La version actuelle de Remote Desktop est-elle sécurisée?

Je me souviens quand j'ai commencé à utiliser Remote Desktop avec Windows XP Pro il y a de nombreuses années, qu'il n'était pas sécurisé d'utiliser sans vpn.

Maintenant, avec Windows 7, lorsque je me connecte à mon ordinateur à la maison, je reçois un message indiquant que le certificat ne provient pas d’une autorité de certification approuvée. Est-ce que mes connexions au bureau à distance sont cryptées?

Des modifications ont été apportées à FIPS depuis Windows Server 2003 SP1 et son utilisation est désormais beaucoup plus sécurisée. Vous pouvez activer certaines fonctionnalités de sécurité via l'éditeur de stratégie de groupe (exécutez gpedit.msc à partir du menu Démarrer):

Corrigez-moi si je me trompe, mais vous n'aviez pas besoin d'un VPN auparavant pour accéder à RDP en toute sécurité. C'était considéré comme plus sûr, car vous disposiez d'une autre barrière à franchir pour pouvoir vous connecter à la machine distante.

Cela en soi ne parle pas de la sécurité de Windows / RDP, qui dispose du cryptage RSA RC4 pour la connexion RDP.

Ces paramètres sont tous disponibles à partir de (Windows 2003/2008 Server):

Programmes > Outils d'administration > Configuration des services Terminal Server

Et à partir de là, vous pouvez définir 3 types de cryptage différents, haut / moyen / bas, il existe des détails à ce sujet ici: http://www.windowsecurity.com/articles/Windows_Terminal_Services.html

Il y a beaucoup d'autres sources qui parlent de sa sécurité.

Maintenant est-ce peu sûr? Peut-être est-il vulnérable aux mêmes attaques que tout serveur Windows. Cela dépend de la configuration du serveur lui-même.

Depuis la version 6 (à partir de Vista / 2003 SP1), le protocole RDP prend en charge le cryptage TLS et 128 bits via RC4. Ce n'est pas une qualité militaire, sauf si vous parlez de l'armée dans les années 90, mais pour la plupart des utilisations, ce sera plus que suffisant.

En ce qui concerne le message de l’autorité de certification approuvée, pensez-vous que votre serveur est celui qui fournit le certificat? Cela revient à signer votre propre certificat SSL pour autant que je sache.