[vaegkuulja]

Mida sellest arvate? Mina küll pettusin selles tugevalt. Peale XP'le sp3 installi ja registri häkkimist hakkas XP RDP tõesti "Network Level Autentimist" aktsepteerima ning sai serverisse sisse ka TS Gateway abil koos selle "moodsa" autentimisega. Kuid küsimus siit - mis kasu mul sellest on? Client-sertifikaatide abil autentimist pole MS ikka RDP'sse ehitanud. One-to-one client sertifikaatide mappimist AD'sse saab teha küll, kuid see RDP puhul ei toimi.
Siis üritasin "smart card" abil autentimist. Minnes mööda tõsiasjast, et meil poodides "smart carde" praktiliselt ei müüda, üritasin kasutada ID-kaarti. Sidusin ID-kaardi sertifikaadi kasutajakontoga, lubasin smart-card autentimise nii serveris kui XP's, kuid kui autentimiseks läks, teatas RDP lakooniliselt et smart-card on incompatible. Võibolla oleks ID-kaardi'l veel arenguruumi et seda saaks kasutada ka tuntumate teenuste puhul ning MS teenused.
Aga tehelikult see one-to-one sertifikaadi mappimisega autentimine pole nagunii turvaline. MS server ju ei pea arvestust selle kohta, mitmest masinast see sertifikaat käivitatud on. Korralikemate autentimistarkvarade puhul (mitte MS tarkvara) lubatakse client-sertifikaate kasutada ainult ühest masinast ja aktiveerida ainult üks kord. Lihtsalt selle aktiveerimisel seotakse kasutaja IP ja sertifikaat omavahel ning kuigi kasutajal on olemas privaatvõtmega sertifikaat installeerimiseks, ei lubata enam rohkem IP'si ligi. Vastasel juhul võib ju kasutaja jagada oma saadud privaatvõtmega sertifikaati kõigile oma sõpradele ja vaenlastele või siis see lihtsalt varastatakse talt. MS CA's saab panna küll seadistus, et privaatvõtit ei saa exsportida, kuid see on rohkem dumbuserite eemal hoidmiseks - kui juba privaatvõti jõuab ükskõik mis mõttetute graafiliste kasutajaliideste abil kasutajani, siis tähendab see nagunii seda et see võti on tal olemas ja ta võib teha sellega misiganes, kasvõi levitada eMule abil. Nagu MS'ile ikka kombeks, ka selles Network Policy Serveris on lehekülgede kaupa igasugu policite valimise võimalusi, kuid seda mida vaja, seda kõige elementaarsemat ja lihtsamat ikka pole tehtud. Näiteks MAC-aadresside filtreerimist samuti polnud (üle interneti peab seda tegema RDP klient ja saatma serverile). MS võiks eeskuju võtta kasvõi Citrix'ilt, kus client-sertifikaadid on juba ammu olemas ka RDP's. Väga madal profiil tundub ikka MS'il.

[Angrist]

ID kaart ei tööta jah windowsiga.

Vaegkuulja nigu ikka, sinu probleemid saavad alguse vähesest manuaali lugemisest ja halamisest teemal miks peedist pesumasinale trumlit ei saa teha.

Mnjaa MAC- filter RDP jaoks, vat see on idee

2003-l oli igatahes nii et kui tahtsid serte ise teha pidid enterprise serveri ostma, kuda see 2008 -s lahendatud on ma ei tea, aga ilmselt kuidagi samamoodi, kommertslikult.

[vaegkuulja]

[Angrist]

Ma arvan et saan ikka aru. Lihtsalt 2003ga on see lugu, et serte saad teha ainult teatud kindlatel otstarvetel ehk siis ainult need templated mis on ja kui tahad teha eriotstarbelist serdi templatet siis selleks pead ostma Enterprise. Smart cardi abil autentimine üle RDP on täitesti võimalik, lihtsalt selleks pead sa natuke rohkem valgeid pabereid lugema. Ehk siis õiget serti pead kasutama selleks.

Sul on veider komme võtta ja keerata peapeale asjade eesmärgid milleks miski tehtud on

Terminalid ja muud asjandused on ikka selleks, et ei oleks sõltuvust rauast ja asukohast, maci välja nuhkimine ja muutmine on üks kergemaid asju üldse ju, ning pakub pigem virtuaalset turvalisust ja jõhkrat overmanagementi, sama mis mingid vennad kunagi rääkisid et nad panevad IP aadrsse turvalisuse kaalutlusel käsitsi paika

PS. Igasugune overmanagement on saadanast.

[vaegkuulja]

[XR]

Kui on vaja suuremat turvalisust ja väljast poolt Terminal Serveri kasutamist, siis kasutage korralikku VPN-i.

sisevõrgust Terminal Serveri kasutamist ei tohiks küll piirata mingite "turvaliste" juradega. MAC-i aadressiga veel eriti

vaegkuulja, proovi ikkagi lõpuks asja kohta enne teooriat lugeda, milleks mingi asi vajalik on ja kus seda kasutatakse ja alles siis hakka loomkatseid tegema ja asju arvama.
Selline valearusaamisele jõudmisel järelduste tegemine ja foorumis kõva häälega karjumine, et asi on ikka ilge jama ei ole normaalne.

Sa näitad pigem ainult enda lollust kui toote puuduseid.

[vaegkuulja]

[XR]

[vaegkuulja]

[XR]

mille krdi pärast on vaja MAC aadressi filtrit juba võrgus sees olevale arvutile?
Kui arvuti on juba võrku sisse saanud, ükskõik siis missuguse autentimisega, siis mida sa enam autendid?

ID-kaardi tunnistamise mõttest ma saan aru, et kasutajal oleks mugav parooli asemel pinkood kirjutada.

[vaegkuulja]

[kännuämmelg]

[vaegkuulja]

[Angrist]

Windowsi saab ilusti smart cardiga autentima.
Windowsi sa ei saa ID kaardiga niisama autentima.
Mac autentimine on mõttetu kuna ei ole dünaamiline, kergelt hijackitav ja overmanagement.
VPN-id saad samamoodi serdiga (loe smartcard) autentima.
Man in the middle attacki avoidimiseks jaoks on vaja ESP+AH milleks kõlbavad väga hästi serdid.
Mitte exporditava serdi exportimine ei ole teps mitte nii lihtne.
ID kaardi saad autentima siis kui kasutad Sertifitseermiskeskuse PKI-d.


PS. MS-i RDP on siiski Citrixi tehtud.

[vaegkuulja]

[mikk36]

vaegkuulja, et mac'i valideerimine toimuks ühenduvas kliendis ?

[vaegkuulja]

[mikk36]

sisuliselt oleks tegemist siiski lihtsalt täiendava parooliga

[vaegkuulja]

[Angrist]

[quote="vaegkuulja"][quote="Angrist"]
ID kaardi saad autentima siis kui kasutad Sertifitseermiskeskuse PKI-d.
[/quote]

Aga ei saa. Selles kogu point ongi, et nende sert pole smartcard kompatiibel. Seda serti annab MS CA ja see peab olema kindlasti smartcard template järgi tehtud.
......aa, existing key'le pole ma tõesti veel proovinud serti teha, võibolla aitab see, proovin kohe järgi.[/quote]

Suhtkoht nõus, aga anikeiss isegi kui Sertifitseerimiskeskus paneb sinna õige serdi peale siis ei saa sa seda kasutada enne kui kasutad Sertiftseerimiskeskuse PKI-d.

[vaegkuulja]

[Angrist]

Ok, ma nüüd astun natuke haprale pinnale ja ma ei ole väga veendunud et see mis ma räägin ka õige on.

Põhimõtteliselt minu arusaamist pidi ei ole küsimus ei micro$ofti softis vaid PKI struktuuris ning loogikas. Ehk siis selleks, et sa saaksid ID kaarti kasutada oma doomenis autentimisel siis peab sinu CA olema Sertifitseerimiskeskuse Subordinate CA.

Parandage mind kui ma eksin.

[vaegkuulja]

[Angrist]

Jah, logish ju et tahab, seal peaks olema mingi 4kb ruumi ka vist veel. Aga sel juhul sa ei kasuta mitte ID kaarti vaid lihtsalt kaarti toorikuna om serdi kirjutamiseks, ja see ei ole enam ID kaardiga kuidagi muidu seotud kui aint lahendab sinu Smardcardi hankeprobleemi.

[vaegkuulja]