Limitazioni del brokering degli account per strumenti specifici

I sistemi di gestione degli accessi privilegiati (PAM) spesso limitano la visibilità delle password per motivi di sicurezza. In Devolutions Server, e analogamente ad alcuni dei nostri partner, adottiamo un approccio a doppia autorizzazione: una consente di visualizzare la password e l'altra permette l'uso della password tramite Remote Desktop Manager che agisce per suo conto. Chiamiamo questa funzionalità account brokering, comunemente nota come "agire per procura". In sostanza, Remote Desktop Manager si comporta come un portiere che, invece di consegnarle una chiave, le apre direttamente la porta.

Tuttavia, questa funzionalità presenta una sfida con Remote Desktop Manager, che è stato inizialmente progettato per privilegiare la facilità d'uso, la flessibilità e l'integrazione con quasi 160 tecnologie diverse. Per alcune di queste tecnologie, limitare l'uso della password si è rivelato estremamente complesso. L'unica soluzione praticabile per mitigare il rischio è stata disabilitare completamente l'accesso a determinate tecnologie. Alcuni esempi sono le righe di comando, PowerShell e vari strumenti di gestione.

Sebbene rimanga possibile abilitare queste tecnologie in futuro, attualmente il rischio di potenziali violazioni della sicurezza — soprattutto considerando che un utente malintenzionato potrebbe sostituire uno strumento sicuro con uno creato da lui e non sicuro — è troppo elevato per essere affrontato efficacemente in questo momento.

In Devolutions Server, concedere l'autorizzazione a visualizzare la password può aggirare alcuni problemi, ma se i suoi protocolli di sicurezza lo vietano o se utilizza un'integrazione che non offre questa opzione, purtroppo al momento non esiste alcuna soluzione alternativa disponibile.

Nell'ambito del nostro accordo con CyberArk, è vietato visualizzare qualsiasi password ottenuta tramite la nostra integrazione. Per questo motivo, un numero significativo di tecnologie integrate in Remote Desktop Manager genererà un errore quando tenterà di utilizzare una credenziale CyberArk.