Ativando SSL para Área de Trabalho Remota

Question

Ok, então estou tentando remover vários sistemas do meu rastreamento do Nessus de ter essa vulnerabilidade de mídia.

Fraqueza Man-in-the-Middle do Servidor de Protocolo da Área de Trabalho Remota do Microsoft Windows

Eu defino a seguinte configuração de GPO:

Configuração do Computador \ Políticas \ Modelos Administrativos \ Componentes do Windows \ Serviços de Área de Trabalho Remota \ Host de Sessão da Área de Trabalho Remota \ Requer o Uso de Camadas Específicas de Segurança para Conexões Remotas (RDP): SSL (TLS 1.0)

Depois de fazer isso, meus clientes do Windows 7 não têm mais o problema do Nessus, no entanto, o RDP não funciona mais em clientes Linux ou Windows. Eu recebo os seguintes erros:

De clientes:

Linux:

[ryan@gobo ~]$ rdesktop -0 win7
Autoselected keyboard map en-us
ERROR: recv: Connection reset by peer

Windows:

"the connection cannot proceed becuase authentication is not enabled

Um sistema do servidor (caixa do Windows 7 executando o RDP):

Log Name:      System
Source:        TermDD
Date:          4/9/2012 4:28:58 PM
Event ID:      50
Task Category: None
Level:         Error
Keywords:      Classic
User:          N/A
Computer:      gobo-vm
Description:
The RDP protocol component X.224 detected an error in the
protocol stream and has disconnected the client.

e este aqui:

Log Name:      System
Source:        Schannel
Date:          4/9/2012 4:07:54 PM
Event ID:      36870
Task Category: None
Level:         Error
Keywords:      
User:          SYSTEM
Computer:      gobo-vm
Description:
A fatal error occurred when attempting to access the SSL server 
credential private key. The error code returned from the 
cryptographic module is 0x8009030d. The internal error state is 
10001.

Eu já vi soluções sendo um problema de permissão com o certificado, já que a conta do Serviço de Rede não tem permissão para acessá-lo, mas não consigo encontrar onde o certificado está no sistema de arquivos para verificá-lo.

Além disso, estou sem idéias / opções. Eu procuro o sábio aqui.

    

Answer 1

Em TechNet :

A certificate is needed to authenticate an RD Session Host server when SSL (TLS 1.0) is used to secure communication between a client and an RD Session Host server during RDP connections. You can select a certificate that you have already installed on the RD Session Host server, or you can use the default self-signed certificate. You can enable SSL for Remote Desktop connections using the RDP-Tcp Properties dialog box, which is accessed from the Remote Desktop Session Host Configuration snap-in.

By default, Remote Desktop connections are encrypted at the highest level of security available (128-bit). However, some older versions of the Remote Desktop Connection client application do not support this high level of encryption. If a high level of encryption is needed to support legacy clients, the encryption level of the connection can be configured to send and receive data at the highest encryption level supported by the client.

There are four levels of encryption available:

Low
Data sent from the client to the server is encrypted using 56-bit encryption. Data sent from the server to the client is not encrypted.

Client Compatible
Encrypts client/server communication at the maximum key strength supported by the client. Use this level when the terminal server is running in an environment containing mixed or legacy clients. This is the default encryption level.

High
Encrypts client/server communication using 128-bit encryption. Use this level when the clients accessing the terminal server also support 128-bit encryption. When encryption is set at this level, clients that do not support this level of encryption will not be able to connect.

FIPS Compliant
All client/server communication is encrypted and decrypted with the Federal Information Processing Standards (FIPS) encryption algorithms. FIPS 140-1 (1994) and its successor, FIPS 140-2 (2001), describe U.S. government requirements for encryption.

The RDP-Tcp Properties dialog box, which is accessed from the Remote Desktop Session Host Configuration snap-in, allows you to configure the encryption level.

    

Answer 2

Eu recomendaria pesquisar sua configuração de certificado. Você comprou um certificado SSL de terceiros? Ou você gerou um do seu servidor RD? Tem uma chave privada atribuída, porque precisará de uma.

Parece um problema com o certificado / chave privada. Eu tentaria adicionar uma regra de GPO de 'importar certificado para armazenamento pessoal' dentro de seu GPO de host de área de trabalho remota e ver se o certificado de host de área de trabalho remota é necessário para as máquinas cliente se conectarem. Você acabou de forçar o SSL, mas não instalou / mostrou um certificado confiável.