虛擬桌面的登錄過程對黑客來說非常脆弱，但是可以通過加密以及雙因素認(rèn)證確保VDI用戶認(rèn)證的安全性。

給用戶提供一臺物理PC意味著他們需要PC訪問公司的系統(tǒng)。過去只能夠通過局域網(wǎng)訪問。但是在過去的十年，員工在家辦公或者在具有互聯(lián)網(wǎng)連接的地方辦公已經(jīng)變得很普遍。VDI使得通過互聯(lián)網(wǎng)訪問成為更加簡單以及更加通用的工作方式，但是互聯(lián)網(wǎng)并不是個友好的地方。

使用加密保護(hù)用戶憑據(jù)

首先，存在的一個風(fēng)險就是監(jiān)視網(wǎng)絡(luò)的觀察者能夠看到你訪問VDI環(huán)境的用戶名以及密碼。如果能夠監(jiān)測到實(shí)際的數(shù)據(jù)，為什么要猜測用戶以及密碼呢?為了保護(hù)在網(wǎng)絡(luò)比如互聯(lián)網(wǎng)中傳輸?shù)挠脩魬{據(jù)，一定要確保用戶名以及密碼被加密了。請記住并不是所有的員工都很友好而且并不是網(wǎng)絡(luò)中的所有人都是你的員工。將所有網(wǎng)絡(luò)看作是充滿敵意的，即使是在辦公室中的網(wǎng)絡(luò)。

最為常見的加密方式是基于用戶證書的SSL連接。SSL中最為關(guān)鍵的因素之一是信任：你相信證書的發(fā)行方嗎?建立信任并只允許用戶接受可信的證書是使用SSL確保密碼安全的一個關(guān)鍵因素。

如果不對非?？尚诺脑词褂肧SL認(rèn)證，那么你必須允許用戶接受不受信的證書。即使是在內(nèi)部網(wǎng)絡(luò)，這也不是個好主意。務(wù)必部署受信的證書并強(qiáng)制只能使用經(jīng)過加密的受信證書以避免證書以及數(shù)據(jù)被竊聽。

安全密碼

需要了解的一個關(guān)鍵問題就是密碼不是非常安全。密碼列表的統(tǒng)計(jì)分析表明用戶的很大一部分密碼是非常簡單的，也就是字母以及數(shù)字的組合。盡管通過公司的網(wǎng)站計(jì)算出可能的用戶名并不需要做很多工作，但用戶名可能要比密碼更難猜測。破解能夠通過互聯(lián)網(wǎng)使用用戶名以及密碼進(jìn)行訪問的任一應(yīng)用程序不會花太多的時間，即使應(yīng)用只能夠通過SSL訪問。

對密碼有益的補(bǔ)充是第二個加密因素，或者是不穩(wěn)定密碼或者是物理標(biāo)記。不穩(wěn)定密碼的生命周期很短。常規(guī)密碼可能一個月才會過期，不穩(wěn)定密碼可能每分鐘都會發(fā)生改變。

其中一個例子就是RSA密鑰卡，每分鐘生成一個新的六位數(shù)字。用戶必須輸入用戶名以及每分鐘新生成的密碼才能登錄系統(tǒng)。黑客通過網(wǎng)絡(luò)或者偷看獲得的不穩(wěn)定密碼，必須在一分鐘以內(nèi)使用。即使是這樣，只有在用戶使用密碼之前黑客才能使用該密碼，因?yàn)檎_的密碼只能夠被接受一次。

物理標(biāo)記是類似智能卡的設(shè)備，必須在VDI客戶端設(shè)備上將智能卡插入到讀卡器中才能進(jìn)行訪問。標(biāo)記通常和用戶名、密碼或者PIN一起使用，因此只有標(biāo)記是不允許訪問的。這意味著只偷走標(biāo)記沒有任何用處。

另一個雙因素認(rèn)證機(jī)制是使用電話號碼作為第二個認(rèn)證因素，或者向用戶發(fā)送一個不穩(wěn)定密碼或者在登錄時讓用戶撥打特定的號碼。目標(biāo)是組合用戶名、密碼或者PIN，電話，RSA標(biāo)記，智能卡才能夠允許登錄系統(tǒng)。

VDI并非天生就是安全的，這和你如何實(shí)現(xiàn)該技術(shù)有關(guān)。像樣的VDI產(chǎn)品將提供端到端加密而且允許使用雙因素認(rèn)證。無論用戶在哪兒登錄你都應(yīng)該啟用加密，無論是否存在明顯的攻擊風(fēng)險，例如是否允許通過互聯(lián)網(wǎng)登錄，你都應(yīng)該部署雙因素認(rèn)證。大多數(shù)VDI產(chǎn)品能夠基于用戶的連接方式選擇不同的身份認(rèn)證機(jī)制。