Spécifier les empreintes numériques des certificats représentant des éditeurs .rdp approuvés

Ce paramètre de stratégie vous permet de spécifier une liste d’empreintes de certificat qui déclarent les éditeurs approuvés de fichiers .rdp (Remote Desktop Protocol). Les empreintes SHA-256, SHA-384 et SHA-512 sont prises en charge. Les empreintes SHA-1 sont déconseillées : SHA-1 n’est plus considéré comme sécurisé et la prise en charge des empreintes SHA-1 sera désactivée par défaut dans une mise à jour de sécurité à venir. Les administrateurs doivent migrer dès que possible toutes les entrées d’empreinte vers SHA-256 ou vers une version plus robuste.

Les empreintes peuvent être préfixées par l’algorithme de hachage utilisé pour les produire. Les préfixes pris en charge sont « sha256: », « sha384: » et « sha512: » (non sensibles à la casse). Par exemple : sha256:AB0356F2... Si aucun préfixe n’est spécifié, l’entrée est traitée comme une empreinte numérique SHA-1 héritée.

Si la case « Ne pas autoriser les empreintes SHA-1 » est cochée, les entrées sans préfixes sont ignorées. Seules les empreintes SHA-256, SHA-384 et SHA-512 seront mises en correspondance. Nous recommandons vivement de cocher dès maintenant cette case pour vous préparer au changement par défaut à venir.

Si vous activez ce paramètre de stratégie, tout certificat dont l’empreinte correspond à une empreinte de la liste est approuvé. Si un utilisateur tente de démarrer un fichier .rdp signé par un certificat approuvé, il ne reçoit aucun message d’avertissement au démarrage du fichier.

Si vous désactivez ou ne configurez pas ce paramètre de stratégie, aucun éditeur n’est considéré comme éditeur approuvé de .rdp.

Remarques :

Vous pouvez définir ce paramètre de stratégie dans le nœud de configuration d’ordinateur ou dans le nœud de configuration d’utilisateur. Si vous configurez ce paramètre de stratégie pour l’ordinateur, la liste des empreintes de certificat approuvées pour un utilisateur est une combinaison de la liste définie pour l’ordinateur et de celle définie pour l’utilisateur.

Ce paramètre de stratégie remplace le comportement du paramètre de stratégie « Autoriser les fichiers .rdp issus d’éditeurs valides et les paramètres .rdp par défaut de l’utilisateur ».

Si la liste contient une chaîne qui n’est pas une empreinte numérique de certificat, elle est ignorée.

Consultez https://go.microsoft.com/fwlink/?LinkId=2368223 pour en savoir plus.