远程桌面连接有多安全？

Question

当使用远程桌面连接时，是否像SSL一样安全地来回发送信息？用户名和密码安全吗？当通过远程桌面连接连接到远程服务器时，服务器是否至少需要使用自签名ssl证书来保护来回发送的数据？我只是想知道我的信息通过远程桌面连接是否安全。我正在连接从Win7个人电脑到Windows2008WindowsWebServer。谢谢你的帮忙!

Answer 1

默认情况下，该连接是使用自签名证书加密的。您应该在第一个连接上设置一个警告，或者对每个连接设置一个警告。如果你疑神疑鬼，可以使用签名证书。

Answer 2

RDP可以使用RC4 128位加密.据我所知，对于相同的密钥长度，RC4并不像AES那样强，但我不是密码学家。这个特性从XP开始就已经存在了，但是它并不是必需的。默认的组策略允许最低限度的加密或不加密以实现兼容性。不幸的是，直到Server 2003 SP1加密之后，连接才进行身份验证，因为它使用了硬编码的私钥。(我指的不是连接建立后的登录提示，而是连接尝试过程中的登录提示。)这意味着您无法确定您是否确实在与真正的RDP服务器对话。你可能会受到中间人的攻击，在那里你刚刚和一些恶意的第三方协商了一个加密的连接，后者正在解密所有的东西，然后再对其进行加密以发送到真正的服务器。这种情况只有在初次接触时才能发生。如果您确实与真正的服务器连接并协商加密，那么您是安全的，至少在尝试重新连接之前是安全的。从Server 2003 SP1和Vista开始，添加了TLS，并自动生成一个证书来签署连接握手。您仍然需要了解证书是什么，但可以存储它以验证未来的连接。理想情况下，证书将由内部CA为您的域名，但缺乏任何PKI，您可能仍然受制于中间人在第一次连接，除非你验证指纹。