אם אתם משתמשים ב-Chrome Remote Desktop כדי להתחבר למחשב הביתי, למחשב המשרדי או כדי לספק תמיכה לאחרים, זה נורמלי לתהות עד כמה הוא מאובטח. השילוב של גישה מרחוק, חשבון גוגל וחיבור לאינטרנט זה גורם למשתמשים רבים לדאוג האם מישהו עלול לפרוץ למכשירים שלהם או לרגל אחר מה שהם עושים.
לאורך מאמר זה, נבחן מקרוב כיצד גוגל מגינה על חיבורים, אילו סיכונים אמיתיים קיימים, כיצד ניתן לחזק את האבטחה צעד אחר צעד (מצב חלון, חומת אש, VPN, 2FA וכו'), ובאילו מצבים. אולי עדיף לבחור בחלופות מקיפות יותר כגון Splashtop, AnyViewer, או פתרונות מבוססי RDP עם שכבות נוספות כמו TSplus או RDS-Tools. הכל מוסבר בספרדית (ספרד) עם דוגמאות מעשיות כדי שתוכלו לקבל החלטה מושכלת.
מהו בדיוק שולחן עבודה מרוחק של Chrome ולמה הוא משמש?
שולחן עבודה מרוחק של Chrome (CRD) הוא פתרון הגישה מרחוק החינמי של גוגלזה התחיל כתוסף לדפדפן כרום וכיום מתפקד כאפליקציית אינטרנט ואפליקציה לנייד (אנדרואיד ו-iOS). זה מאפשר לך לשלוט במחשב אחר דרך האינטרנט: אתה יכול לצפות בשולחן העבודה המרוחק, להשתמש בעכבר ובמקלדת, לפתוח אפליקציות, לגשת לקבצים או לעזור למישהו אחר עם בעיה טכנית.
בעזרת CRD ניתן לחבר מחשב Windows למחשב Windows אחר, למערכת Mac או לינוקס, ואפילו השתמש בטלפון אנדרואיד או אייפון כדי לשלוט במחשב שלךכל מה שאתה צריך זה את Chrome או לקוח תואם, להיכנס עם חשבון Google שלך ולהתקין את רכיב המארח במחשב שאליו ברצונך לגשת.
ישנם שני מקרי שימוש נפוצים מאוד: גישה מרחוק קבועה (לדוגמה, השארת מחשב המשרד מוכן לחיבור מהבית) ותמיכה לפי דרישה, שבה האדם שזקוק לעזרה יוצר קוד זמני ואתה מתחבר כדי לפתור לו את הבעיה.
מגבלה עיקרית אחת היא שבתכנון, שולחן העבודה המרוחק של Chrome תלוי לחלוטין במערכת האקולוגית של גוגלאתה זקוק לחשבון גוגל, ובמקרים רבים, לדפדפן כרום כדי להגדיר אותו או להשתמש בו בנוחות. זהו חיסרון בסביבות ארגוניות שבהן נעשה שימוש בדפדפנים אחרים או במדיניות מחמירה יותר.
תשתית וטכנולוגיות אבטחה של Chrome Remote Desktop
הבסיס לאבטחה של Chrome Remote Desktop טמון בהצפנה ואימות.גוגל משתמשת באותה תשתית מאובטחת שהיא משתמשת בה עבור שירותים אחרים (Gmail, Drive וכו'), אך מיושמת לגישה מרחוק.
במהלך החיבור, CRD משתמש ב- TLS (אבטחת שכבת תעבורה) כדי להגן על ערוץ התקשורת בין מכשיר הלקוח למחשב המארח, TLS מצפין נתונים תוך כדי העברה ומונע מתוקף לקרוא את מה שנשלח, גם אם הוא יירט את תעבורת הרשת.
בנוסף לערוץ TLS, Chrome Remote Desktop משתמש ב- הצפנה סימטרית מתקדמת, כגון AES של 256 סיביותזוהי טכנולוגיה סטנדרטית בבנקאות מקוונת ובתקשורת ברמה גבוהה. משמעות הדבר היא שכל תנועת עכבר, לחיצת מקש ותוכן המסך עוברים מוצפנים מקצה לקצה.
האימות מסתמך על שלך חשבון גוגל זהות ראשיתלגישה קבועה, קוד סודי בן שש ספרות לפחות מוגדר במחשב המארח, המשמש כמחסום שני להתחלת סשן. בפגישות תמיכה ללא השגחה, נעשה שימוש בקוד חד פעמי שנוצר על ידי השירות עצמו, והוא תקף באופן זמני בלבד.
לבסוף, גוגל מציעה את האפשרות להפעיל אימות דו-שלבי (2FA) בחשבון גוגל שלךהוספת שכבת אבטחה נוספת באמצעות קודי SMS, אפליקציות אימות או מפתחות פיזיים אינה חובה, אך זוהי אחת ההגנות הטובות ביותר מפני גניבת אישורים.
האם שולחן העבודה המרוחק של Chrome אמין למרחקים ארוכים ולמשך ימים בכל פעם?
משתמשים רבים תוהים האם הם יכולים להשאיר את המחשב שלהם דלוק ונגיש למשך שבוע בזמן נסיעה ולהמשיך לעבוד ללא בעיות. מבחינת יציבות, Chrome Remote Desktop בדרך כלל מתפקד היטב. עבור הפעלות ארוכות, בתנאי שמחשב המארח מוגדר כראוי ואינו נכנס למצב שינה, מופעל מחדש או חווה הפסקות רשת.
טכנית אתה יכול השאר את שירות שולחן העבודה המרוחק של Chrome פועל ברציפות במחשב Windows, Mac או Linux שלך. אינך צריך לסגור את האפליקציה בכל פעם שאתה מסיים להשתמש בה; הדבר החשוב הוא להגן על הגישה באמצעות קוד סודי חזק, חשבון מאובטח ומערכת הפעלה מעודכנת.
עכשיו, מנקודת מבט ביטחונית, חשוב שתבינו ש צוות זמין 24/7 מגדיל את משטח ההתקפהגם אם הערוץ מוצפן, אם מישהו משיג את סיסמת חשבון גוגל שלך או שיש לו גישה פיזית למארח, הוא עדיין עלול לנסות להיכנס. לכן חשוב כל כך לשלב את ההגנות של גוגל עם נהלים מקומיים נאותים (אנטי-וירוס, חומת אש, עדכונים, נעילת מסך וכו').
כדי למזער סיכונים, מנהלי מערכת רבים מעדיפים להגביל את השימוש ב-Chrome Remote Desktop ל- רשתות מהימנות או רשתות VPN ארגוניות...או אפילו להשבית תכונות כאשר הן אינן נחוצות. נראה בהמשך כיצד לעשות זאת באופן מרכזי בסביבות ארגוניות.
טכנולוגיות הצפנת חשבון, אימות ואבטחה
בכל מפגש מרחוק, מופעלים מספר מנגנונים במקביל. מצד אחד, TLS/SSL אחראי על הגנת הערוץ ולמנוע יירוט תנועה או התקפות מניפולציה. יתר על כן, תוכן הסשן עצמו מוצפן באמצעות אלגוריתמים חזקים כגון AES של 256 סיביות.
ברמת האימות, Chrome Remote Desktop משלב זהות חשבון גוגל וגורם נוסף (קוד סודי, קוד זמני וכו'). אם תפעילו אימות דו-שלבי, התוקף לא יזדקק עוד רק לסיסמה שלכם: הוא יזדקק גם לטלפון הנייד שלכם או למפתח האבטחה שלכם.
האבטחה של CRD חזקה כמו זו של חשבון גוגל שלך, כך השתמש בסיסמאות ארוכות וייחודיות ובמנהל סיסמאות זו לא רק המלצה; זוהי למעשה חובה. סקירה תכופה של פעילות החשבון האחרונה שלך וניתוק מכשירים חשודים גם עוזרים לזהות אירועים מוקדם.
בסביבות ארגוניות, ניתן להחיל מדיניות נוספת מקונסולת הניהול של Google Workspace, כגון דורשים שימוש ב-2FA בכל החשבונות, להגביל כניסות ממדינות מסוימות או לנטר גישה חריגה.
סיכונים ופגיעויות הקשורים לשולחן העבודה המרוחק של Chrome
למרות ש-Chrome Remote Desktop משלב אמצעי הגנה מתקדמים, הוא אינו נטול סיכונים. הוא חולק פגיעויות נפוצות עם כל כלי שולחן עבודה מרוחק ומוסיף אחרים הנגזרים מהשילוב שלו עם חשבון גוגל והדפדפן.
הסיכון הראשון הוא גישה בלתי מורשית עקב גניבת אישוריםאם מישהו יקבל את סיסמת חשבון גוגל שלך, הוא יוכל לקבל גישה לכל המכשירים הרשומים ב-CRD, בתנאי שיוכל גם לעקוף את קוד ה-PIN שלך או כל גורם אבטחה אחר. לכן, בכל חשד קל ביותר לדליפת נתונים, עליך לשנות את הסיסמה שלך, לבטל סשנים ולבדוק מכשירים מחוברים.
סכנה נוספת שהולכת וגוברת היא... הונאות תמיכה טכניתפושעים רבים מתקשרים או שולחים מיילים תוך שהם מתחזים להיות ממיקרוסופט, גוגל או ספק אחר, ומשכנעים את הקורבן להתקין תוכנה לשולחן עבודה מרוחק (כולל Chrome Remote Desktop) ולתת להם קוד גישה. מאותו רגע ואילך, יש להם שליטה מלאה על המחשב.
ברמת התוכנה, Chrome Remote Desktop יורש את פגיעויות שעשויות להשפיע על דפדפן כרום עצמודיווחים של סוכנויות אבטחת סייבר הצביעו על פגמים קריטיים בגרסאות שולחן העבודה של Chrome, אשר, תיאורטית, תוקף יכול לנסות לנצל כדי להעלות הרשאות או לבצע קוד, אם כי אין זה אומר ש-CRD אינו מאובטח כברירת מחדל, אלא שהוא תלוי בכך שתשמרו על הדפדפן מעודכן תמיד.
ישנן גם מגבלות ספציפיות, כגון בעיות תאימות עם חומות אש מסוימות של צד שלישי והיעדר בקרות גישה מפורטות, יומני רישום מפורטים או ניהול אבטחה מרכזי, שיכולים להוות בעיה חמורה בארגונים בינוניים וגדולים.
שיטות עבודה מומלצות בסיסיות להגברת האבטחה בשולחן העבודה המרוחק של Chrome
עבור רוב המשתמשים הביתיים, יישום כמה צעדים פשוטים עושה הבדל גדול. השלב הראשון הוא להפעיל אימות דו-שלבי בחשבון גוגל שלךניתן לעשות זאת מלוח האבטחה של החשבון, על ידי בחירת גורם שני כגון קודי ניידים, אפליקציית אימות או מפתח פיזי.
שנית, אתה חייב בחר קוד סודי מורכב וארוך מספיק בעת הגדרת גישה מרחוק, הימנעו משילובים ברורים כמו 123456 או מספרים הקשורים אליכם (תאריך לידה, מספר תעודת זהות וכו'). אם יש לכם ספקות לגבי האבטחה, תוכלו לשנות זאת בהגדרות המארח בכל עת.
מומלץ באותה מידה ש שמרו על מערכת ההפעלה ודפדפן כרום מעודכנים תמידפגיעויות רבות מתוקנות, ודחיית עדכונים רק משאירה אתכם פגיעים יותר זמן. אותו הדבר חל על האנטי-וירוס שלכם ועל כל כלי אבטחה אחר.
אם אתם עובדים לעתים קרובות מרשתות WiFi ציבוריות או לא אמינות (מלונות, שדות תעופה, בתי קפה), שקלו ברצינות התחבר תמיד דרך VPN אמיןבדרך זו, גם אם הרשת המקומית אינה מאובטחת, התעבורה שלך תנוע מוצפנת מקצה לקצה בתוך מנהרת ה-VPN.
לבסוף, אימצו גישה של אפס אמון כלפי בקשות לעזרה מרחוק: לעולם אל תסכים להתקין תוכנה או לשתף קוד לבקשת מישהו שיוצר איתך קשר ללא הסכמתך מראש.במקרה של ספק, נתק את השיחה או התעלם מהאימייל ופנה לשירות הרשמי הרלוונטי.
מצב וילון: כיצד למנוע מאחרים לראות את הסשן שלך במחשב המארח
בסביבות רבות, במיוחד במשרדים או בחללים משותפים, חיוני ש האדם שנמצא פיזית מול המחשב המארח אינו יכול לראות מה עושה המשתמש המרוחק.לשם כך נועד "מצב וילון" של Chrome Remote Desktop, אשר בעצם מציג מסך נעילה על הצג המקומי בזמן שההפעלה המרוחקת פעילה.
ב-Windows, תכונה זו זמינה רק במהדורות Professional, Enterprise, Ultimate או Server. כדי להפעיל אותה באופן ידני, עליך לפתוח את עורך הרישום (Regedit) עם הרשאות מנהל ו... להגדיר קבוצה ספציפית של מפתחותזהו תהליך עדין, לכן עליכם לעקוב אחר השלבים בדיוק.
ראשית, המפתח מוגדר. HKEY_LOCAL_MACHINE\תוכנה\מדיניות\גוגל\כרום\RemoteAccessHostRequireCurtain עם ערך של 1, אשר מורה ל-CRD להפעיל מצב וילון. לאחר מכן, פרמטרי שירות שולחן עבודה מרוחק של Windows מותאמים: המקש fDenyTSConnections ב-HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server צריך להיות מוגדר ל-0, והמפתח אימות משתמש ב- HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp גם ל- 0.
במערכות Windows 10, נדרש שלב נוסף: הגדרה שכבת אבטחה על 1 במפתח HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp. אם תשמיטו אחד מהשינויים הללו, סביר להניח שההפעלה תיסגר מיד, מה שיאלץ אתכם לחזור על כל התהליך.
כדי לפשט, גוגל מתעדת פקודה אחת שניתן להריץ בקונסולה מוגבהת, אשר צור והתאם את כל המקשים הדרושים בבת אחת והפעל מחדש את שירות שולחן העבודה המרוחק של Chrome:
reg add HKLM\Software\Policies\Google\Chrome /v RemoteAccessHostRequireCurtain /d 1 /t REG_DWORD /f && reg add "HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server" /v fDenyTSConnections /d 0 /t REG_DWORD /f && reg add "HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp" /v SecurityLayer /d 1 /t REG_DWORD /f && reg add "HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp" /v UserAuthentication /d 0 /t REG_DWORD /f && net stop chromoting && net start chromoting
בקרת רשת, חומת אש ושימוש בסביבות ארגוניות
בארגונים המנהלים עשרות או מאות צוותים, זה חיוני שליטה במי יכול להשתמש בשולחן העבודה המרוחק של Chrome ומהיכןמנהלי Google Workspace יכולים להפעיל או להשבית את התכונה עבור משתמשים או יחידות ארגוניות ספציפיות מקונסולת הניהול.
בנוסף, ישנה מדיניות בשם מעבר בין חומת אש של מארח גישה מרחוק זה מאפשר לך להגביל את השימוש ב-CRD לרשתות מקומיות או חיבורי VPN. ב-Windows, זה נשלט דרך מפתח הרישום HKEY_LOCAL_MACHINE\Software\Policies\Google\Chrome\RemoteAccessHostFirewallTraversal, כאשר ערך של 0 מבטל חציית חומת אש עבור חיבורים חיצוניים.
ב-macOS, הוא מוגדר בקובץ ההעדפות com.google.Chrome.plist, ומקצה חומת אש של מארח גישה מרחוקמעבר אל NOבלינוקס, זה מוגדר ב-/etc/opt/chrome/policies/managed/RemoteAccessHostFirewallTraversal.json עם הערך FALSE. הגבלות אלו מונעות ממארחים לקבל חיבורים מחוץ להיקף שהוגדר על ידי הארגון.
גישה דרסטית נוספת למדי היא חסימה מוחלטת של תנועה לממשקי ה-API של Chrome Remote Desktopאם חומת האש שלך מסננת בקשות אל https://remotedesktop-pa.googleapis.com, כל פונקציות CRD מושבתות, הן חיבורים יוצאים מהרשת הפנימית והן חיבורים נכנסים למחשבי החברה.
למרות שזה לא הכרחי לחלוטין אם כבר חסמת את ה-API, חלק מהמנהלים בוחרים גם לחסום את הגישה ל-https://remotedesktop.google.com, ובכך למנוע אפילו טעינה של לקוח האינטרנט. הגבלות מסוג זה מוחלות בדרך כלל בסביבות מוסדרות מאוד או בעת שימוש בפתרון שולחן עבודה מרוחק אחר של החברה.
מגבלות פונקציונליות ובעיות שימושיות ב-CRD
מעבר לאבטחה, לשולחן העבודה המרוחק של Chrome יש חסרונות שמשפיעים על הפרודוקטיביות. זה לא כולל צ'אט טקסט משולב לשיחה עם המשתמש המרוחקלכן, עליכם להשתמש בכלי נוסף (דוא"ל, מסרים מיידיים, שיחת טלפון וכו') כדי לתאם.
גם העברת קבצים אינה נוחה במיוחד. במקום לגרור ולשחרר בין שולחנות עבודה, אתה צריך להעלות קבצים מצד אחד ולהוריד אותם מצד שני.זה מגביל את מהירות העבודה שלך כשאתה צריך להעביר מסמכים רבים או תיקיות שלמות.
מגבלה ברורה נוספת היא ש זה לא מטפל היטב במספר מפגשים בו זמניתאינך יכול לשלוט במספר מכשירים בו זמנית עם אותה גמישות שמציעות חלופות בתשלום המיועדות לטכנאי תמיכה או למנהלי מערכת.
מבחינת תצוגה, CRD מאפשר לך לעבור למסך מלא, להגדיל את גודל התצוגה, או לנסות להתאים אותו לגודל החלון, אבל זה לא מציע שליטה עדינה על רזולוציות המסךבמקרים מסוימים, זה הופך את החוויה לפחות נוחה, במיוחד אם אתם עובדים עם מספר צגים או רזולוציות שונות מאוד בין המארח ללקוח.
יתר על כן, בחיבורים חד-פעמיים עם קוד לשימוש חד פעמי, על המשתמש בצד המרוחק לחדש את הסשן כל 30 דקותקבלת העובדה שהם רוצים להמשיך לשתף את הציוד שלהם. צעד זה מחזק את האבטחה אך יכול להיות לא נוח במהלך סשנים ארוכים או תמיכה טכנית ממושכת.
השוואה עם חלופות: AnyViewer, Splashtop, TSplus, RDS-Tools…
כאשר הצרכים עולים על מה ש-CRD מציעה, אנשים רבים שוקלים לבחור בכלים מקיפים יותר. AnyViewer היא אחת החלופות החינמיות והתשלום המשלבת את התכונות המתקדמות ביותר., כגון העברת קבצים באמצעות גרירה ושחרור, תמיכה במספר הפעלות מרוחקות, צ'אט מיידי בתוך הפגישה והחלפת רזולוציה דינמית המבוססת על רוחב פס.
AnyViewer גם נותן עדיפות לאבטחה, מייישם הצפנה מקצה לקצה של 256 סיביות, אימות דו-שלבי לחשבונות ועדכונים תכופים לתיקון פגיעויות. התוכניות המקצועיות והארגוניות שלה מאפשרות לך להקצות יותר מכשירים לאותו חשבון, לנהל תפקידי משתמשים והרשאות, לנטר מסכים מרובים באמצעות "קירות מסך" ולהעביר כמויות גדולות של נתונים במהירות גבוהה.
Splashtop, מצידה, ביססה את מעמדה כ- אלטרנטיבה המתמקדת בעסקים, ספקי שירותי ניהול שירותים (MSP) וצוותי תמיכה ב-ITהיא מציעה מוצרים ספציפיים לגישה מרחוק מקצועית, תמיכה ללא השגחה, ניהול מוקד תמיכה וצי מכשירים, עם תכונות כגון הקלטת סשנים, הדפסה מרחוק, שילוב עם מדריכים ארגוניים ופאנלים ניהוליים מרכזיים.
במערכת האקולוגית של שירותים המבוססים על RDP ו-RDS, פתרונות כגון אבטחה מתקדמת וכלי RDS של TSplus הם מוסיפים שכבות של אבטחה ובקרה לתשתיות שולחן עבודה מרוחק קיימות של Windows. התכונות כוללות הגנה מפני שימוש בכוח גס, הגבלות מיקום גיאוגרפי, ביקורת מפורטת, רישום פעילויות, התראות הניתנות להגדרה וניטור ביצועי שרת.
פלטפורמות אלו כוללות בדרך כלל גם אפשרויות עבור מפגשים מתמשכים, התאמה אישית רבה יותר ואינטגרציה עם מערכות ארגוניות אחרותכמו גם הסכמי רמת שירות (SLA) ותמיכה טכנית ייעודית. הם יקרים יותר מ-Chrome Remote Desktop, אך מתאימים הרבה יותר לארגונים הדורשים תאימות לתקנות, זמינות גבוהה ומדרגיות.
אבטחה פיזית, אבטחת רשת ואמצעי אנטי-פישינג
הגנה על סשן מרחוק תלויה לא רק בתוכנה, אלא גם במה שקורה סביב המחשב. אבטחה פיזית היא המפתח: נעילת סשן כשאתה לא נמצא, שימוש באימות ביומטרי או בכרטיסים כדי להתחבר למארח, מניעת גישה ישירה למקלדת ולעכבר של המחשב שאתה חולק.
במקביל, חיוני לעבוד על מודעות נגד פישינג וחטיפת סשניםאימון משתמשים לזהות מיילים מזויפים, קישורים חשודים או בקשות לא הולמות לאישורים מפחית באופן דרסטי את הסיכון שהם ימסרו את הנתונים שלהם בלי משים.
ברמת הרשת, חברות רבות משלבות את Chrome Remote Desktop עם VPNs מוגדרים כהלכה, פילוח רשתות וביקורות אבטחה תקופתיותזה כולל סקירת כללי חומת אש, זיהוי נקודות גישה WiFi לא מאובטחות וניטור כל התנהגות תעבורה חריגה.
הגדר התראות עבור ניסיונות התחברות חוזרים, חיבורים ממיקומים יוצאי דופן או דפוסי שימוש לא אופייניים זה עוזר לזהות אירועים בשלבים המוקדמים שלהם. בסביבות מתקדמות, מידע זה משולב במערכות ניטור ו-SIEM לצורך ניתוח פורנזי ותאימות.
כל האלמנטים הללו - הצפנה, אימות, אבטחה פיזית, הדרכת משתמשים ובקרות רשת - משלימים זה את זה כדי לבנות הגנה מעמיקה סביב הפעלות שולחן עבודה מרוחק, בין אם אתם משתמשים ב-Chrome Remote Desktop או בכל כלי אחר.
שולחן העבודה המרוחק של Chrome מציע איזון אטרקטיבי מאוד בין פשטות, עלות (זה בחינם) ורמת אבטחה גבוהה למדי הודות להצפנת TLS/AES ותמיכה ב-2FA דרך חשבון גוגל.עם זאת, תלותו המוחלטת במערכת האקולוגית של גוגל, היעדר תכונות מתקדמות (צ'אט משולב, ריבוי סשנים, ניהול מרכזי, הרשאות מפורטות, יומני רישום מפורטים) וכמה בעיות תאימות לחומת אש, גורמים לכך שבסביבות מקצועיות תובעניות, כדאי לשקול חלופות כמו AnyViewer, Splashtop או פתרונות מבוססי RDP המחוזקים ב-TSplus או RDS-Tools. עבור משתמש ביתי או צוות קטן, לעומת זאת, על ידי שילוב של היגיינת סיסמאות טובה, אימות דו-שלבי, קוד סודי חזק, עדכונים מעודכנים, הגדרות חומת אש/VPN מתאימות, ובמידת הצורך, מצב וילון, CRD יכול להיות כלי תקף ומאובטח למדי לעבודה מרחוק מכל מקום.