¿Es seguro el RDP? Una charla con el CTO/Cofundador de Splashtop y Jerry Hsieh, Director Senior de Seguridad. Director de Seguridad & Compliance de Splashtop

un teclado de ordenador

En los últimos meses, a medida que el ransomware y los hackers siguen apareciendo en los titulares, estamos escuchando más y más preguntas sobre los protocolos de seguridad para las soluciones de acceso remoto, junto con preguntas sobre las vulnerabilidades de VPN (Red Privada Virtual) y RDP (Protocolo de Escritorio Remoto). En algunos casos, hemos oído que la gente puede incluso comparar RDP y su riesgo inherente con las soluciones de Splashtop.

Nuestra CMO, Michelle Burrows, se sentó con el cofundador y CTO de Splashtop, Phil Sheu, junto con Jerry Hsieh, Director Senior de Seguridad y Cumplimiento de Splashtop para ver si las preocupaciones sobre RDP están justificadas y para comparar RDP con las soluciones de Splashtop.

Michelle: He leído mucho últimamente sobre el riesgo de usar RDP, incluyendo este reciente artículo de que hablaba de todas las razones por las que RDP no es seguro. ¿Por qué cree usted también que RDP no es la opción correcta para las organizaciones preocupadas por la seguridad?

Jerry: Antes de hablar de por qué el RDP supone una amenaza para las empresas y negocios que lo utilizan, hablemos primero de qué es y por qué existe. RDP es una tecnología antigua que se diseñó originalmente para que el personal de TI pudiera acceder a los servidores sin tener que entrar físicamente en la sala de servidores. Se creó para resolver un problema muy específico: la sala de servidores suele mantenerse superfría, y también es ruidosa, ya que alberga muchos equipos. Es fácil entender por qué el personal de TI no querría entrar en esa sala muy a menudo y, por no hablar de trabajar en ella. Con la llegada de RDP, el personal de TI puede iniciar sesiones RDP para trabajar en los servidores de forma remota, sin tener que desplazarse a una sala de servidores fría y ruidosa.

Con el tiempo, el personal de TI se dio cuenta de que el RDP no era especialmente seguro, por lo que algunos empezaron a añadir otras configuraciones de seguridad, como ACL, políticas de cortafuegos o la colocación de una puerta de enlace VPN para añadir otra capa de seguridad si se necesitaba acceder al RDP fuera de la red de la empresa. He hablado con equipos que luego piensan que esto es seguro, pero una mala configuración del sistema a menudo lleva a que se vea comprometido.

Y, como hablamos hace unas semanas en esta entrevista, las VPN tampoco son seguras por bastantes razones. Lo que veo entonces es que los equipos, creyendo que están añadiendo una pieza más a su base de seguridad, están en cambio combinando dos tecnologías que son más antiguas y vulnerables. Es como poner una valla alrededor de tu casa y luego dejar la valla y la puerta principal sin cerrar y abiertas. Ni la valla ni la puerta protegerán los bienes de la casa si ambas se dejan abiertas. Las características de seguridad de la VPN no compensan las vulnerabilidades del RDP.

Michelle: Mientras te escucho y todas las razones para no usar RDP o una VPN, tengo que preguntarme, ¿por qué los equipos siguen usando este tipo de tecnología?

Jerry: La mayor razón por la que el personal de TI utiliza RDP y RDP más una VPN es porque es más o menos gratis y es fácil. Está incorporado en Microsoft, y está ahí para que lo uses como parte de la utilidad de Windows. Esto significa que los equipos de TI no necesitan comprar nada especial: viene con su licencia de Microsoft, aunque RDS (Remote Desktop Services) requiere licencias adicionales.

Michelle: Phil, ¿algo que añadir sobre RDP y sus vulnerabilidades?

Phil: El RDP ha existido durante mucho tiempo, incluso antes de que HTTPS y TLS se convirtieran en el estándar de oro para asegurar el tráfico de Internet. RDP fue diseñado para trabajar sobre un puerto particular y responderá a cualquiera que le haga un "ping" sobre el puerto. Un ordenador conectado a Internet con este puerto abierto y RDP activo puede empezar a recibir ataques en tan sólo 90 segundos. Los atacantes son increíblemente expertos en buscar y encontrar puntos finales RDP vulnerables. Al obtener acceso a un punto final RDP, los atacantes pueden pivotar para acceder a la red corporativa a la que el ordenador está conectado.

Michelle: Dime en qué se diferencia Splashtop de RDP.

Phil: En primer lugar, hemos diseñado Splashtop para que sea nativo de la nube y utilice protocolos de seguridad estándar del sector como HTTPS y TLS. Los datos se pasan a través del puerto 443 al igual que todo el tráfico web cifrado estándar hoy en día, y las conexiones son facilitadas por nuestros servidores de retransmisión en todo el mundo. Para nuestros clientes, todo esto significa que no se necesitan puertos especiales, y los cortafuegos no necesitan permitir excepciones especiales. Los ordenadores que utilizan Splashtop no necesitan quedar expuestos en Internet o DMZ para que los malos actores puedan escanear y atacar fácilmente.

Michelle: ¿Significa eso que Splashtop tiene su propia tecnología?

Phil: Sí, tenemos nuestra propia tecnología. Hay muy poco en común entre las arquitecturas de Splashtop y RDP para el acceso remoto. Se me ocurren empresas que han optado por construir sobre RDP, pero nosotros decidimos construir algo único en aras de la seguridad y la experiencia del usuario.

Más allá de la seguridad, este enfoque también permite a nuestros clientes de TI y del servicio de asistencia técnica acceder al gran conjunto de dispositivos que no son compatibles con RDP (piense en Macs, iOS, Android e incluso algunas versiones de Windows), todo ello con el mismo alto rendimiento y facilidad de uso.

Como última nota sobre la RDP, llevaré la analogía que hizo Jerry sobre dejar la puerta abierta a los ladrones un poco más allá. Digamos que tienes una casa en la calle y la puerta está abierta y todas tus pertenencias están básicamente a la vista. Mientras que toda la zona circundante no sabría que tu puerta está abierta, cualquiera que pase por allí puede saber fácilmente que no hay nadie en casa y que tu puerta está abierta. Eso es como RDP. Ahora, tome esta misma casa y póngala detrás de una comunidad cerrada. Pero, deja la puerta abierta de par en par y la verja abierta. Eso es como RDP, más una VPN.

Tomemos esta analogía para comparar cómo funciona Splashtop. Tome esta misma casa y póngala en una comunidad cerrada con un guardia. Ahora cierra la puerta y cierra el portón. El guardia de seguridad está comprobando los permisos de visita. Nadie fuera de la puerta puede ver tu casa y sus pertenencias. De hecho, puede que la casa ni siquiera sea visible desde detrás de la verja. Y nadie puede ver tu casa, sus pertenencias o si estás en casa. Ahora bien, usted puede invitar a una persona en particular a entrar, pero no tiene una invitación abierta para que cualquier otra persona se asome. Así es como funciona Splashtop a alto nivel.

Michelle: Gracias por las analogías y por tomarse el tiempo de recorrer todo esto. ¿Puede indicarme dónde pueden los lectores de nuestro blog obtener más información sobre la seguridad de Splashtop?

Phil: Me gustaría compartir algunos recursos de seguridad con nuestros clientes y futuros clientes. Hemos creado una sección en nuestro sitio web dedicada a la seguridad y a las preguntas que la gente pueda tener. Puede acceder a ella aquí: https://www.splashtop.com/security

Artículos relacionados

Banner de Prueba Gratuita en la Parte Inferior del Blog