Comment ajouter une MFA à RDP : Tout ce que vous devez savoir

Le protocole Remote Desktop Protocol (RDP) est une cible principale pour les cyberattaques, allant des tentatives de force brute à l'usurpation d'identifiants. Compter uniquement sur les mots de passe pour protéger ces connexions est une stratégie de sécurité vouée à l’échec. Mettre en œuvre la double authentification (MFA) est l’étape la plus efficace pour sécuriser ces points d’accès critiques, transformant une entrée vulnérable en un portail renforcé.

Bien que Windows offre des fonctionnalités natives, elles sont souvent complexes et limitées. Ce guide explore des méthodes pratiques pour ajouter une couche MFA à vos sessions RDP, en utilisant le serveur de stratégie réseau (NPS) ou un fournisseur MFA dédié pour un contrôle plus granulaire.

Pourquoi il est important de sécuriser RDP avec la MFA

La menace croissante des attaques basées sur RDP

Un RDP exposé publiquement reste un vecteur privilégié pour les ransomwares et les mouvements latéraux. Les attaquants scannent sans relâche les ports ouverts et déploient des outils automatisés pour deviner les mots de passe faibles ou réutilisés. Un défi MFA neutralise efficacement ces attaques courantes, car un script automatisé ne peut pas fournir le second facteur requis. Cela renforce votre point d’entrée critique contre les tentatives d'accès non autorisées dès la source.

Respect des exigences de conformité et d’assurance cyber (PCI DSS, HIPAA)

Des cadres réglementaires comme PCI DSS et HIPAA imposent des contrôles d'authentification robustes pour tout accès distant à des systèmes traitant des données sensibles. De plus, les assureurs cyber exigent désormais fréquemment la MFA pour le RDP comme condition non négociable pour souscrire une police. Déployer une solution MFA solide est donc indispensable pour se conformer à ces standards et obtenir une couverture.

Les limites des mots de passe seuls

Un mot de passe constitue un point de défaillance unique et fragile. Il offre une sécurité insuffisante car il peut être :

• Volé lors de violations de données tierces et réutilisé.

• Hameçonné auprès des utilisateurs via une ingénierie sociale sophistiquée.

• Deviner ou craquer par des outils de force brute en quelques minutes.

Comprendre les technologies de base : RDP vs RDS

Qu’est-ce que le Remote Desktop Protocol (RDP) ?

Le Remote Desktop Protocol (RDP) est un protocole propriétaire de Microsoft qui fournit à un utilisateur une interface graphique vers un autre ordinateur via un réseau. C’est la technologie fondamentale permettant le contrôle et l’accès à distance dans l’écosystème Windows.

Qu’est-ce que les Remote Desktop Services (RDS) ?

Les Remote Desktop Services (RDS), anciennement appelés Terminal Services, sont un rôle de Windows Server qui s’appuie sur RDP pour créer une plateforme d'accès distant complète. Ils permettent aux administrateurs de publier des bureaux complets ou des applications individuelles pour les utilisateurs, centralisant ainsi la gestion. En résumé : RDP est le protocole ; RDS est l’infrastructure qui l’utilise.

Composants architecturaux clés pour la MFA (RD Gateway, NPS)

La mise en œuvre d’une MFA robuste pour RDS repose souvent sur deux composants clés. Le RD Gateway sert de point d’entrée sécurisé, chiffrant tout le trafic RDP via HTTPS. Le Network Policy Server (NPS) agit comme serveur RADIUS, centralisant les politiques d'authentification. Il s'agit du point d'intégration critique où de nombreuses solutions MFA se connectent pour intercepter la demande de connexion et déclencher le second facteur.

Explorer les principales méthodes de mise en œuvre

Méthode 1 : Intégration native avec Microsoft Entra ID & extension NPS

Cette approche native de Microsoft utilise Entra ID pour l’authentification, mais nécessite un serveur NPS local avec une extension pour faire office de proxy. Bien qu’elle évite les coûts des tiers, elle est connue pour sa configuration complexe, sa dépendance à des composants hérités et sa lourdeur infrastructurelle, la rendant inadaptée aux environnements agiles.

Méthode 2 : Agents de fournisseurs d’identifiants tiers (Duo, Hideez, etc.)

Des agents logiciels fournis par des fournisseurs d'identité sont installés directement sur chaque serveur ou poste de travail. Ces agents interceptent le processus de connexion Windows pour appliquer la MFA. Bien que cette méthode soit efficace, elle peut entraîner des complications opérationnelles : déploiement, mises à jour et dépannage sur l’ensemble des hôtes RDP.

Méthode 3 : Solutions sans agent au niveau réseau

Cette approche moderne sécurise le RDP au niveau du réseau, sans nécessiter d’agents sur les serveurs cibles. Elle intercepte la connexion RDP pour appliquer la MFA avant que l’utilisateur n’atteigne l’écran de connexion Windows. Elle offre une sécurité élevée, mais peut être complexe à déployer et ne permet pas toujours un contrôle fin post-authentification.

Méthode 4 : Sécuriser le point d’entrée via VPN + MFA

Cette stratégie applique la MFA au périmètre du réseau en l’exigeant pour l’accès VPN. Bien qu’elle protège le point d’entrée initial, le protocole RDP lui-même reste exposé en interne. Cela crée une faille critique pour les mouvements latéraux si un attaquant parvient à pénétrer le réseau.

Guide étape par étape : Mise en œuvre de la MFA avec Entra ID

La mise en place de la MFA pour RDP avec les outils Microsoft natifs est un processus en plusieurs étapes nécessitant des configurations à la fois cloud et locales.

Prérequis : Licences et synchronisation d'annuaires

Assurez-vous tout d’abord que vos utilisateurs disposent des licences Microsoft Entra ID P1 ou P2. Votre Active Directory local doit être synchronisé avec Entra ID à l’aide de l’outil Entra Connect, une condition de base pour l’identité hybride.

Configurer la MFA Entra ID et les politiques d’accès conditionnel

Dans le portail Entra ID, configurez les méthodes MFA acceptées par votre organisation (par exemple, application d’authentification, appel téléphonique). Il vous faudra ensuite créer des politiques d'accès conditionnel déclenchant la MFA pour les connexions s’authentifiant via l’application RD Gateway.

Installation et configuration de l’extension NPS

Le lien essentiel est l’extension NPS pour Microsoft Entra ID, qui doit être installée sur un serveur NPS local. Ce composant agit comme un pont, redirigeant les requêtes d’authentification vers le cloud Entra ID pour validation MFA.

Configurer RD Gateway pour utiliser le serveur NPS

Votre passerelle RDP (RD Gateway) doit être reconfigurée pour utiliser votre serveur NPS comme serveur RADIUS central pour les demandes d’autorisation de connexion, externalisant ainsi la décision au couple NPS/Entra ID.

Tests et vérification

Effectuez enfin des tests complets de bout en bout pour vous assurer que les utilisateurs reçoivent bien la demande MFA et que l’accès est accordé ou refusé selon vos politiques d’accès conditionnel. Ce déploiement manuel est puissant mais réputé complexe et sujet à des erreurs de configuration.

Guide étape par étape : Mise en œuvre de la MFA avec un agent tiers

Mettre en œuvre la MFA pour RDP à l’aide d’un agent tiers évite la complexité de la configuration de serveurs RADIUS. Cette approche est plus rapide, plus flexible et offre une meilleure expérience utilisateur grâce à l’intégration directe dans le fournisseur de connexion Windows.

Choisir un fournisseur tiers

Choisir un fournisseur moderne signifie prioriser la simplicité de déploiement et l’expérience utilisateur face aux configurations RADIUS complexes et obsolètes. L’objectif est de trouver une solution qui renforce la sécurité sans créer de frictions.

Flux de travail typique : du panneau d’administration à l’installation

Le flux de travail avec un agent moderne est direct et peut être terminé en moins d’une heure.

• Configurer les politiques d’authentification dans la console d’administration cloud.

• Définir quels groupes d’utilisateurs nécessitent la MFA pour l’accès RDP.

• Télécharger le package d’installation de l’agent léger.

L’installation consiste en un fournisseur d’identité (IdP) déployé sur n’importe quelle machine Windows/Linux acceptant les connexions RDP. Le service d’authentification, comme celui fourni par Hideez, s’intègre directement à l’interface de connexion Windows, sans nécessiter de modifications réseau ni de déploiements GPO complexes. Cela garantit une empreinte minimale et un déploiement rapide.

En parallèle, les utilisateurs sont invités à enregistrer leur méthode MFA (par exemple, clé FIDO2 ou l’application Hideez Authenticator) lors de leur prochaine connexion. Cette auto-inscription réduit la charge administrative. Le processus final de connexion reste fluide et intégré à Windows, présentant le défi MFA juste après la saisie du mot de passe.

Comparer les meilleures solutions MFA pour RDP

Choisir la bonne solution MFA pour RDP consiste à trouver un outil qui s'adapte à votre infrastructure existante, votre budget et votre réalité opérationnelle.

Microsoft Entra ID (Natif)

Pour les organisations profondément ancrées dans l'écosystème Microsoft, Entra ID semble être un choix naturel. Cependant, étendre sa MFA aux environnements RDP sur site nécessite le déploiement d’un serveur de stratégie réseau (NPS) avec l’extension Azure MFA. Cette architecture introduit de la complexité, des points de défaillance supplémentaires et offre des capacités limitées pour l'accès hors ligne.

Duo Security

Duo fournit un agent installé directement sur la machine cible ou la passerelle. Cette approche est efficace et plus simple que la méthode NPS. Les principaux éléments à considérer sont le coût et la portée. Pour les organisations dont le besoin principal est de sécuriser les connexions sur site, une licence Duo complète peut inclure des fonctionnalités inutilisées.

Okta

Leader dans le domaine de l’IDaaS, Okta sécurise le RDP sur site via un agent RADIUS installé sur votre réseau. Celui-ci fait office de proxy pour les demandes d'authentification RDP vers le cloud Okta, introduisant une dépendance à la fois à l'agent local et à une connectivité cloud constante. Cela peut constituer une couche inutilement complexe pour les entreprises considérant Active Directory comme leur source d'identité principale.

Solutions spécialisées : Hideez

Au-delà des grandes plateformes IDaaS, des solutions spécialisées existent pour relever le défi de la MFA dans les infrastructures hybrides et sur site. Hideez est conçu dès le départ pour compléter, et non remplacer, Active Directory. Au lieu de s'appuyer sur des configurations complexes de proxy ou RADIUS, il installe un agent léger directement sur les machines à protéger. Cette approche offre des avantages significatifs :

• Intégration directe à AD : Fonctionne avec vos identités et groupes Active Directory existants, sans nécessiter de synchronisation vers une plateforme cloud.

• Protection complète sur site : Sécurise non seulement le RDP, mais aussi les connexions interactives aux postes de travail et serveurs, offrant une sécurité cohérente.

• Accès hors ligne : Une fonctionnalité essentielle pour la continuité d’activité. Les utilisateurs peuvent toujours accéder à leurs machines avec MFA même si la connexion au serveur central est interrompue.

• Prêt pour le sans mot de passe : La plateforme est conçue pour éliminer totalement les mots de passe via des clés matérielles FIDO2, offrant un niveau de sécurité maximal contre le phishing.

Tableau comparatif des fonctionnalités

Fonctionnalités essentielles à considérer pour une solution MFA RDP

Méthodes d’authentification prises en charge (Push, TOTP, FIDO2, SMS)

La flexibilité est essentielle. Votre solution doit prendre en charge un éventail de méthodes, allant des notifications Push conviviales aux clés FIDO2 résistantes au phishing.

Accès hors ligne pour les utilisateurs mobiles et portables

Votre MFA doit permettre aux équipes mobiles de travailler hors ligne. Cela garantit la productivité même en cas de perte de connectivité, une fonctionnalité essentielle pour toute solution d'entreprise moderne.

Connexion sans mot de passe

L’objectif ultime est d’éliminer le vecteur d’attaque principal. Une solution moderne comme Hideez permet une véritable connexion RDP sans mot de passe grâce aux clés FIDO2 ou à la biométrie, renforçant considérablement la sécurité tout en simplifiant l’expérience utilisateur.

Protection lors de l’élévation UAC

La connexion ne représente que la moitié du défi. Appliquez la MFA lors des demandes d’élévation de contrôle de compte utilisateur (UAC) pour empêcher toute élévation non autorisée par un attaquant déjà infiltré.

Gestion centralisée des politiques et des rapports

L'administration nécessite un contrôle centralisé. Recherchez une plateforme unifiée pour le déploiement des politiques, la journalisation en temps réel à des fins de conformité et une intégration simplifiée des utilisateurs.

Bonnes pratiques de sécurité pour votre déploiement RDP

La MFA est la pierre angulaire de la sécurité RDP, mais elle fonctionne mieux dans le cadre d’une stratégie de défense en profondeur.

• Principe du moindre privilège pour l’accès RDP. Les utilisateurs doivent avoir les autorisations strictement nécessaires. Restreignez l’accès RDP à un groupe de sécurité dédié dans Active Directory et évitez l’utilisation de comptes administratifs pour les sessions courantes.

• Maintenir tous les composants à jour. Les systèmes non corrigés sont des cibles faciles. Assurez-vous que tous les composants de votre infrastructure RDP — serveurs, clients, passerelles — utilisent les dernières versions logicielles et que tous les correctifs de sécurité sont appliqués rapidement.

• Mise en œuvre de l’authentification au niveau réseau (NLA). La NLA est une fonctionnalité de sécurité essentielle qui exige que les utilisateurs s’authentifient avant qu’une session RDP complète ne soit établie. Cela réduit les attaques par déni de service (DoS). Bien que puissante, la NLA repose encore sur le mot de passe utilisateur ; son intégration avec la MFA forme une défense étanche.

• Surveillance et audit des journaux RDP. On ne peut stopper une menace invisible. Surveillez activement les journaux de l’observateur d’événements Windows pour détecter les tentatives de connexion réussies et échouées (ID d’événement 4624, 4625), notamment à partir d’adresses IP inhabituelles ou à des heures anormales.

Résolution des problèmes courants liés à la MFA RDP

Même un déploiement bien planifié peut rencontrer des obstacles. La plupart des problèmes proviennent de la connectivité réseau, de configurations héritées ou de problèmes de synchronisation d’annuaire.

Problèmes de pare-feu et de connectivité réseau (port 443)

La cause la plus fréquente est un blocage réseau. Assurez-vous que votre pare-feu d’entreprise autorise le trafic HTTPS sortant sur le port TCP 443 depuis le serveur exécutant l’agent MFA vers les plages IP ou FQDN spécifiques de votre service MFA.

Erreurs de configuration et délais RADIUS

Les configurations RADIUS héritées sont connues pour leur fragilité. Les échecs fréquents incluent des secrets partagés mal configurés ou des délais d’attente trop courts pour que l’utilisateur réponde à une notification push. Augmentez le délai sur votre RD Gateway à au moins 60 secondes.

Problèmes de synchronisation d’annuaire

Si une invite MFA n’apparaît jamais pour un utilisateur, vérifiez que votre agent de synchronisation d’annuaire ne rencontre pas d’erreurs. Il se peut que l’utilisateur se trouve dans une unité organisationnelle non synchronisée ou qu’un attribut requis soit manquant.

Incompatibilités de certificat et de version TLS

Assurez-vous que le certificat sur votre RD Gateway est valide et approuvé. Vos serveurs doivent également prendre en charge TLS 1.2 ou supérieur, car la plupart des services cloud sécurisés ont abandonné les protocoles plus anciens et vulnérables.

Vous en avez assez de gérer les délais RADIUS et les serveurs proxy complexes ? Les vulnérabilités du RDP basé sur les mots de passe ne disparaîtront pas, et les solutions de contournement fragiles ne suffisent plus.

Hideez propose une solution pragmatique conçue pour les environnements sur site et hybrides. Optez pour une authentification véritablement sans mot de passe avec les clés de sécurité FIDO2 et sécurisez votre accès RDP sans complexité. Planifiez une démo pour obtenir une stratégie personnalisée adaptée à vos exigences MFA.

Rédigé par :

Denis Zaliznyak

Directeur de la technologie, Hideez