SSL Verbindung bei RDP Gateway unsicher?

[speer 17]

Hallo zusammen,

wir sind in Planung eine RDP Farm mit RDP Gateway aufzubauen. Das Gateway steht in der DMZ und die RDP Farm im LAN. Gateway und Farm wird über ein öffentliches Wildcard Zertifikat angesprochen. Nach Vorlage des Konzeptes lehnte der externe IT Sicherheitsbeauftragte das Konzept als unsicher ab da SSL als "Unsicher" einzustufen ist. Bisher verwenden wir für die Außendienstmitarbeiter IPSec ohne Zertifikat. 

Nun meine Frage, ist eine SSL Verbindung wirklich als unsicher zu betrachten... ?

[Dunkelmann 96]

Moin,

 

vielleicht gibt es in eurem Unternehmen tatsächlich besondere Bedingungen, die gegen den Einsatz von RD-Gateway und SSL sprechen.

Bitte doch den Externen, seine Argumente und Quellen offenzulegen. Wenn er etwas einzuwenden hat, sollte er auch in der Lage sein, es stichhaltig begründen zu können.

 

Den Einsatz eines Wildcard-Zertifikats würde ich als ein mögliches Argument gelten lassen.

 

Es gibt SSL Implementierungen, die als 'unsicher' gelten und nicht mehr vewendet werden sollten.

[Daniel -MSFT- 129]

Ihr könntet mit RD Web Access mit Client Zertifikaten oder einer entsprechend konfigurierten Firewall noch eine Pre-Authentifizierung dazwischenschalten. Ist zwar unkomfortabler, aber noch ein Stück sicherer.

[speer 17]

Hallo zusammen,

danke für die Antworten.

Gibt es irgendwo Äußerungen über die Sicherheit eines RDP Gateways?Wir haben beispielsweise zwischen zwei kleinen Standorten <5 Mitarbeiter einen SSL-VPN Tunnel. Hier gab es nichts zu beanstanden. Das verwundert mich natürlich... nun gut, letzten endes kann es nur der Sicherheitsbeauftragte beantworten.

[Daniel -MSFT- 129]

RD Gateway kannst Du vergleichen mit einem HTTPS-Webserver. Ist der auch bei Euch verboten? Wie gesagt, Du kannst noch Pre-Authentifizierung hinzufügen mit Two Factor Auth, wenn Du willst: http://techfiles.de/dmelanchthon/images/TerminalServicesRemoteAppmitWindowsServe_8F8F/clip_image001.gif

Du kannst es auch noch mit NAP verbinden und nur authorisierten Clients Zugriff erteilen.

 

Generell kannst Du den Spiess auch umdrehen und fragen, was an einem IPSec VPN besser ist? Bei RD Gateway spricht der Client mit dem Gateway und das Gateway mit den internen Servern. Und zwar nur RDP in SSL getunnelt. Kein direkter Zugriff von aussen nach innen.

 

Beim VPN holst Du möglicherweise den Client voll nach innen und er darf auf alle internen Maschinen direkt aus von aussen und er darf alle Protokolle und alle Ports. Was ist besser