PCI-Compliance: Verwendung von SSL als Transportschicht für RDP (Terminal Service)

Question

Mein Mandant ist fehlgeschlagen ihren PCI-Compliance-Audit. Der Server unterstützt Remote Desktop (Terminal Service), sondern nur ermöglicht die Verschlüsselung und die Authentifizierung nicht. Dies legt den Server Man-In-The-Middle-Angriffe.

Die vermeintliche Lösung für RDP SSL als Transportschicht zu erzwingen.

Wer weiß, wie dies zu tun?

Der Server läuft Windows 2003.

Answer 1

Die ‚alte‘ RDP in der Tat führt keine Authentifizierung, aber ich würde vorsichtig mit SelfSSL in der von @ ig0774 gesendet Link vorgeschlagen werden (der Rest der Daten in der Verbindung ist korrekt!) Wenn die Authentifizierung ist das, was Ihnen wichtig sind haben, dann Ihr Kunde erhalten eine real Server-Authentifizierung SSL / TLS-Zertifikat von VeriSign oder Thawte oder jemand anderes in der Liste der Windows hören CAs vertrauen.

Ich bezweifle irgendwie wird PCI selbst signierte Zertifikate ermöglichen. Aber ich bin froh, korrigiert zu stehen!