Sécurité

Protection des applications

• La protection des applications est une fonctionnalité complémentaire qui offre une sécurité renforcée lors de l’utilisation de Citrix Virtual Apps and Desktops et de Citrix DaaS (anciennement service Citrix Virtual Apps and Desktops). Utilisez cette fonctionnalité pour :

• restreindre la capacité des clients à être compromis par des logiciels malveillants d’enregistrement de frappe et de capture d’écran.
• protéger l’exfiltration d’informations confidentielles telles que les informations d’identification de l’utilisateur et les informations sensibles affichées à l’écran.
• empêcher les utilisateurs et les attaquants de prendre des captures d’écran et d’utiliser des enregistreurs de frappe pour recueillir et exploiter des informations sensibles. Pour plus d’informations, consultez Protection des applications.

Avertissement

Les stratégies de protection des applications filtrent l’accès aux fonctions requises du système d’exploitation sous-jacent (appels d’API spécifiques requis pour capturer des écrans ou des frappes au clavier). Les stratégies de protection des applications offrent une protection même contre les outils de piratage personnalisés et spécialement conçus. Cependant, à mesure que les systèmes d’exploitation évoluent, de nouvelles méthodes de capture d’écran et d’enregistrement de frappe peuvent apparaître. Bien que nous continuions à les identifier et à les traiter, nous ne pouvons garantir une protection complète dans des configurations et des déploiements spécifiques.

Pour configurer la protection des applications sur l’application Citrix Workspace pour Windows, consultez la section Application Citrix Workspace pour Windows dans l’article Configuration.

• Remarque :

• La protection des applications n’est prise en charge qu’à partir de la version 1912.

• Intégration transparente de deviceTRUST® avec l’application Citrix Workspace™ pour Windows

• À partir de la version 2503, l’application Citrix Workspace pour Windows inclut deviceTRUST, améliorant la sécurité grâce à des vérifications continues de la posture des appareils au sein de la session. deviceTRUST est fourni avec l’application Citrix Workspace pour un déploiement unifié, garantissant une intégration et une gestion transparentes. Pour plus d’informations, consultez deviceTRUST.

Installation

• L’application Citrix Workspace pour Windows installe ou met toujours à jour deviceTRUST en utilisant la version packagée incluse dans le programme d’installation de l’application Citrix Workspace pour Windows.
• Si l’installation de deviceTRUST échoue, vous recevez les codes d’erreur 50024 ou 50025, et cela n’a aucun impact sur l’installation de l’application Citrix Workspace pour Windows.
• Pour ignorer l’installation de deviceTRUST, utilisez la commande InstallDeviceTrust=N depuis la ligne de commande. Vous pouvez utiliser InstallDeviceTrust=Y pour installer deviceTRUST en cas de mise à niveau.

Désinstallation

• Lors de la désinstallation, l’application Citrix Workspace supprime deviceTRUST uniquement si elle l’a installé.

• Scénarios de mise à jour automatique

• Pour les clients existants utilisant la mise à jour automatique, l’application Citrix Workspace installe deviceTRUST.
• Si l’utilisateur final a ignoré l’installation de deviceTRUST dans une version prise en charge de l’application Citrix Workspace, le cycle suivant de mise à jour automatique ignorera également l’installation de deviceTRUST.

Sécurité et compatibilité améliorées avec AppLocker

L’application Citrix Workspace pour Windows est compatible avec AppLocker, un outil de posture de sécurité. Cette fonctionnalité répond aux préoccupations de sécurité et améliore l’expérience utilisateur.

Sécurité ICA®

Lorsqu’un utilisateur lance une application ou un bureau, StoreFront™ génère des informations ICA, qui contiennent des instructions pour le client sur la façon de se connecter au VDA.

Lancements hybrides en mémoire

Lorsque l’utilisateur lance une ressource, StoreFront génère un fichier ICA contenant des instructions sur la façon de se connecter à la ressource. Lorsqu’il est lancé dans l’application Citrix Workspace pour Windows, le fichier ICA est géré en mémoire et n’est jamais enregistré sur le disque.

Lorsque l’utilisateur ouvre son magasin dans un navigateur web et utilise l’application Citrix Workspace pour Windows pour se connecter à la ressource, on parle de lancement hybride. Selon la configuration, il existe différentes manières dont le lancement peut se produire, consultez Options d’accès utilisateur de StoreFront.

L’application Citrix Workspace pour Windows prend en charge le lanceur Citrix Workspace et les extensions web Citrix Workspace pour les lancements ICA en mémoire depuis le navigateur de l’utilisateur. Il est recommandé de désactiver l’option permettant à l’utilisateur de télécharger des fichiers ICA. Cela élimine les attaques de surface et tout logiciel malveillant qui pourrait abuser du fichier ICA lorsqu’il est stocké localement. Pour désactiver l’option permettant à l’utilisateur de télécharger des fichiers ICA dans StoreFront 2402 et versions ultérieures, consultez la documentation StoreFront. Pour désactiver l’option permettant à l’utilisateur de télécharger des fichiers ICA dans Workspace, consultez la documentation PowerShell de Workspace.

Empêcher le lancement de fichiers ICA à partir du disque

Une fois que vous vous êtes assuré que votre propre système utilise toujours des lancements en mémoire, Citrix® vous recommande de désactiver le lancement des fichiers ICA à partir du disque. Ainsi, les utilisateurs ne peuvent pas ouvrir les fichiers ICA qu’ils ont reçus de sources malveillantes par des méthodes telles que le courrier électronique. Vous pouvez désactiver le lancement des fichiers ICA à partir du disque en utilisant l’une des méthodes suivantes :

• Service de configuration globale des applications
• Modèle d’administration d’objet de stratégie de groupe (GPO) sur le client

Service de configuration globale des applications

Vous pouvez utiliser le service de configuration globale des applications à partir de l’application Citrix Workspace 2106. Sous Sécurité et authentification > Préférences de sécurité, définissez la stratégie Bloquer les lancements directs de fichiers ICA sur activée.

Stratégie de groupe

Pour bloquer les lancements de session à partir de fichiers ICA stockés sur le disque local à l’aide de la stratégie de groupe, procédez comme suit :

1. Ouvrez le modèle d’administration GPO de l’application Citrix Workspace en exécutant gpedit.msc.

• 1. Sous le nœud Configuration ordinateur, accédez à Modèles d’administration > Composants Citrix > Citrix Workspace > Moteur client.
• 1. Sélectionnez la stratégie Lancement sécurisé de session de fichier ICA et définissez-la sur Activé.
• 1. Cliquez sur Appliquer, puis sur OK.

Signature de fichier ICA

La signature de fichier ICA vous aide à vous protéger contre le lancement non autorisé d’une application ou d’un bureau. L’application Citrix Workspace vérifie qu’une source fiable a généré le lancement de l’application ou du bureau en fonction d’une stratégie administrative et protège contre les lancements provenant de serveurs non fiables. Vous pouvez configurer la signature de fichier ICA à l’aide du modèle d’administration GPO ou de StoreFront. La fonctionnalité de signature de fichier ICA n’est pas activée par défaut.

Pour plus d’informations sur l’activation de la signature de fichier ICA pour StoreFront, consultez Signature de fichier ICA dans la documentation StoreFront.

Configurer la signature de fichier ICA

Remarque :

Si le fichier CitrixBase.admx\adml n’est pas ajouté au GPO local, la stratégie Activer la signature de fichier ICA peut ne pas être présente.

1. Ouvrez le modèle d’administration GPO de l’application Citrix Workspace en exécutant gpedit.msc
2. Sous le nœud Configuration ordinateur, accédez à Modèles d’administration > Composants Citrix.
3. Sélectionnez la stratégie Activer la signature de fichier ICA et sélectionnez l’une des options selon les besoins :
   1. Activé - Indique que vous pouvez ajouter l’empreinte numérique du certificat de signature à la liste d’autorisation des empreintes numériques de certificats approuvés.
   2. Certificats de confiance - Cliquez sur Afficher pour supprimer l’empreinte numérique du certificat de signature existant de la liste d’autorisation. Vous pouvez copier et coller les empreintes numériques du certificat de signature à partir des propriétés du certificat de signature.
   3. Stratégie de sécurité - Sélectionnez l’une des options suivantes dans le menu.
      1. Autoriser uniquement les lancements signés (plus sécurisé) : Autorise uniquement les lancements d’applications et de bureaux signés à partir d’un serveur approuvé. Un avertissement de sécurité apparaît en cas de signature non valide. Le lancement de la session échoue en raison d’une non-autorisation.
      2. Demander à l’utilisateur pour les lancements non signés (moins sécurisé) - Une invite de message apparaît lorsqu’une session non signée ou signée de manière non valide est lancée. Vous pouvez choisir de poursuivre le lancement ou d’annuler le lancement (par défaut).
4. Cliquez sur Appliquer, puis sur OK pour enregistrer la stratégie.
5. Redémarrez la session de l’application Citrix Workspace pour que les modifications prennent effet.

Lors de la sélection d’un certificat de signature numérique, nous vous recommandons de choisir parmi la liste de priorités suivante :

1. Achetez un certificat de signature de code ou un certificat de signature SSL auprès d’une autorité de certification (CA) publique.
2. Si votre entreprise dispose d’une CA privée, créez un certificat de signature de code ou un certificat de signature SSL à l’aide de la CA privée.
3. Utilisez un certificat SSL existant.
4. Créez un certificat CA racine et distribuez-le aux appareils des utilisateurs à l’aide d’une GPO ou d’une installation manuelle.

Délais d’inactivité

Délai d’expiration pour les sessions Workspace

Les administrateurs peuvent configurer la valeur du délai d’inactivité pour spécifier la durée d’inactivité autorisée avant que les utilisateurs ne soient automatiquement déconnectés de la session Citrix Workspace. Vous êtes automatiquement déconnecté de Workspace si la souris, le clavier ou le toucher est inactif pendant l’intervalle de temps spécifié. Le délai d’inactivité n’affecte pas les sessions actives d’applications et de bureaux virtuels ni les magasins Citrix StoreFront.

Pour configurer le délai d’inactivité, consultez la documentation Workspace.

L’expérience de l’utilisateur final est la suivante :

• Une notification apparaît dans votre fenêtre de session trois minutes avant votre déconnexion, avec une option pour rester connecté ou vous déconnecter.
• La notification apparaît uniquement si la valeur du délai d’inactivité configuré est supérieure ou égale à cinq minutes.
• Les utilisateurs peuvent cliquer sur Rester connecté pour ignorer la notification et continuer à utiliser l’application, auquel cas le minuteur d’inactivité est réinitialisé à sa valeur configurée. Vous pouvez également cliquer sur Se déconnecter pour mettre fin à la session du magasin actuel.

Délai d’expiration pour les sessions StoreFront

Lorsque vous êtes connecté à un magasin StoreFront, l’application Citrix Workspace n’applique pas de délai d’inactivité. Si vous utilisez une passerelle Citrix, vous pouvez configurer le délai d’expiration de session de la passerelle. Pour plus d’informations, consultez la documentation StoreFront.