Welke folder je er ook op naslaat, en welke sales engineer voor desktopvirtualisatie je ook spreekt: door over te stappen op thin clients wordt je desktopomgeving automatisch veiliger. Je hebt immers maar één punt (de centrale server) waar je security-updates moet doorvoeren. Eventuele malware is met één druk op de knop te wissen. En als een thin client-werkstation of -laptop uit het gebouw wordt gestolen, dan nog staat alle gevoelige informatie op de centrale server.

Met dat soort beloften zou een naïeveling al snel op zijn louweren gaan rusten. Toch zijn thin clientomgevingen als SBC en VDI op zichzelf niet het ei van Columbus op securitygebied. Als beheerder heb je wel degelijk dingen waar je rekening mee moet houden. “Het is ontegenzeggelijk zo dat thin clients als concept veiliger zijn dan traditionele desktopomgevingen”, zegt Jeroen van de Kamp, CTO bij ict-dienstverlener Login Consultants. “Thin clients zijn, indien goed geconfigureerd, stateless en hebben veel minder attack-surfaces. Maar er zijn wel een paar gotcha's.” Jerry Rozeman, CTO bij Telindus-ISIT, beaamt dat en voegt eraan toe dat “er heel veel verschillende soorten thin clients zijn. Ieder heeft zijn eigen valkuilen.” Ook Maarten Hartsuijker, security consultant bij security-auditer Classity in Apeldoorn, wil waken voor een gebrek aan nuance: “Een goed beveiligde vaste werkplek is altijd veiliger dan een slecht beveiligde thin client”, stelt hij.

Het blijft een OS (en vaak ook nog eens Windows...)

Een eerste valkuil die gemakzucht voor je kan graven, is dat de clients zelf geen beheer behoeven. Maar ook op een thin client draait 'gewoon' een besturingssysteem. “Veel thin clients worden om praktische redenen geleverd met Windows Embedded”, stelt Van de Kamp. “Wat heel veel bedrijven onderschatten is het feit dat het wel gewoon Windows blijft”, zegt hij.

Dat betekent dat die systemen, net als gewone systemen, onderhoud nodig hebben in de vorm van updates en patches. Als voorbeeld van hoe het mis kan gaan, noemt Van de Kamp een geval uit het begin van dit decennium. “Ik ken een klant die 1500 embedded thin clients had besteld op basis van Windows XP. Al die thin clients werden uitgerold op locatie, zonder dat werd nagedacht over het onderhoud en beheer van die thin clients. Het gevolg was dat al die systemen broadcast-stations werden van de Blaster-worm.” Rozeman voegt eraan toe dat Windows Embedded niet specifiek onveiliger is dan standaardwindows, “maar je moet het wel goed beheren. Datzelfde geldt voor Linux thin clients. Ook een Linuxinstallatie kan verouderd zijn, waardoor een lek dat ooit is gevonden alsnog een risico kan zijn.”

Eindgebruikers blijven eindgebruikers

Een vaak genoemd voordeel van Thin Clients is dat gebruikers de gegevens niet zelf op hun desktop of laptop hebben staan. Daardoor is de kans dat iemand deze gegevens verliest door diefstal of slordigheid kleiner. Maar, zo zegt Hartsuijker van Classity, bij de inrichting van een thin-clientomgeving moeten gebruikers wel het gevoel hebben dat ze makkelijk bij de gegevens kunnen. “Als medewerkers waar en wanneer ze dat willen vanaf ieder apparaat op een centrale omgeving in kunnen loggen, hoeven ze data niet op hun laptop of thuis-pc te plaatsen. Dit verkleint de kans op data loss”, zegt Hartsuijker. “Maar pas op: een slecht functionerende thinclientomgeving kan er juist toe leiden dat gebruikers zich genoodzaakt zien om ongecontroleerd zelf een veiligheidskopie van eigen werk te maken. Dat vergroot juist de kans op data loss.”

Leuke 'weetjes' op netwerkniveau

Omdat alle gegevens vanuit de thin client worden doorgestuurd naar een centrale server, kan een slimme hacker aan heel veel informatie komen als hij het netwerk kan afluisteren. In een thin client-omgeving wordt immers meer data, ook gevoelige, over het netwerk verplaats. “Een hacker die op het LAN zit te sniffen, kan bij een laag encryptieniveau aan heel veel gegevens komen”, zegt Rozeman, die daarbij opmerkt dat er veel venijn zit in het woord 'als'. “Op het moment dat ze dat kunnen, heb je een ander, groter probleem. Gelukkig ondersteunen veel thin-clientoplossingen hoge encryptieniveau's. Citrix kan bijvoorbeeld tot 128-bit versleutelen, en dat is erg lastig te kraken. Maar klanten kiezen ook wel eens voor 40-bitsencryptie als het netwerk geen hoge prioriteit geniet.”

Alles staat centraal, en is centraal op te roepen

Op dit punt wordt flink gediscussieerd: Omdat alle applicaties en gegevens centraal staan opgeslagen, kan een inbraak op één thin client de gehele omgeving bedreigen. Van de Kamp en Rozeman zeggen dat het vooral een theoretische onveiligheid is, maar Hartsuijker ziet wel dat er fouten in worden gemaakt. “Met wat slimme trucs kan een gebruiker bij de gegevens van een ander. Er zijn vele auditresultaten die laten zien dat dit een reëel risico is”, aldus Hartsuijker.

“De meest gemaakte fout is dat een organisatie een gedeelde thin-clientomgeving SBC, zoals Citrix of Microsoft Terminal Server, optisch beveiligt”, zegt Hartsuijker. “Het lijkt dan alsof de gebruiker nergens bij kan, terwijl de gebruiker wel verborgen rechten heeft om via een help-functie of een Office macro toch besturingssysteem-functionaliteit aan te spreken. Je kunt een dergelijke situatie misbruiken door bijvoorbeeld via een Office macro eigen code, of de command prompt op te starten”, legt hij uit. “Als een machine internettoegang heeft, zou je kunnen proberen een reverse Shell te downloaden en te starten, waarmee je vervolgens een command prompt verkrijgt onder de rechten van de gebruiker. Deze Shell geeft vervolgens veel meer mogelijkheden dan een uitgeklede grafische omgeving.”