Produktdokumentation
Citrix DaaS
PDF anzeigen

Technische Sicherheit

June 5, 2023
Beitrag von: 
C

Sicherheitsüberblick

Dieses Dokument gilt für Citrix DaaS (ehemals Citrix Virtual Apps and Desktops Service) mit Hosting in Citrix Cloud. Diese Informationen umfassen Citrix Virtual Apps Essentials und Citrix Virtual Desktops Essentials.

Citrix Cloud verwaltet den Betrieb der Steuerungsebene von Citrix DaaS-Umgebungen. Zur Steuerungsebene gehören die Delivery Controller, die Verwaltungskonsolen, die SQL-Datenbank, der Lizenzserver sowie optional StoreFront und Citrix Gateway (ehemals NetScaler Gateway). Die Virtual Delivery Agents (VDAs), auf denen die Apps und Desktops gehostet werden, bleiben unter der Kontrolle des Kunden in einem entweder in eigenen Datencenter oder in der Cloud angesiedelten Datencenter seiner Wahl. Diese Komponenten sind über einen Agent (“Citrix Cloud Connector”) mit dem Cloud-Service verbunden. Kunden, die Citrix Workspace verwenden, können auch den Citrix Gateway Service verwenden, anstatt Citrix Gateway im eigenen Datencenter auszuführen. Das folgende Diagramm zeigt Citrix DaaS und seine Sicherheitsgrenzen.

Abbildung der Servicesicherheitsgrenzen

Citrix Cloud und Compliance

Stand Januar 2021: Die Verwendung von Citrix Managed Azure-Kapazität mit verschiedenen Citrix DaaS-Editionen und Workspace Premium Plus wurde noch nicht gemäß Citrix SOC 2 (Typ 1 oder 2), ISO 27001, HIPAA oder anderen Cloud-Compliance-Anforderungen bewertet. Im Citrix Trust Center finden Sie weitere Informationen zu Citrix Cloud-Zertifizierungen sowie regelmäßig aktualisierte Nachrichten.

Datenfluss

Die VDAs werden nicht von Citrix DaaS gehostet, das Hosting der für das Provisioning erforderlichen Anwendungsdaten und Images erfolgt daher immer in der Einrichtung des Kunden. Die Steuerungsebene hat Zugriff auf Metadaten wie Benutzernamen, Maschinennamen und Anwendungsverknüpfungen, wodurch der Zugriff auf das geistige Eigentum des Kunden von der Steuerungsebene aus eingeschränkt wird.

Die Übertragung von Daten zwischen Cloud und Kundenstandort erfolgt über eine sichere TLS-Verbindung über Port 443.

Datenisolierung

In Citrix DaaS werden nur Metadaten gespeichert, die für die Vermittlung und Überwachung der Anwendungen und Desktops benötigt werden. Vertrauliche Informationen wie Images, Benutzerprofile und andere Anwendungsdaten verbleiben am Kundenstandort bzw. in einer von diesem bei einem öffentlichen Anbieter abonnierten Cloud.

Serviceeditionen

Die Funktionalität von Citrix DaaS variiert je nach Edition. Citrix Virtual Apps Essentials unterstützt beispielsweise nur den Citrix Gateway-Service und Citrix Workspace. Die Produktdokumentation enthält weitere Informationen über die unterstützten Funktionen.

ICA-Sicherheit

Citrix DaaS bietet mehrere Optionen zum Sichern des ICA-Datenverkehrs während der Übertragung. Es stehen folgende Optionen zur Verfügung:

  • Basic-Verschlüsselung: Standardeinstellung.
  • SecureICA: Ermöglicht das Verschlüsseln von Sitzungsdaten mit RC5-Verschlüsselung (128 Bit).
  • VDA TLS/DTLS: Ermöglicht die Verwendung von Verschlüsselung auf Netzwerkebene mit TLS/DTLS.
  • Rendezvous-Protokoll: Nur verfügbar, wenn Sie Citrix Gateway Service verwenden. Bei Verwendung des Rendezvous-Protokolls werden ICA-Sitzungen End-to-End mit TLS/DTLS verschlüsselt.

Basic-Verschlüsselung

Bei Verwendung der Basic-Verschlüsselung wird der Datenverkehr wie in der folgenden Grafik dargestellt verschlüsselt.

Verschlüsselung bei Verwendung der Basic-Option

SecureICA

Bei Verwendung der SecureICA-Verschlüsselung wird der Datenverkehr wie in der folgenden Grafik dargestellt verschlüsselt.

Verschlüsselung bei Verwendung der SecureICA-Option

Hinweis:

SecureICA wird bei Verwendung der Workspace-App für HTML5 nicht unterstützt.

VDA TLS/DTLS

Bei Verwendung der VDA TLS/DTLS-Verschlüsselung wird der Datenverkehr wie in der folgenden Grafik dargestellt verschlüsselt.

Verschlüsselung bei Verwendung der TLS/DTLS-Option

Hinweis:

Bei Verwendung von Gateway Service ohne Rendezvous wird der Datenverkehr zwischen dem VDA und dem Cloud Connector nicht mit TLS verschlüsselt, da der Cloud Connector die Verbindung zum VDA mit Verschlüsselung auf Netzwerkebene nicht unterstützt.

Weitere Ressourcen

Weitere Informationen zu den ICA-Sicherheitsoptionen und deren Konfiguration finden Sie unter:

Handhabung von Anmeldeinformationen

Citrix DaaS verarbeitet vier Arten von Anmeldeinformationen:

  • Benutzeranmeldeinformationen: Bei Einsatz einer vom Kunden verwalteten StoreFront werden die Benutzeranmeldeinformationen vom Citrix Cloud Connector mit AES-256 und einem zufälligen Einmalschlüssel, der für jeden Start generiert wird, verschlüsselt. Der Schlüssel wird nie in die Cloud übertragen, sondern nur an die Citrix Workspace-App zurückgegeben. Der Schlüssel wird dann von der Citrix Workspace-App zur Entschlüsselung des Benutzerkennworts beim Sitzungsstart für das Single Sign-On an den VDA übergeben. Der Ablauf wird in der folgenden Abbildung dargestellt.

    Standardmäßig werden Benutzeranmeldeinformationen nicht über nicht vertrauenswürdige Domänengrenzen weitergeleitet. Wenn ein VDA und StoreFront in einer Domäne installiert sind und ein Benutzer in einer anderen Domäne versucht, eine Verbindung zum VDA herzustellen, schlägt der Anmeldeversuch fehl, wenn keine Vertrauensstellung zwischen den Domänen hergestellt wurde. Mit dem DaaS PowerShell SDK können Sie dieses Verhalten deaktivieren und die Weiterleitung von Anmeldeinformationen zwischen nicht vertrauenswürdigen Domänen zulassen. Weitere Informationen finden Sie unter Set-Brokersite.

    Bild des Ablaufs

  • Administratoranmeldeinformationen: Administratoren authentifizieren sich über Citrix Cloud. Bei der Authentifizierung wird ein signiertes JSON Web Token (JWT) zur einmaligen Benutzung generiert, das dem Administrator Zugriff auf Citrix DaaS gewährt.
  • Hypervisorkennwörter: Für On-Premises-Hypervisors, die ein Kennwort für die Authentifizierung benötigen, wird dieses vom Administrator erstellt und in verschlüsselter Form direkt in der SQL-Datenbank in der Cloud gespeichert. Peerschlüssel werden von Citrix verwaltet, um sicherzustellen, dass Hypervisoranmeldeinformationen nur authentifizierten Prozessen zur Verfügung stehen.
  • Active Directory-Anmeldeinformationen: In Maschinenerstellungsdienste wird der Cloud Connector zum Erstellen von Maschinenkonten im AD des Kunden verwendet. Da das Maschinenkonto des Cloud Connectors nur Lesezugriff auf Active Directory hat, wird der Administrator für jede Maschinenerstellungs- und Maschinenlöschoperation zur Eingabe von Anmeldeinformationen aufgefordert. Die Anmeldeinformationen werden nur im Arbeitsspeicher und nur für das jeweilige Provisioningereignis gespeichert.

Überlegungen zur Bereitstellung

Citrix empfiehlt Kunden, bei der Bereitstellung von Citrix Gateway-Anwendungen und VDAs in ihren Umgebungen auf die Dokumentation zu bewährten Methoden zurückzugreifen.

Anforderungen für den Citrix Cloud Connector-Netzwerkzugriff

Die Citrix Cloud Connectors erfordern nur ausgehenden Datenverkehr von Port 443 zum Internet und können hinter einem HTTP-Proxy gehostet werden.

  • In Citrix Cloud wird für die HTTPS-Kommunikation TLS verwendet. (Siehe Einstellung der Unterstützung von TLS-Versionen.)
  • Im internen Netzwerk muss der Cloud Connector für Citrix DaaS auf Folgendes zugreifen können:
    • VDAs: Port 80, ein- und ausgehend, sowie bei Einsatz von Citrix Gateway Service 1494 und 2598 eingehend
    • StoreFront-Server: Port 80, eingehend
    • Citrix Gateways, falls diese als STA konfiguriert sind: Port 80, eingehend
    • Active Directory-Domänencontroller
    • Hypervisors: Nur ausgehend. Informationen zu spezifischen Ports siehe Von Citrix Technologien verwendete Kommunikationsports.

Der Datenverkehr zwischen den VDAs und Cloud Connectors wird mit Kerberos-Sicherheit auf Nachrichtenebene verschlüsselt.

StoreFront unter Verwaltung des Kunden

Unter Verwaltung des Kunden bietet StoreFront Konfigurationsoptionen für mehr Sicherheit und Flexibilität für die Bereitstellungsarchitektur, einschließlich der Möglichkeit, Benutzeranmeldeinformationen on-premises zu verwalten. StoreFront kann hinter dem Citrix Gateway gehostet werden, um einen sicheren Remotezugriff zu ermöglichen, eine Multifaktorauthentifizierung zu erzwingen und weitere Sicherheitsfeatures zu nutzen.

Citrix Gateway Service

Durch die Verwendung des Citrix Gateway-Service muss Citrix Gateway nicht im Datencenter des Kunden bereitgestellt werden.

Weitere Informationen finden Sie unter Citrix Gateway Service.

Alle TLS-Verbindungen zwischen Cloud Connector und Citrix Cloud werden vom Cloud Connector an Citrix Cloud initiiert. Es ist keine Firewallportzuordnung für eingehenden Datenverkehr erforderlich.

XML-Vertrauenseinstellung

Diese Einstellung ist unter Vollständige Konfiguration > Einstellungen > XML-Vertrauen aktivieren verfügbar und standardmäßig deaktiviert. Alternativ können Sie die XML-Vertrauensstellung mit dem Remote PowerShell-SDK von Citrix DaaS verwalten.

Die XML-Vertrauensstellung gilt für Bereitstellungen, die Folgendes verwenden:

  • Eine On-Premises-Installation von StoreFront
  • Eine (Benutzer-)Authentifizierungstechnologie für Abonnenten ohne erforderliche Kennwörter. Beispiele hierfür sind Lösungen mit Domänen-Passthrough, Smartcards, SAML und Veridium.

Wenn Sie die XML-Vertrauensstellung aktivieren, können Benutzer Anwendungen erfolgreich authentifizieren und starten. Der Cloud Connector stuft die von StoreFront gesendeten Anmeldeinformationen als vertrauenswürdig ein. Aktivieren Sie die XML-Vertrauensstellung nur, wenn die Kommunikation zwischen Citrix Cloud Connectors und StoreFront gesichert ist (durch Firewalls, IPsec oder andere empfohlene Sicherheitsfunktionen).

Diese Einstellung ist standardmäßig deaktiviert.

Verwalten Sie die XML-Vertrauensstellung mit dem Remote PowerShell-SDK von Citrix DaaS.

  • Zum Überprüfen des aktuellen Werts der XML-Vertrauensstellung führen Sie Get-BrokerSite aus und überprüfen den Wert für TrustRequestsSentToTheXMLServicePort.
  • Zum Aktivieren der XML-Vertrauensstellung führen Sie Set-BrokerSite -TrustRequestsSentToTheXmlServicePort $true aus.
  • Zum Deaktivieren der XML-Vertrauensstellung führen Sie Set-BrokerSite -TrustRequestsSentToTheXmlServicePort $false aus.

Erzwingen von HTTPS- oder HTTP-Datenverkehr

Um HTTPS- oder HTTP-Datenverkehr über den XML-Dienst zu erzwingen, konfigurieren Sie einen der folgenden Registrierungswertsätze auf jedem Cloud Connector.

Nachdem Sie die Einstellungen konfiguriert haben, starten Sie den Remote Brokeranbieterdienst auf jedem Cloud Connector neu.

In HKLM\Software\Citrix\DesktopServer\:

  • Zum Erzwingen von HTTPS-Datenverkehr (HTTP ignorieren): Legen Sie XmlServicesEnableSsl auf 1 und XmlServicesEnableNonSsl auf 0 fest.
  • Zum Erzwingen von HTTP-Datenverkehr (HTTPS ignorieren): Legen Sie XmlServicesEnableNonSsl auf 1 und XmlServicesEnableSsl auf 0 fest.

Einstellung der Unterstützung von TLS-Versionen

Um die Sicherheit von Citrix DaaS weiter zu erhöhen, wird seit dem 15. März 2019 jede Kommunikation über TLS 1.0 und 1.1 von Citrix blockiert.

Für alle Verbindungen mit Citrix Cloud-Diensten über Citrix Cloud Connectors ist TLS 1.2 erforderlich.

Um eine erfolgreiche Verbindung von Benutzergeräten mit Citrix Workspace sicherzustellen, muss die installierte Citrix Receiver-Version mindestens folgende Version aufweisen.

Receiver Version
Windows 4.2.1000
Mac 12.0
Linux 13.2
Android 3.7
iOS 7.0
Chrome/HTML5 Aktuelle Version (Browser muss TLS 1.2 unterstützen)

Für ein Upgrade auf die neueste Citrix Receiver-Version gehen Sie zu https://www.citrix.com/products/receiver/.

Führen Sie alternativ ein Upgrade auf die Citrix Workspace-App durch, die TLS 1.2 verwendet. Laden Sie die Citrix Workspace-App von https://www.citrix.com/downloads/workspace-app/ herunter.

Wenn Sie TLS 1.0 oder 1.1 weiterhin verwenden müssen (z. B. für einen Thin Client auf Basis einer früheren Version von Receiver für Linux), installieren Sie an Ihrem Ressourcenstandort eine StoreFront. Konfigurieren Sie dann alle Citrix Receiver so, dass sie darauf verweisen.

Weitere Informationen

Die folgenden Ressourcen enthalten Informationen zur Sicherheit:

Hinweis:

Dieses Dokument enthält einen Überblick über die Sicherheitsfunktionen von Citrix Cloud sowie Informationen zur Verteilung der Zuständigkeiten zwischen Citrix und dem Kunden im Hinblick auf den Schutz einer Citrix Cloud-Bereitstellung. Es ist nicht als Konfigurations- oder Verwaltungsanleitung für Citrix Cloud oder zugehörige Komponenten und Services gedacht.

Technische Sicherheit
June 5, 2023
Beitrag von: 
C
June 5, 2023
Beitrag von: 
C

In diesem Artikel

Feedback zur Site | Datenschutz und rechtliche Bestimmungen | Cookie-Einstellungen | Einstellungen für die Zustimmung | docs.cloud.com
© 1999- Cloud Software Group, Inc. All rights reserved.