RDP 8.1 Restricted Admin mode – security feature or not?

De la un prieten am aflat si eu de functionalitatea numita RDP Restricted Mode ce permite autentificarea de tip SSO fara a mai reintroduce credentialele.

Sincer nu am stat sa studiez foarte mult insa cateva detalii gasiti in link-urile de mai jos:

http://blogs.technet.com/b/kfalde/archive/2013/08/14/restricted-admin-mode-for-rdp-in-windows-8-1-2012-r2.aspx

http://redmondmag.com/articles/2013/08/15/restricted-admin-mode.aspx

Ce este important este ca deja se discuta despre cum aceasta functionalitate e exact opusul a ce se dorea si anume ca permite PTH attacks:

http://www.kali.org/penetration-testing/passing-hash-remote-desktop/

Totusi mie ceva nu imi suna bine pentru ca daca sunt in domeniu atunci voi folosi Kerberos si dupa cum se vede in primul link postat, kerberos este folosit pentru autentificare. Deci eu personal cred ca scenariul este posibil doar atunci cand statiile nu sunt in domeniu si se foloseste NTLM.

Si stau si ma intreb, oare cum se compara acest /restrictedadmin cu ce am scris eu aici.

Ca lectura suplimentara va recomand urmatorul document:

http://download.microsoft.com/download/7/7/A/77ABC5BD-8320-41AF-863C-6ECFB10CB4B9/Mitigating%20Pass-the-Hash%20(PtH)%20Attacks%20and%20Other%20Credential%20Theft%20Techniques_English.pdf