung (ohne Zertifikat) wird verweigert. Unter RDP 6.0, kann man sich aber mit der Option "Immer verbinden auch wenn Authentifizierung fehlschlägt", ungeachtet des Zertifikats mit dem Terminal Server verbinden. Das kann doch nicht Sinn und Zweck sein, ein Zertifikat einzurichten, das der Client einfach ignorieren kann?

 

Gruss SBK

[nobex 10]

Das Zertifikat auf dem Terminal Server 2003, soll aber garantieren, dass sich nur Clients mit Zertifikat damit verbinden können.

Dies kann Dir das Zertifikat nicht garantieren. Es garantiert Dir nur die 'Echtheit' des Servers. Du kannst auch den 5.2er Client dahingehend einstellen, dass er nur warnt (Authentifizierung versuchen), die Verbindung aber trotzdem herstellen kann.

[SBK 3]

Du wirst wohl schon Recht haben, aber unter RDP 5.2 wurde die Verbindung nicht aufgebaut, auch wenn die Option "Authentifizierung versuchen" ausgewählt wurde.

 

Gruss SBK

[nobex 10]

Hier gibt der 5.2er bei 'Auth. versuchen' die Warnung bzgl. eines nicht vertrauenswürdigen Zertifikats aus, so es ihm nicht vertrauenswürdig erscheint. Ist am Server kein Zertifikat hinterlegt, gibt es die Warnung, dass der Server nicht für die Authentifizierung konfiguriert wurde. In beiden Fällen können die Warnungen 'weggeklickt' werden und eine Verbindung ist möglich.