如何確保VDI用戶認證安全

 　　虛擬桌面的登錄過程對黑客來說非常脆弱，但是可以通過加密以及雙因素認證確保VDI用戶認證的安全性。

　　虛擬桌面的登錄過程對黑客來說非常脆弱，但是可以通過加密以及雙因素認證確保VDI用戶認證的安全性。

　　給用戶提供一台物理PC意味著他們需要PC訪問公司的系統。過去只能夠通過局域網訪問。但是在過去的十年，員工在家辦公或者在具有互聯網連接的地方辦公已經變得很普遍。VDI使得通過互聯網訪問成為更加簡單以及更加通用的工作方式，但是互聯網並不是個友好的地方。

　　使用加密保護用戶憑據

　　首先，存在的一個風險就是監視網絡的觀察者能夠看到你訪問VDI環境的用戶名以及密碼。如果能夠監測到實際的數據，為什麼要猜測用戶以及密碼呢?為了保護在網絡比如互聯網中傳輸的用戶憑據，一定要確保用戶名以及密碼被加密了。請記住並不是所有的員工都很友好而且並不是網絡中的所有人都是你的員工。將所有網絡看作是充滿敵意的，即使是在辦公室中的網絡。

　　最為常見的加密方式是基於用戶證書的SSL連接。SSL中最為關鍵的因素之一是信任：你相信證書的發行方嗎?建立信任並只允許用戶接受可信的證書是使用SSL確保密碼安全的一個關鍵因素。

　　如果不對非常可信的源使用SSL認證，那麼你必須允許用戶接受不受信的證書。即使是在內部網絡，這也不是個好主意。務必部署受信的證書並強制只能使用經過加密的受信證書以避免證書以及數據被竊聽。

　　安全密碼

　　需要了解的一個關鍵問題就是密碼不是非常安全。密碼列表的統計分析表明用戶的很大一部分密碼是非常簡單的，也就是字母以及數字的組合。盡管通過公司的網站計算出可能的用戶名並不需要做很多工作，但用戶名可能要比密碼更難猜測。破解能夠通過互聯網使用用戶名以及密碼進行訪問的任一應用程序不會花太多的時間，即使應用只能夠通過SSL訪問。

　　對密碼有益的補充是第二個加密因素，或者是不穩定密碼或者是物理標記。不穩定密碼的生命周期很短。常規密碼可能一個月才會過期，不穩定密碼可能每分鐘都會發生改變。

　　其中一個例子就是RSA密鑰卡，每分鐘生成一個新的六位數字。用戶必須輸入用戶名以及每分鐘新生成的密碼才能登錄系統。黑客通過網絡或者偷看獲得的不穩定密碼，必須在一分鐘以內使用。即使是這樣，只有在用戶使用密碼之前黑客才能使用該密碼，因為正確的密碼只能夠被接受一次。

　　物理標記是類似智能卡的設備，必須在VDI客戶端設備上將智能卡插入到讀卡器中才能進行訪問。標記通常和用戶名、密碼或者PIN一起使用，因此只有標記是不允許訪問的。這意味著只偷走標記沒有任何用處。

　　另一個雙因素認證機制是使用電話號碼作為第二個認證因素，或者向用戶發送一個不穩定密碼或者在登錄時讓用戶撥打特定的號碼。目標是組合用戶名、密碼或者PIN，電話，RSA標記，智能卡才能夠允許登錄系統。

　　VDI並非天生就是安全的，這和你如何實現該技術有關。像樣的VDI產品將提供端到端加密而且允許使用雙因素認證。無論用戶在哪兒登錄你都應該啟用加密，無論是否存在明顯的攻擊風險，例如是否允許通過互聯網登錄，你都應該部署雙因素認證。大多數VDI產品能夠基於用戶的連接方式選擇不同的身份認證機制。