Citrix advarer: – VPN gir et sugerør inn i bedriftens eiendeler [Ekstra]

[Harald Brombach (digi.no)]

Citrix advarer: – VPN gir et sugerør inn i bedriftens eiendeler [Ekstra]

[sirtommen]

Bør ikke denne artikkelen merkes som reklame?

[mo-rt-en]

Citrix kan i mange sammenhenger gi dårligere sikkerhet enn VPN.

Faktisk kan det gi bredere tilganger og åpne et sugerør det er vanskeligere å oppdage og lukke.

Ja, det er et "vindu" hvor ingen kode kjøres på klientens maskin. Nei, det er fremdeles åpent for å hackes hvis  noen kan kontrollere nettleseren din.

For VPN installeres det ofte applikasjoner på brukeren sin maskin som passer på at det ikke er virus ++ og man er ofte mer oppmerksom på sikkerheten på klientens maskin. Denne muligheten forsvinner ofte helt med Citrix.

 

Denne falske tryggheten av sikkerhet for Citrix gjør ofte at alt kjøres "åpent" inne i Citrix miljøet. Finner brukeren i Citrix en eneste applikasjon med administrator-rettighet kan man starte CMD, Powershell ++ fra denne hvis det finnes så mye som en dialog for å åpne filer.

Riktignok er dette en Microsoft svakhet hvor rettigheter fra en applikasjon arves over i nye applikasjoner åpnes fra den forrige. Via denne svakheten kan raskt Citrix kompromiteres i svært mange miljøer til å få full tilgang til bedriftsnettverket, hvis man klarer å etablere en kobling ut. Brannmur har her svært lite å si fordi trafikken starter på "innsiden" og kan brukes til å etablere toveistrafikk.

Så nei, Citrix er ikke et svar på alt. Vil mer si at det hindrer faktisk fokus på sikkerhet + at det forvirrer brukerne med ulike workerservere og hvor applikasjonene faktisk kjører. I tillegg til dette får man den ekstreme tregheten som Citrix gir sammenlignet med å kjøre noe lokalt på maskinen med VPN.

Endret 30. september 2020 av mo-rt-en

[Bjarne Nilsson]

Oversatt: vi sekger ikke vpn løsninger, vpn suger, kjøp vpr remote desktop løsmimg

[Roy Olsen]

Sikkerhet bygges i lag og ZeroTrust-arkitektur skal selvsagt brukes i kombinasjonen med VPN og/eller annet omkretsforsvar. For øvrig mistet Citrix i 2018 retten til å fortelle andre noe om hva som er god sikkerhet.