Sichere Remote Desktops mit Apache Guacamole…

Apple titelte bei Erscheinung des iPad Pro mit der These “Der beste Computer ist vielleicht keiner”. Viele meiner Kollegen belächelten damals die These des Mega Konzerns. Niemand konnte sich vorstellen, dass ein Notebook oder die Workstation vielleicht einmal ersetzt werden könnte.

Viele Entwicklungen gerade im mobilen Bereich zeigen, dass diese These immer mehr Realität wird:

• Heimarbeit mit einem Gerät
• Smarte Lösungen für mobile Anwendungen mit BlackBerry Workspaces, Dynamics
• MobileIron VPN Gateways
• ….

Tatsächlich sind diese Produkte eigentlich durch OpenSource Projekte entstanden. Das größte OpenSource Projekt “The Apache Foundation” hat ein neues Schwesterprojekt:”Apache Guacamole”. Dieses Projekt hat es sich zur Aufgabe gemacht  Desktopsitzungen in einen Browser zu bringen. Das ist schon ziemlich cool, da nun User nicht mehr zwingend an einen Hardwaretyp gebunden sind. Ganz nebenbei stellt das Projekt auch SSH und VNC Sitzungen zur Verfügung. Viele Admins werden sich jetzt sicherlich freuen, denn es sind alle wichtigen Protokolle für Wartungsarbeiten vorhanden.  Es bietet natürlich die Enterprise Authentifizierungsmechanismen:

• RADIUS
• LDAP
• oAuth
• TOTP

Natürlich bietet “die Avocado” auch Gruppenverwaltung und Berechtigungen für definierte Sessions. Um das ganze Paket nun zu multiplizieren bietet das Projekt zwei API Schnittstellen mit denen Entwickler Anpassungen vornehmen können.

Guacamole 0.9.4 Demo

Für den Enterprise Bereich wäre Guacamole nur dann eine Option, wenn Admins diese vorweg nach extern noch einmal sichern. Der Kommunikationskanal ist über SSL gesichert, jedoch wird im Standard nur ein Faktor zu Authentifizierung verwendet. Wie sollen Admins hier mit Anforderungen wie Copy-in/Copy-out umgehen? Wie können Sessions so abgesichert werden, sodass der User keine Daten abgreifen kann?

Guacamole antwortet darauf mit einer abgewandelten Copy/Paste Funktion. Allerdings ist es weiterhin möglich Screenshots zu machen oder gar Abläufe mit zu filmen. Eine Idee wäre der Betrieb nur Inhouse und ggfs. über BlackBerry Dynamics bzw. BlackBerry Access. Access als Browser kann über entsprechende Richtlinien so konfiguriert werden, sodass die Revision oder der Datenschutzbeauftragte ihren Segen geben können. Dennoch bleiben weiterhin Rückfragen zu Bedienkomfort und Nutzungsfaktor.

Seit kurzem gibt es ein ISV Produkt für BlackBerry. Es trägt den Namen Awingu. Es funktioniert ähnlich und integriert sich nahtlos in den BlackBerry Access Browser. Kurze Einrichtungszeit und attraktive Lizenzmodelle machen dieses Produkt zu einem (meiner Meinung nach) ernsthaften Konkurrenten für Platzhirsche wie Citrix. Vielleicht ist es aber auch nur eine Ergänzung um TCOs zu reduzieren. Awingu werden wir in einem späteren Beitrag noch genauer beschreiben.