Windows 원격 데스크톱을위한 개인 / 공개 키 인증

18

SSH (Linux의 경우) 공개 / 개인 키 인증 (일반 비밀번호 인증을 열린 상태로 두지 않음)과 유사한 Windows RDP (원격 데스크톱 프로토콜)에 대한 것이 있습니까?

인터넷 에서이 주제에 대한 상충되는 답변을 찾고 있습니다. 매번 로그인 할 때마다 복잡한 암호를 사용하는 대신 개인 키를 클라이언트 장치에 배포 할 수 있기를 바랍니다 (결국 암호 인증을 완전히 비활성화하고 싶지 않다고 가정).

remote-desktop authentication windows-server-2012-r2

— 번개 77
소스

2

특히 비밀번호 추측을 방지하는 연결 프로토콜의 통합을 거부함으로써 Redmond의 반값은 원격 시스템이 안전하지 않은 bloatware로 감염된 시스템보다 더 안전하지 않아야합니다. 데이터 섹션에서 MSFT가 실패했을 때 왜 놀라지 않습니까?

— GT.

4

원격 데스크톱은 "스마트 카드 인증"이름으로 X.509 클라이언트 인증서를 지원합니다. 이름에도 불구하고 로컬에 설치된 인증서 / 키와 함께 작동 해야 합니다 (예 : 실제 스마트 카드가없는 경우). 그러나 내가 아는 한 Active Directory 도메인이 필요합니다.

따라서 여러분에게 유용한 방식은 아닙니다.

— 사용자 1686
소스

1

조금 확장 하시겠습니까? RDP 게이트웨이가 없습니까?

— g2mk

0

AD 도메인이 없으면 간단한 사용자 이름 및 비밀번호 액세스를 막을 수있는 가능성은 다음과 같습니다.

Windows 용 OpenSSH 설치 ( https://github.com/PowerShell/Win32-OpenSSH/releases 또는 Windows 10 & 2019에서 사용 가능한 기능 임),
SSH 클라이언트를 사용하여 키로 로그온
SSH를 통한 비밀번호 인증 비활성화 (% ProgramData % \ ssh \ sshd_config에서 주석 해제 및 "비밀번호 인증"을 "no"로 설정),
그래픽 인터페이스가 필요한 경우 SSH를 통해 RDP를 터널링하도록 SSH 클라이언트를 구성하십시오 ( https://www.saotn.org/tunnel-rdp-through-ssh/ )
암호 로그온을 사용할 수 없도록 네트워크 (로컬 Windows 방화벽이 아닌)를 통해 "정규"RDP 트래픽 (TCP 포트 3389)을 비활성화합니다.

$$$에 더 나은 옵션이있을 수 있습니다. 예를 들어 Yubico의 솔루션 (하드웨어 토큰 포함)에 대해 들었습니다 : https://support.yubico.com/support/solutions/articles/15000028729-yubico-login-for-windows-configuration-guide

— 크리스
소스

유비 코 1 페이지는 암호로 시작하는 2 단계 솔루션을 말합니다. 질문은 비밀번호를 사용하지 않는 것입니다. 2. RDP에 대해서는 아무 말도하지 않습니다. 다른 유비 코 제품을 염두에 두셨습니까?

— MarcH

이 터널링 솔루션은 일반 암호 기반 RDP 인증 위에 ssh 키 요구 사항을 추가하는 것 같습니다. 흥미롭고 더 안전하지만 문제는 암호의 불편을 개인 키로 바꾸는 것입니다.

— MarcH