Utenti RDP e sicurezza

A volte per sicurezza per determinati utenti si avviano sessioni RDP in cui viene avviata una determinata applicazione anziché il desktop, in questi casi occorre tenere presente però che per impostazione predefinita è possibile utilizzare gli shortcuts predefiniti.

In particolare si noti che la combinazione di tasti CTRL+ALT+END permette di aprire l’interfaccia Windows Security.

Come si può notare questo permetterà di eseguire azioni che probabilmente non si intendeva permettere di compiere all’utente se era stato deciso che potesse utilizzare solo una determinata applicazione una volta avviata la sessione RDP.

Infatti tramite la Gestione attività sarà possibile visualizzare i processi, servizi attivi, le informazioni sulle prestazioni e gli utenti connessi. Inoltre è possibile avviare altre applicazioni ed esplorare i volumi

Ovviamente l’utente potrà fare solo quanto gli è consentito in base alle sue membership, ma già il fatto che possa aprire altre applicazioni e visualizzare informazioni sul sistema nelo scenario descritto precedentemente può costituire un rischio per la sicurezza soprattutto se l’utente in questione è esterno all’organizzazione.

Per ovviare è possibile configurare le policy locali o di dominio in modo da evitare di possa avviare gestione risorse nascondendo la voce nell’interfaccia Windows Security tramite la policy utente:

Configurazione utente\Criteri\Modelli amministrativi\Sistema\Opzioni CTRL+ALT+CANC\Rimuovi Gestione attività

Volendo sono anche disponibili le opzioni Rimuovi Blocca computer e Rimuovi Cambia password

Altre opzioni che sono disponibili tramite l’interfaccia Windows Security sono quelle relative al riavvio e all’arresto del sistema, ma qui va precisato che utente di dominio non ha il diritto di eseguire tali operazioni quindi siamo di fronte ad un’inconsistenza dell’interfaccia, infatti se si tenta di eseguire le operazioni verrà visualizzata la dialog che richiede la motivazione del riavvio/arresto ma poi l’operazione non viene eseguita.

Sarebbe stato quindi più corretto non visualizzare tale opzioni o visualizzarle disabilitate come di fatto avviene nel menù Start:

Anche in questo caso è possibile ovviare tramite policy locali o di dominio nascondendo le suddette opzioni:

Configurazione utente\Criteri\Menu Start e Barra delle applicazioni\Rimuovi e impedisci accesso ai comandi Arresta il sistema, Riavvia il sistema, Sospensione e Ibernazione