Augmenter la sécurité pour la machine de bureau à distance - utiliser la 2FA et/ou limiter à une connexion LAN uniquement?

Sur la base des informations actuelles, mes recommandations sont les suivantes :

• En mettant en place un tunnel SSH, vous obtenez une couche supplémentaire d'authentification, où vous pouvez utiliser un autre nom d'utilisateur/mot de passe ou une authentification par clé publique pour vous connecter. Vous pouvez aussi activer l'obfuscation, avec un mot de passe complètement différent, comme vous le souhaitiez. De cette façon, vous rendez également plus difficile pour quelqu'un surveillant le trafic de voir même qu'il s'agit de SSH - et pour se connecter, ils auront besoin à la fois de ce mot de passe et de l'authentification SSH que vous avez configurée. De plus, il s'agit de faire transiter le trafic RDP via un tunnel, qui est également chiffré.

  Sur la machine Windows, vous pouvez installer Bitvise SSH Server et sur les Macs, vous pouvez ajouter le support de l'obfuscation au OpenSSH intégré avec quelques correctifs de ZingLau.

• La 2FA pourrait être possible, mais ce ne sera ni simple ni gratuit. Le login de carte à puce intégré nécessite un domaine Windows Active Directory, mais il existe des solutions tierces pour les ordinateurs autonomes. Le support de EIDAuthenticate prend en charge RDP et est disponible dans une version gratuite en open source, mais seulement pour les éditions Home (ils envisagent cependant un "programme d'utilisation domestique", donc les contacter pourrait accélérer cette réflexion). Mais dans votre cas, cela pourrait ne pas suffire, car c'est seulement pour Windows et vous vous connectez depuis un Mac.
• Limiter les connexions entrantes au LAN peut facilement être fait dans le Pare-feu Windows.
• Des choses générales comme des mots de passe solides et la mise à jour de tous les ordinateurs doivent bien sûr être faites. Je recommande également d'avoir des comptes utilisateur et administrateur séparés, et de seulement autoriser les comptes d'utilisateur (non privilégiés) à se connecter via RDP, de sorte que le compte administrateur doit se connecter localement.
• La prochaine chose à laquelle je m'intéresserais serait la sécurité des clients qui se connectent, car s'ils sont compromis, toutes les autres choses que vous avez mises en place n'aideront pas beaucoup. Mais je parle de principes généraux de sécurité, donc je ne rentrerai pas dans les détails à ce sujet.

Ce scénario est possible avec WebADM de RCDevs qui est même gratuit jusqu'à 40 utilisateurs.

1. Un mot de passe, différent du nom d'utilisateur utilisé pour se connecter physiquement à la machine.

Oui, WebADM utilise LDAP, ActiveDirectory... Donc vous pouvez utiliser un nom d'utilisateur/mot de passe différents.

2. Authentification à deux facteurs.

Oui, vous pouvez utiliser TOTP, HOTP avec Token matériel/logiciel, email et sms.

3. Limitez toutes les connexions entrantes aux machines uniquement sur le même LAN.

Oui, vous pouvez définir une Politique Client.

4. Il y aura 3 ordinateurs qui se connecteront à l'hôte, principalement des Macs.

Oui, vous pouvez installer le Plugin de Fournisseur de Certificats pour Windows ou OSX avec authentification hors ligne.