RDP : définition, bureau à distance et usages

RDP (Remote Desktop Protocol) est le protocole que Windows utilise pour afficher, sur un poste distant, le bureau d’un autre ordinateur et en transmettre le clavier et la souris. Microsoft le décrit comme un protocole encapsulé et chiffré dans TCP, avec plusieurs canaux virtuels pour l’affichage, les périphériques et la licence. Concrètement, un utilisateur ouvre « Connexion Bureau à distance » (ou l’application Windows App), saisit le nom ou l’adresse de la machine, s’authentifie et travaille comme s’il était devant.

Trois précisions souvent oubliées :

• Seules certaines éditions de Windows peuvent recevoir une connexion : d’après Microsoft, les éditions Professionnel, Entreprise, Éducation et Windows Server peuvent servir d’hôte ; les éditions Famille peuvent seulement se connecter à d’autres machines.
• Activer le bureau à distance ouvre un port sur le poste. Microsoft précise qu’il ne doit être activé que sur des réseaux de confiance, et que l’accès depuis l’extérieur du réseau passe par une redirection de port ou par un VPN (nous recommandons le VPN, pour ne pas exposer le poste).
• L’authentification au niveau du réseau (NLA) impose de s’authentifier avant l’ouverture de la session, ce qui réduit le risque d’accès non autorisé ; Microsoft la recommande pour la plupart des environnements.

Dans une PME, le RDP sert surtout à trois choses : administrer un serveur (par le technicien ou le prestataire), travailler à distance sur son poste du bureau, et accéder à une application métier installée sur un serveur de sessions. Chacun de ces usages a une réponse plus sûre que la « redirection de port vers le poste » :

• pour l’administration : passer par un VPN ou par une passerelle de bureau à distance (RD Gateway), avec des comptes d’administration dédiés ;
• pour le télétravail : un VPN avec authentification multifacteur, puis RDP à l’intérieur du tunnel, ou un poste virtuel hébergé ;
• pour l’assistance : un outil de prise en main à distance qui journalise les sessions, plutôt qu’un RDP ouvert en permanence. Notre service de support et de supervision s’appuie sur ce type d’outil.

Pour cadrer par écrit l’accès d’un intervenant externe (périmètre, durée, méthode, confirmation de révocation), un modèle d’e-mail de demande d’accès temporaire est disponible.

La passerelle de bureau à distance (rôle « Remote Desktop Gateway » de Windows Server) permet, selon Microsoft, des connexions chiffrées aux ressources de bureau à distance par Internet ; Microsoft recommande de lui associer un certificat émis par une autorité publique, puisque la passerelle est faite pour être joignable depuis l’extérieur.

Un RDP joignable directement depuis Internet est un risque que les guides de lutte contre les rançongiciels demandent d’écarter. Le guide #StopRansomware de la CISA (agence américaine de cybersécurité) recommande de ne pas exposer sur le web des services comme le RDP et de désactiver les ports et protocoles inutiles, en citant explicitement le RDP sur le port TCP 3389. Il note que les attaquants obtiennent souvent leur premier accès par des services distants exposés et mal protégés, puis se déplacent dans le réseau avec le client RDP de Windows.

Si le RDP est indispensable, le même guide recommande de :

• recenser les systèmes qui utilisent RDP et fermer les ports RDP inutilisés ;
• verrouiller un compte après un nombre défini d’échecs de connexion ;
• appliquer l’authentification multifacteur ;
• journaliser les tentatives de connexion RDP.

Changer le numéro de port ne remplace aucune de ces mesures : c’est un simple masquage. Les mises à jour comptent aussi : voir la fiche patch management.

Exemple illustratif, sans référence à un client réel. Un cabinet de quelques personnes utilise un logiciel de gestion installé sur un serveur au bureau. Le gérant souhaite l’utiliser depuis chez lui. Première option, mauvaise : faire ouvrir le port 3389 sur la box. Seconde option, retenue : un VPN avec MFA, puis une connexion RDP vers le serveur à l’intérieur du tunnel, avec un compte nominatif limité au logiciel. Le port RDP n’est alors visible ni depuis Internet ni des scanners, et les connexions sont journalisées.

• Rediriger le port 3389 de la box vers un poste « juste pour dépanner », et ne jamais l’enlever.
• Utiliser un compte administrateur partagé dont personne ne sait plus qui connaît le mot de passe.
• Désactiver la NLA pour faire fonctionner un vieux client, au lieu de mettre le client à jour.
• Ne rien journaliser : impossible ensuite de savoir qui s’est connecté, quand et d’où.
• Confondre RDP et VPN : le VPN crée un accès au réseau, le RDP prend le contrôle d’une machine ; les deux se complètent (voir la fiche VPN).

RDP est-il dangereux ?

Le protocole n’est pas le problème : c’est son exposition directe à Internet, avec des mots de passe seuls, qui l’est. Derrière un VPN ou une passerelle, avec MFA et NLA, il reste un outil d’administration courant.

Quel est le port de RDP ?

Le port TCP 3389 est celui que la CISA cite pour le RDP dans son guide. Le fermer sur le pare-feu de bordure est la première vérification à faire.

Peut-on se connecter en RDP à un Windows Famille ?

Comme client, oui. Comme hôte, non : Microsoft indique que les éditions Famille ne peuvent pas recevoir de connexions de bureau à distance.

Quelle différence avec une prise en main à distance ?

Le RDP ouvre une session Windows sur la machine (l’utilisateur local peut être déconnecté), alors qu’un outil de prise en main partage l’écran de la session en cours, ce qui convient mieux à l’assistance.