Registrazione di YubiKey tramite Appterix nelle sessioni RDP e Citrix
Sintomi
Durante la configurazione (registrazione) delle YubiKey tramite l'agente Appterix nelle sessioni RDP o Citrix, potrebbero verificarsi limitazioni o funzionalità mancanti.
NOTA IMPORTANTE:
La causa di questo comportamento non è da attribuire esplicitamente al software Appterix. Le limitazioni sono di natura tecnica e derivano dalla compatibilità generale e dalla gestione hardware delle YubiKey da parte dei protocolli RDP e Citrix.
Poiché l'accesso diretto "a basso livello" all'hardware USB (la YubiKey) non è possibile in un ambiente Citrix o RDP, il controllo del dispositivo risulta fortemente limitato. Questo comportamento può essere riprodotto esattamente utilizzando gli strumenti proprietari di Yubico.
Per impostazione predefinita, RDP e Citrix utilizzano un cosiddetto "reindirizzamento smartcard di alto livello" (basato sull'interfaccia PC/SC). Solo il logico La smartcard viene trasmessa alla sessione, ma non l'hardware USB fisico. Tuttavia, per configurazioni più avanzate (come l'impostazione di certificati o PIN FIDO), gli strumenti di gestione richiedono l'accesso diretto alla YubiKey (tramite interfacce CCID, FIDO o HID). Questo accesso di basso livello è bloccato dall'inoltro predefinito.
Requisiti per l'iscrizione a Citrix e RDP
In genere, l'avvio di una procedura di registrazione in una sessione RDP/Citrix funziona se l'utente effettua l'accesso con un account gestito in Appterix.
– Se la registrazione non viene visualizzata affatto, potrebbe trattarsi di un utente errato o non gestito correttamente.
Gli utenti locali vengono gestiti separatamente da Appterix e ricevono il prefisso "ex-" nel loro SID durante l'amministrazione. Questo può essere verificato nell'Appterix Agent cliccando sull'icona dell'utente nell'angolo in alto a destra.
Funzionalità supportate e non supportate in RDP/Citrix
A causa della mancanza di connettività hardware di basso livello, la registrazione tramite RDP e Citrix è limitata alle sole funzioni di PIV (Verifica dell'identità personale).
Passaggi di registrazione supportati (funzione smart card utilizzabile):
– Ripristino PIV
– Autenticazione basata su certificati
PIV si basa sul servizio standardizzato di smart card di Windows, supportato nativamente e inoltrato in modo affidabile da RDP e Citrix. La scrittura su moduli NFC o la modifica di interfacce USB proprietarie (come Yubico OTP) richiede comandi specifici del produttore che il canale PC/SC non è in grado di trasmettere.
Note: L'agente Appterix riconosce queste limitazioni e segnala all'utente se una registrazione include azioni che non possono essere eseguite nella sessione RDP corrente.
Problemi con i driver in Windows
A volte i problemi risiedono anche nelle informazioni sui driver all'interno di Citrix e RDP. Ad esempio, un problema noto si verifica quando Windows utilizza il driver USBCCID errato (WUDF) anziché il driver UMDF2 corretto.
La versione 2 del Windows User-Mode Driver Framework (UMDF) garantisce la stabilità necessaria per il funzionamento delle smart card moderne. Se Windows torna a utilizzare driver WUDF precedenti, le sessioni remote spesso vanno in timeout oppure la YubiKey potrebbe non essere riconosciuta come smart card. Gli amministratori devono assicurarsi che sia installato il driver più recente "Microsoft Usbccid Smartcard Reader" (basato su UMDF2).
Soluzioni e alternative
I client Windows nativi utilizzano (Metodo consigliato)
La maggior parte dei clienti aggira queste limitazioni legate al protocollo eseguendo i passaggi di registrazione su un client Windows nativo (locale). Ciò può essere fatto direttamente nell'agente Appterix con l'utente appropriato oppure comodamente tramite la funzione "Per conto di".
Regolare il reindirizzamento e la suddivisione dei dispositivi Citrix
Sebbene le dipendenze da Citrix non siano dovute ad Appterix, esistono modi per migliorare il supporto per la configurazione delle YubiKey negli ambienti Citrix. Yubico ha documentato metodi per aggirare le limitazioni di Citrix e di Windows attraverso modifiche specifiche (come la suddivisione del dispositivo).
Ulteriori dettagli sulla configurazione dell'ambiente Citrix sono disponibili nel seguente articolo ufficiale del supporto Yubico:
https://support.yubico.com/s/article/Citrix-redirection-FIDO-over-USB