Les informations d'identification du Bureau à distance enregistrées sont-elles sécurisées sur la machine locale?

23

Les informations d'identification du Bureau à distance enregistrées sont-elles sécurisées (à proprement parler) sur la machine locale? Ils ne sont pas stockés sous forme de texte clair, au moins, n'est-ce pas?

Edit: Je comprends les risques inhérents à la sauvegarde de mots de passe. Certes, il existe un spectre d'efficacité, par exemple enregistrer un mot de passe avec quelque chose comme CryptProtectData( ce que Google Chrome utilise sur Win32 ) est évidemment préférable à un mot de passe en clair.

windows-7 security remote-desktop passwords DuckMaestro
la source

Réponses:

19

Les anciennes versions du client Remote Desktop stockent le mot de passe dans le .rdpfichier, qui peut facilement être déchiffré.

À partir de Remote Desktop Client v6, les informations d'identification sont stockées à l'aide de l'API d'informations d'identification Windows. Les mots de passe sont cryptés de manière sécurisée à l'aide d'une clé liée à votre compte d'utilisateur Windows ( CryptProtectDatacomme décrit dans l'article lié à SecurityXploded @StackExchanger auquel il est lié) et leur accès nécessite votre mot de passe Windows (ou le disque de "récupération du mot de passe"). Ils peuvent cependant être lus par n’importe quel programme que vous exécutez, tel que NetPass .

Notez que si quelqu'un a un accès physique, il peut déchiffrer les mots de passe en utilisant quelque chose comme Ophcrack ou installer un enregistreur de frappe.

Grawity
la source
3

Selon securityxploded.com , les mots de passe peuvent être facilement récupérés à partir des informations d'identification stockées pour les sessions RDP.

Une meilleure solution consiste peut-être à utiliser un mot de passe sécurisé, comme KeePass, pour stocker les informations d'identification afin d'automatiser le processus de connexion RDP.

StackExchanger
la source
2
L'article "récupère" les informations d'identification à l'aide de CryptUnprotectData. D'après les informations dont je dispose, l'utilisateur doit-il être connecté avec son mot de passe?
Grawity
Oui, utilisez essentiellement les meilleures pratiques pour les mots de passe sous Windows. Utilisation d'un mot de passe> 14 caractères pour éviter le stockage de mots de passe hérités, par exemple. Les mots de passe sont de bonnes options.
Shiv
1

Vous posez la mauvaise question, à mon humble avis. Si quelqu'un pénètre dans votre ordinateur et trouve un fichier RDP lui permettant de se connecter à un ordinateur distant sans fournir de mot de passe, le dommage est déjà fait. En plus de cela, il pourrait utiliser la session à distance pour créer un nouvel utilisateur, ou même changer le mot de passe du compte actuel.

La solution consiste à ne jamais enregistrer les mots de passe dans le fichier RDP et à protéger votre ordinateur local. Oh, et basé sur de telles expériences passées avec le logiciel MS, je ne serais pas totalement surpris s'il gardait le mot de passe en texte brut ou légèrement haché quelque part. Observez leur traitement des mots de passe du réseau wifi dans Windows 7.

Voyageur Tech
la source
Merci pour la réponse et les points valides. J'ai mis à jour ma question pour clarifier l'angle sous lequel j'approche.
DuckMaestro
3
Windows 7 ne stocke aucun mot de passe dans le fichier RDP et leur hachage n'a aucun sens (il doit être déchiffrable lors de l'authentification). La création d'un nouvel utilisateur nécessite normalement des droits d'administrateur, ainsi que la modification d'un mot de passe existant - connaissance de l'ancien.
Grawity
1
Si l'alternative consiste à stocker le mot de passe dans un gestionnaire de clés, cela change-t-il le fait qu'il soit stocké dans RDP lorsqu'une personne a un accès local à la machine? Se souvenir de ces mots de passe n’est tout simplement pas une option raisonnable.
Joel McBeth