Kleiner Lauschangriff gegen Windows-Fernwartung

Seite 3: Fazit

Fazit

Microsoft ist dieser Sachverhalt sehr wohl bekannt. In einem Technet-Artikel vom Januar 2005 dokumentiert das Unternehmen die Problematik mit dem Satz: "Remote Desktop Protocol (RDP) provides data encryption, but it does not provide authentication to verify the identity of a terminal server." Deshalb schlagen die Redmonder vor, RDP-Verbindungen mittels Transport Layer Security (TLS) zusätzlich abzusichern [4].

Damit werden dann zwar die bereits verschlüsselten RDP-Pakete nochmals verschlüsselt. Aber dank der in TLS vorgesehenen Authentifizierung ist dann wenigstens sichergestellt, dass sich ein Angreifer nicht unbemerkt dazwischenmogeln kann. Laut Microsoft muss dafür allerdings der Terminal Server auf Windows Server 2003 laufen und der Client mit Windows 2000 oder XP.

Aufgrund der für das Opfer unsichtbaren Angriffsmöglichkeit verbietet sich der ungesicherte Einsatz von Terminal Services und Remote Desktop in Firmennetzen. Befindet sich der Angreifer nicht im selben Netz wie der RDP-Client oder -Server, fällt das Risiko geringer aus. Er müsste dann schon einen der Router auf dem Weg unter seine Kontrolle bringen, um einen MITM-Angriff durchzuführen.

Nach diversen Studien erfolgt jedoch die Mehrzahl aller Angriffe in Netzwerken nicht durch externe Hacker, sondern von innen. Unzufriedene oder einfach nur neugierige Mitarbeiter können sich auf diesem Weg auch ohne großes technisches Wissen kritische Zugangsdaten verschaffen. Arbeitsplätze mit eingeschränkten Benutzerrechten reduzieren dieses Risiko zwar, aber wenn der Mitarbeiter von einer CD booten oder ein mitgebrachtes Laptop ans Netz anschließen kann, hält ihn das nicht wirklich auf.

Wer als Administrator seine RDP-Verbindungen zur Wartung eines Benutzerrechners nutzt und sie nicht beispielsweise über TLS absichert, riskiert ein kompromittiertes Administrator-Kennwort. Ebenso ist die RDP-Sitzung zu Windows-Servern durch geeignete Maßnahmen abzusichern, auch hier ist der Zugriff ohne zusätzliche Authentifizierung tabu.