Limitations de l'injection d'identifiants pour certains outils

Les systèmes de gestion des accès privilégiés (PAM) restreignent souvent la visibilité des mots de passe pour des raisons de sécurité. Dans Devolutions Server, et comme chez certains de nos partenaires, nous appliquons une double approche de permissions : l'une permet d'afficher le mot de passe, et l'autre permet l'utilisation du mot de passe par l'intermédiaire de Remote Desktop Manager agissant en votre nom. Nous appelons cette fonctionnalité l'injection d'identifiants, communément appelée « agir par proxy ». Essentiellement, Remote Desktop Manager agit comme un concierge qui, au lieu de vous remettre une clé, ouvre directement la porte pour vous.

Cependant, cette fonctionnalité représente un défi avec Remote Desktop Manager, qui a d'abord été conçu pour privilégier la facilité d'utilisation, la flexibilité et l'intégration avec près de 160 technologies différentes. Pour certaines de ces technologies, restreindre l'utilisation des mots de passe s'est avéré extrêmement complexe. La seule solution viable pour atténuer le risque était de désactiver complètement l'accès à certaines technologies. Parmi ces exemples, on retrouve les lignes de commande, PowerShell et divers outils de gestion.

Bien qu'il demeure possible d'activer ces technologies à l'avenir, le risque de brèches de sécurité potentielles — surtout si l'on considère qu'un utilisateur malveillant pourrait remplacer un outil sécurisé par un outil non sécurisé qu'il a lui-même créé — est actuellement trop grand pour être traité efficacement pour le moment.

Dans Devolutions Server, accorder la permission d'afficher le mot de passe permet de contourner certains problèmes, mais si vos protocoles de sécurité l'interdisent ou si vous utilisez une intégration qui n'offre pas cette option, il n'existe malheureusement aucune solution de contournement pour l'instant.

Dans le cadre de notre entente avec CyberArk, il est interdit d'afficher un mot de passe obtenu par l'intermédiaire de notre intégration. Pour cette raison, un nombre important de technologies intégrées dans Remote Desktop Manager déclencheront une erreur lorsque vous tenterez d'utiliser un identifiant CyberArk.