虛擬桌面的登錄過(guò)程對(duì)黑客來(lái)說(shuō)非常脆弱，但是可以通過(guò)加密以及雙因素認(rèn)證確保VDI用戶認(rèn)證的安全性。

給用戶提供一臺(tái)物理PC意味著他們需要PC訪問(wèn)公司的系統(tǒng)。過(guò)去只能夠通過(guò)局域網(wǎng)訪問(wèn)。但是在過(guò)去的十年，員工在家辦公或者在具有互聯(lián)網(wǎng)連接的地方辦公已經(jīng)變得很普遍。VDI使得通過(guò)互聯(lián)網(wǎng)訪問(wèn)成為更加簡(jiǎn)單以及更加通用的工作方式，但是互聯(lián)網(wǎng)并不是個(gè)友好的地方。

使用加密保護(hù)用戶憑據(jù)

首先，存在的一個(gè)風(fēng)險(xiǎn)就是監(jiān)視網(wǎng)絡(luò)的觀察者能夠看到你訪問(wèn)VDI環(huán)境的用戶名以及密碼。如果能夠監(jiān)測(cè)到實(shí)際的數(shù)據(jù)，為什么要猜測(cè)用戶以及密碼呢?為了保護(hù)在網(wǎng)絡(luò)比如互聯(lián)網(wǎng)中傳輸?shù)挠脩魬{據(jù)，一定要確保用戶名以及密碼被加密了。請(qǐng)記住并不是所有的員工都很友好而且并不是網(wǎng)絡(luò)中的所有人都是你的員工。將所有網(wǎng)絡(luò)看作是充滿敵意的，即使是在辦公室中的網(wǎng)絡(luò)。

最為常見(jiàn)的加密方式是基于用戶證書(shū)的SSL連接。SSL中最為關(guān)鍵的因素之一是信任：你相信證書(shū)的發(fā)行方嗎?建立信任并只允許用戶接受可信的證書(shū)是使用SSL確保密碼安全的一個(gè)關(guān)鍵因素。

如果不對(duì)非?？尚诺脑词褂肧SL認(rèn)證，那么你必須允許用戶接受不受信的證書(shū)。即使是在內(nèi)部網(wǎng)絡(luò)，這也不是個(gè)好主意。務(wù)必部署受信的證書(shū)并強(qiáng)制只能使用經(jīng)過(guò)加密的受信證書(shū)以避免證書(shū)以及數(shù)據(jù)被竊聽(tīng)。

安全密碼

需要了解的一個(gè)關(guān)鍵問(wèn)題就是密碼不是非常安全。密碼列表的統(tǒng)計(jì)分析表明用戶的很大一部分密碼是非常簡(jiǎn)單的，也就是字母以及數(shù)字的組合。盡管通過(guò)公司的網(wǎng)站計(jì)算出可能的用戶名并不需要做很多工作，但用戶名可能要比密碼更難猜測(cè)。破解能夠通過(guò)互聯(lián)網(wǎng)使用用戶名以及密碼進(jìn)行訪問(wèn)的任一應(yīng)用程序不會(huì)花太多的時(shí)間，即使應(yīng)用只能夠通過(guò)SSL訪問(wèn)。

對(duì)密碼有益的補(bǔ)充是第二個(gè)加密因素，或者是不穩(wěn)定密碼或者是物理標(biāo)記。不穩(wěn)定密碼的生命周期很短。常規(guī)密碼可能一個(gè)月才會(huì)過(guò)期，不穩(wěn)定密碼可能每分鐘都會(huì)發(fā)生改變。

其中一個(gè)例子就是RSA密鑰卡，每分鐘生成一個(gè)新的六位數(shù)字。用戶必須輸入用戶名以及每分鐘新生成的密碼才能登錄系統(tǒng)。黑客通過(guò)網(wǎng)絡(luò)或者偷看獲得的不穩(wěn)定密碼，必須在一分鐘以?xún)?nèi)使用。即使是這樣，只有在用戶使用密碼之前黑客才能使用該密碼，因?yàn)檎_的密碼只能夠被接受一次。

物理標(biāo)記是類(lèi)似智能卡的設(shè)備，必須在VDI客戶端設(shè)備上將智能卡插入到讀卡器中才能進(jìn)行訪問(wèn)。標(biāo)記通常和用戶名、密碼或者PIN一起使用，因此只有標(biāo)記是不允許訪問(wèn)的。這意味著只偷走標(biāo)記沒(méi)有任何用處。

另一個(gè)雙因素認(rèn)證機(jī)制是使用電話號(hào)碼作為第二個(gè)認(rèn)證因素，或者向用戶發(fā)送一個(gè)不穩(wěn)定密碼或者在登錄時(shí)讓用戶撥打特定的號(hào)碼。目標(biāo)是組合用戶名、密碼或者PIN，電話，RSA標(biāo)記，智能卡才能夠允許登錄系統(tǒng)。

VDI并非天生就是安全的，這和你如何實(shí)現(xiàn)該技術(shù)有關(guān)。像樣的VDI產(chǎn)品將提供端到端加密而且允許使用雙因素認(rèn)證。無(wú)論用戶在哪兒登錄你都應(yīng)該啟用加密，無(wú)論是否存在明顯的攻擊風(fēng)險(xiǎn)，例如是否允許通過(guò)互聯(lián)網(wǎng)登錄，你都應(yīng)該部署雙因素認(rèn)證。大多數(shù)VDI產(chǎn)品能夠基于用戶的連接方式選擇不同的身份認(rèn)證機(jī)制。