Cos'è il protocollo di remote desktop?

Il protocollo di remote desktop (Remote desktop protocol, RDP) è un protocollo di comunicazione di rete che consente agli utenti di collegarsi in remoto ai computer in tutta sicurezza. Oltre a consentire agli amministratori IT e al personale di DevOps di eseguire la manutenzione e riparazione dei sistemi in remoto, il RDP consente agli utenti finali non tecnici di accedere in remoto alle loro postazioni di lavoro.

Il RDP era stato originariamente sviluppato da Microsoft e preinstallato sulla maggior parte delle macchine con Windows. Inoltre, i client RDP, incluse le versioni open-source, sono disponibili per i sistemi Mac OS, Apple iOS, Android e Linux/Unix. Ad esempio, il Java Remote Desktop Protocol è un client RDP open source di Java per Windows Terminal Server, mentre Apple Remote Desktop (ARD) è una soluzione proprietaria per il Mac di Apple.

Come funziona il protocollo di remote desktop?

Spesso il RDP viene confuso con il cloud computing perché entrambe le tecnologie consentono il lavoro da remoto. In realtà, l'accesso remoto è proprio l'unico aspetto simile che accomuna il RDP e il cloud, nient'altro.

In un ambiente cloud, gli utenti accedono a file e applicazioni conservati sui server del cloud, e non sul disco rigido del loro computer desktop. Al contrario, il RDP collega in modo diretto gli utenti con i computer desktop, consentendo loro di accedere a file ed eseguire applicazioni come se fossero fisicamente seduti davanti alla loro macchina. Da questa prospettiva, usando il RDP per collegarsi e lavorare su un computer remoto equivale a usare un telecomando per guidare un drone, con la sola differenza che il RDP trasmette i dati su Internet invece di usare le frequenze radio.

Il RDP richiede agli utenti di installare il software del client sulla macchina con cui si collegheranno e il software del server sulla macchina a cui si collegheranno. Una volta collegati alla macchina remota, gli utenti in remoto vedranno la stessa interfaccia utente grafica (GUI) del desktop e accederanno a file e applicazioni nello stesso modo in cui farebbero se lavorassero in sede.

Il software del client e del server del RDP comunicano tramite la porta di rete 3389, usando il protocollo di trasporto TCP/IP per la trasmissione dei movimenti del mouse, le pressioni dei tasti e altri dati. Il RDP crittografa tutti i dati in transito per evitare che gli aggressori li intercettino. A motivo della GUI, le comunicazioni tra client e server sono ad elevata asimmetria: sebbene il client trasmetta soltanto gli input provenienti da mouse e tastiera, ovvero dati relativamente esigui, il server deve trasmettere una GUI ricca di dati.

A cosa serve il RDP?

Persino in un mondo basato sul cloud, il RDP è un ottimo strumento da aggiungere in molti casi d'uso. Ecco quelli più frequenti:

Poiché il RDP collega gli utenti direttamente a una macchina specifica, viene utilizzato in modo esteso da amministratori e personale di assistenza e supporto tecnico per configurare, manutentare, risolvere i problemi e riparare i computer desktop e i server.
Il RDP offre una GUI pronta quando ci si connette ai server, pertanto gli amministratori possono scegliere di svolgere il lavoro usando la GUI invece dell'interfaccia a riga di comando (Command Line Interface, CLI).
Il RDP consente agli utenti di usare un dispositivo mobile o un computer low-end per accedere a una macchina remota dotata di una capacità computazionale di gran lunga maggiore.
Il personale addetto alle vendite e al marketing può avvalersi del RDP per le dimostrazioni dei processi o le applicazioni software che di solito sono accessibili solamente in sede.
Il RDP e il cloud computing possono essere utilizzati insieme. I clienti Microsoft Entra ID (Azure) usano il RDP per accedere alle macchine virtuali sulle loro istanze cloud di Entra ID (Azure). Alcune organizzazioni usano il RDP per consentire a chi lavora in remoto di accedere agli ambienti in cloud tramite una interfaccia di desktop virtuale (VDI), più semplice da usare per gli utenti non tecnici.

Quali sono i vantaggi e gli svantaggi del RDP?

Poiché collega in modo diretto ai server e ai computer in sede, il RDP consente il telelavoro nelle organizzazioni con un'infrastruttura di sede legacy, inclusi gli ambienti cloud ibridi. Analogamente, il RDP è un'ottima opzione quando gli utenti remoti devono accedere ai dati che devono essere conservati in sede per ragioni normative o di conformità. Gli amministratori IT e di sicurezza possono limitare i collegamenti con RDP a una determinata macchina, a soli pochi utenti (anche solo uno) alla volta.

Tuttavia, considerati tutti i vantaggi del RDP, effettivamente ci sono anche degli svantaggi, tra cui:

Poiché l'utilizzo che l'utente fa del mouse e della tastiera deve essere crittografato, poi trasmesso via Internet alla macchina remota, i collegamenti con RDP soffrono di problemi di latenza, in particolare se il computer del client ha una connessione a Internet lenta.
Il RDP richiede l'utilizzo di software sia sulla macchina del client che su quella del server. Sebbene tale software sia preinstallato nella maggior parte delle versioni di Windows, deve comunque essere configurato e manutentato. Se il RDP non viene configurato correttamente e gli aggiornamenti software non vengono applicati tempestivamente, potrebbero verificarsi dei seri problemi di sicurezza.
Il RDP è suscettibile a numerose vulnerabilità di sicurezza, le quali verranno affrontate nella sezione successiva.

Vulnerabilità di sicurezza del RDP

Le due maggiori vulnerabilità di sicurezza del RDP riguardano le credenziali di accesso deboli e l'esposizione della porta 3389 su Internet.

Lasciati in balia dei propri dispositivi, i dipendenti usano password deboli, le conservano in modo poco sicuro e riutilizzano le stesse password per più account. Questo vale anche per le password dei collegamenti con RDP. Le credenziali RDP compromesse sono un vettore molto gettonato negli attacchi con ransomware. Il problema è talmente diffuso che persino un famoso meme apparso sui social scherza in modo grottesco sul fatto che l'acronimo RDP in realtà significhi “ransomware deployment protocol” (protocollo per la distribuzione di ransomware).

Poiché i collegamenti RDP utilizzano in modo predefinito la porta di rete 3389, gli aggressori prendono tale porta come bersaglio per i loro attacchi on-path, noti anche come attacchi Man-in-the-Middle (MITM). Durante un attacco on-path, l'aggressore si posiziona tra la macchina del client e quella del server, dove può intercettare, leggere e modificare le comunicazioni che vengono scambiate.

Come rendere sicuro il RDP

Dapprima dovete decidere se la vostra organizzazione ha davvero bisogno di utilizzare il RDP oppure se fareste meglio a optare per un'alternativa, quale il virtual network computing (VNC), un sistema di condivisione del desktop grafico senza piattaforma fissa. Se il RDP è la vostra migliore opzione, l'accesso sarà limitato ai soli utenti che ne hanno bisogno e l'accesso alla porta 3389 sarà chiuso. Tra le opzioni per proteggere la porta 3389 abbiamo:

Configurazione delle regole per il firewall in modo che solo gli IP dell'elenco degli consentiti possano accedere alla porta 3389.
Imporre agli utenti di connettersi a una rete privata virtuale (VPN) prima di accedere al RDP.
In alternativa a una VPN, chiedete agli utenti di connettersi al RDP attraverso un gateway per desktop remoto come Keeper Connection Manager. Oltre a essere più facili da usare e meno lenti di una VPN, i gateway per desktop remoti sono dotati di funzionalità di registrazione delle sessioni e consentono agli amministratori di imporre l'uso dell'autenticazione multifattoriale (AMF).

La sicurezza completa delle password è tanto importante quanto la protezione dagli attacchi alla porta:

Imponente ai dipendenti l'utilizzo di password complesse e univoche per ogni account, non solo per il RDP, e anche l'utilizzo dell'AMF. A rinforzo di tali regole, potete distribuire un gestore di password aziendali (EPM) come Keeper.
Prendete in considerazione il "mascheramento" delle password per RDP. Si tratta di una funzionalità dei gestori di password, quindi anche di Keeper, che consente agli utenti di compilare in automatico le password nei moduli di accesso, senza che l'utente le visualizzi.
Non utilizzate "Administrator", "Admin", "Amministratore" come nome utente. Molti software di violazione automatizzata delle password tentano di indovinare le password per l'utente amministratore, in quanto quell'account ha i privilegi più elevati.
Usate un limitatore di frequenza per difendervi dagli attacchi di forza bruta. Il limitatore di frequenza impedisce ai bot che vogliono violare le password di compiere centinaia, se non migliaia di rapidi tentativi di trovare la password giusta in un breve arco di tempo bloccando l'utente dopo un piccolo numero di tentativi non andati a buon fine.