Limitaciones de la intermediación de cuentas para herramientas específicas

Los sistemas de gestión de accesos privilegiados (PAM) suelen restringir la visibilidad de las contraseñas por motivos de seguridad. En Devolutions Server, y de forma similar a algunos de nuestros socios, aplicamos un enfoque de doble permiso: uno permite ver la contraseña y el otro permite utilizarla a través de Remote Desktop Manager actuando en su nombre. Denominamos a esta funcionalidad intermediación de cuentas, comúnmente conocida como «actuar por delegación». Básicamente, Remote Desktop Manager actúa como un conserje que, en lugar de darle una llave, le abre directamente la puerta.

Sin embargo, esta funcionalidad plantea un reto en Remote Desktop Manager, que se diseñó inicialmente para priorizar la facilidad de uso, la flexibilidad y la integración con casi 160 tecnologías diferentes. En algunas de estas tecnologías, restringir el uso de la contraseña resultó ser muy complejo. La única solución viable para mitigar el riesgo fue desactivar por completo el acceso a determinadas tecnologías. Entre estos ejemplos se incluyen las líneas de comandos, PowerShell y diversas herramientas de gestión.

Aunque sigue existiendo la posibilidad de habilitar estas tecnologías en el futuro, actualmente el riesgo de posibles brechas de seguridad —especialmente teniendo en cuenta que un usuario malintencionado podría sustituir una herramienta segura por otra creada por él mismo e insegura— es demasiado alto para abordarlo de forma eficaz en este momento.

En Devolutions Server, conceder permiso para ver la contraseña puede sortear algunos problemas, pero si sus protocolos de seguridad lo prohíben o si utiliza una integración que carece de esta opción, lamentablemente no existe actualmente ninguna solución alternativa disponible.

Como parte de nuestro acuerdo con CyberArk, está prohibido mostrar en cualquier momento una contraseña obtenida a través de nuestra integración. Por este motivo, un número significativo de tecnologías integradas en Remote Desktop Manager generará un error cuando intente utilizar una credencial de CyberArk.