Zertifikate nur mit Kennwort ausgeben?

[grokofant0815 10]

Hallo liebe Forenmitglieder,

 

ich habe folgendes Problem: Ein Kunde von uns möchte steuern können, wer ein Zertifikat vom Server installieren darf, wenn er von Extern über RDP Verbindung auf den Terminalserver (Windows Server 2008r2) zugreift. Also entweder soll das Zertifikat nur mit Kennwortabfrage installiert werden können, oder es wird bestimmten Benutzern verweigert.

Ist so etwas möglich?

 

Vielen Dank

 

Gruß

Christian

[micha42 29]

Moin und willkommen an Board,

ein Zertifikat für solch eine Anwendung sollte passwortgeschützt sein. Die zweite Variante (wird bestimmten Benutzern verweigert...) verstehe ich nicht.

 

Wenn ich das richtig verstanden habe, willst Du einen TS ohne Firewall oder sonstwas ins internet stellen. Das ist hochriskant. Wenn da irgendwas drauf soll was senibler ist, als das Telefonbuch solltes Du das lassen.

Michael

[grokofant0815 10]

Hallo Michael,

vielen Dank für die Antwort.

Der Server existiert bereits und ist natürlich auch nicht ohne Firewall im Internet.

Im Moment ist es so: Zunächst muß ja am TS ein Benutzername und Kennwort eingegeben werden und erst danach wird dem Benutzer ggf. das noch fehlende Zertifikat zur Installtaion angeboten. Genau dies soll nur mit einem weiteren Kennwort möglich sein.

Die zweite Möglichkeit soll sein, das der Benutzer, der sich soeben mit seinem Benutzernamen am TS angemeldet hat, von der Installation des Zertifikats ausgeschlossen wird, weil er bestimmten Kriterien nicht entspricht.

Ich hoffe, ich habe mich vertändlich ausgedrückt.

Gruß

Christian

[Dunkelmann 96]

Du redest anscheinend von dem selbsterstellten RDP Zertifikat des Servers.

 

Dabei handelt es sich um den selbstsignierten öffentlichen Schlüssel den der Server zur Idendifikation gegeüber den Clients oder Benutzern verwendet.

Es ist mir kein Weg bekannt, einen öffentlichen Schlüssel durch ein Kennwort zu schützen. Das würde ja auch den Zweck von öffentlichen und privaten Schlüsseln wiedersprechen.

 

Es ergäbe sich ohnehin kein Sicherheitsgewinn für den Server, da die Validierung des Serverzertifikats eine clientseitige Einstellung ist, die jederzeit am Client deaktiviert werden kann.

 

Wollt ihr euren TS vor unbefugten Zugriffen sichern, braucht es schon etwas mehr.

Eine vernünftige Firewall, ein RD-Gateway und ggf. eine Zweifaktor-Authentifizierung.

[micha42 29]

Du redest anscheinend von dem selbsterstellten RDP Zertifikat des Servers.

Das ist mir auch erst bei der letzten Antwort klar geworden.

Ich schließe mich den Ausführungen meines Vorredners vollständig an.

:-) Michael

[grokofant0815 10]

...Vielen Dank für eure Antworten, dann weiss ich jetzt Bescheid!

Gruß

Christian