Two-factor authentication für RDP mit Duo Security nachrüsten

Zuletzt aktualisiert am 21. Januar 2019 von Lars

Systeme, die direkt mit dem Internet verbunden sind, sind immer sicherheitskritisch. Die ganze Welt hat theoretisch Zugriff darauf und kann versuchen, das Passwort zu erraten, oder besser gesagt zu hacken. Zu diesem Zweck wurde die Zwei-Faktor-Authentifizierung (kurz 2FA oder englisch Two-factor authentication) eingeführt: Neben dem korrekten Passwort ist das Login nur durch ein zusätzliches Elements möglich.

Beispiele:

• Beim lokalen Login muss zusätzlich eine Smartcard (oft verbunden mit dem Firmenausweis) in das Gerät eingesteckt werden
• Beim Login muss zusätzlich ein Code eingegeben werden, der von einem zentralen Server via SMS kommt.
• Beim Login wird zusätzlich eine Anfrage an eine App geschickt und der User muss das Login auf der App bestätigen.
• Beim Geldautomat ist nur mit PIN (Login) und Bankkarte das Abheben von Geld möglich.

Die Sicherheit wird also deutlich erhöht. Nur mit Kenntnis eines Elementes alleine (z.B. Passwortes) ist kein Login möglich. Der Hacker müsste in den obigen Fällen also zusätzlich zum Password noch an Smartcard oder Handy kommen.

Es gibt hierzu viele Lösungen auf dem Markt. Relativ preisgünstig ist die der Firma Duo Security. In diesem Beitrag beschreibe ich die Installation für den RDP-Zugriff in meinem kleinen "IT-Labor".

Zunächst muss man sich unter signup.duosecurity.com registrieren. Das funktioniert wie allgemein bei Portalen üblich.

Im nächsten Schritt sollte man sich bereits die Duo Mobile App auf das Smartphone herunterladen und sich via dieser authentifizieren.

Nach dem Herunterladen und Starten der App fotografiert man einfach den QR-Code auf dem Bildschirm und synchronisiert so den angelegten Account mit der App.

Am PC geht es via Klick auf "Continue" weiter.

Im nächsten Schritt gibt man eine gültige Mobilfunknummer an. Duo Security schickt als Backup, falls die Kommunikation mit Smartphone nicht funktioniert, eine SMS mit einem Zugangscode.

Anschliessend fordert man zur Verifikation noch einen Code an, den man per SMS erhält und wieder in der Webseite eingibt

Nun kommt man auf die Auswahlseite für die zu schützenden Applikationen. Am einfachsten such man nach "RDP" und wählt das richtige Paket aus.

Jetzt kann man hier die letzte Version des Duo-Paketes herunterladen.

Vor der Installation legen wir noch einen User an.

Dieser muss gleich lauten wie der später zu verwendende Login-Name.

Jetzt muss man dem User noch das richtige Smartphone zuordnen. Hierzu wählt man Activate Duo Mobile.

Folgen Sie dem Assistenten zur korrekten Verknüpfung.

Nun folgt die Installation des zuvor heruntergeladenenen Software-Paketes. Sie startet wie üblich und fragt dann nach:

Die Angaben für Integration key, Secret key und API hostname entnehmen Sie der Website in Ihrem Account. Unter Umständen macht es Sinn die Option "Only prompt for Duo authentification when loggin in via RDP" zu aktivieren, falls Sie beim normalen Login nicht per Two-Factor-Authentification anmelden möchten.

Anschliessend führen Sie die Installationsassistenten bis zur endgültigen Installation aus.

Das war es schon. Loggen Sie sich jetzt ein, dann erscheint...

Auf meinem Android-Smartphone wird der Login-Versuch so gemeldet:

Mit einem Klick auf "Approve" schaltet man die Software frei.