Criando um certificado autoassinado e confiando nele para o windows RDP (sem domínio)

Question

Eu posso usar o windows RDP para controlar remotamente o meu PC doméstico (através de uma VPN), mas eu sempre recebo este aviso:

Precisogerarmanualmenteumcertificadoautoassinadoeinstalá-lo?

Ouissojáaconteceuepossoconfiarnoquejáestáfornecendo?

"Não me pergunte novamente se há conexões com este computador", ou isso apenas verifica o nome e ignora o certificado?

Eu ainda quero usar o certificado autoassinado para verificação. Eu só quero que meu laptop confie no certificado auto-assinado.

Estou no windows 10.

    

Answer 1

Existem pelo menos três soluções para esta caixa de diálogo:

1. Verifique o Don't ask me again for connections to this computer caixa de seleção
2. Instale o certificado usado pela máquina remota em     sua máquina local Trusted Root Certification Authorities store
3. Use um certificado assinado por alguém em que os dois computadores confiam

A primeira opção é o que a maioria das pessoas faz e é perfeitamente correto fazer isso. Ele não instala o certificado nem confia nele completamente, mas lembra-se de confiar neste certificado apenas para uma conexão RDP e apenas para o computador com o nome do host usado.

Cria uma nova chave de registro em:

HKEY_CURRENT_USER\SOFTWARE\Microsoft\Terminal Server Client\Servers\Computer-1

com um valor de Certhash que possui a impressão digital do certificado.

Se você excluir essa chave, você verá a caixa de diálogo novamente.

Esta exceção é apenas para o seu usuário atual, outro usuário na mesma máquina tem que fazer o mesmo.

A segunda opção é realmente confiar no certificado autoassinado. Você precisa iniciar o Remote Desktop Connection como administrador elevado e, em seguida, clicar no botão View certificate e, na próxima página, no botão Install Certificate... . Selecione Local Machine e Browse... . Use a loja Trusted Root Certification Authorities e finalize o processo de importação.

Usando essa opção, qualquer usuário do computador pode fazer RDP na máquina remota sem ver a caixa de diálogo, mas agora você adicionou uma nova CA ao computador, o que geralmente não é a melhor ideia e deve ser evitado. Se alguém invadir o computador remoto, ele poderá obter o certificado e usar sua confiança para outros fins. O certificado RDP auto-assinado é somente para Autenticação do Servidor, não pode ser usado para assinar outros certificados, mas você nunca sabe.

Ao habilitar o RDP no computador remoto, o Windows cria esse certificado autoassinado automaticamente, mas geralmente é válido apenas por seis meses; portanto, após seis meses, você terá que repetir a opção um ou dois.

Com a opção três, você pode obter certificados válidos por mais tempo, mas exige que você tenha sua própria autoridade de certificação ou use uma autoridade pública.

Eu ficaria com a opção 1

    

Answer 2

A seleção de "sim" e a seleção da caixa "Não me pergunte novamente ..." aceitará o certificado auto-assinado e não solicitará a aprovação desse certificado novamente.

Então, sim - um certificado foi gerado para você, não há problema em continuar usando esse cenário de uso e você não precisa fazer mais nada.

Para uso pessoal como este, não há necessidade de buscar um certificado 'real' assinado por uma CA, mas as opiniões (e os níveis de paranoia) variam. Está ficando mais barato e mais fácil obter certificados legítimos, (veja, vamos criptografar), mas é um pouco difícil usá-los para o RDP ainda.

Uma observação: Se você estiver se conectando a este computador pelo mesmo link VPN do mesmo computador remoto e tiver selecionado confiar no certificado e 'não me mostrar novamente', mas em algum momento no futuro você estará solicitado novamente, que é quando você deve estar um pouco preocupado. É assim que um homem no ataque do meio se apresentaria.

Você pode visualizar os certificados de máquinas remotas nas quais você confiou, implicitamente devido à emissão por uma autoridade de segurança do CA ou explicitamente como no caso desse certificado rdp usando o plug-in do certificado mmc descrito here