FreeRDP 3.32.0 cambia el defecto de certificados en proxy y añade login con Entra
La nueva versión invierte la política de certificados del destino en conexiones con proxy y suma integración con Entra/Azure en los clientes Linux, además de RAIL básico en el cliente SDL en beta.
FreeRDP ha publicado la versión 3.32.0. El cambio que más va a notar quien ya tenga despliegues en marcha está en el proxy: los controles de política del certificado de destino pasan de aceptar salvo que se deniegue a denegar salvo que se acepte. Las configuraciones que daban por bueno el comportamiento anterior hay que revisarlas, porque el valor por defecto ya no es el mismo.
Es un cambio de seguridad clásico: el camino cómodo deja de ser el que viene puesto. Quien tenga proxies intermedios en su infraestructura de escritorio remoto tendrá que tocar la configuración o asumir que las conexiones no se comportarán como hasta ahora.
Entra, RAIL y errores de login
En el lado del cliente, los clientes SDL y xfreerdp para Linux estrenan integración con Entra/Azure mediante binarios auxiliares. Eso mete el directorio de identidades de Microsoft en el flujo de autenticación del escritorio remoto sin que el usuario tenga que pelearse con la configuración. El cliente SDL, que sigue en beta, añade además soporte básico de RAIL sobre X11 y Wayland, la pieza que permite que las aplicaciones remotas se comporten como ventanas locales.
La versión incorpora soporte del PDU Early User Authorization Result, que sirve para que un login denegado devuelva un error más claro en lugar de un mensaje genérico. También cierra el stream de cámara cuando ya no se están pidiendo fotogramas, algo que se nota en el consumo de recursos de sesiones largas con vídeo, y endurece la validación del protocolo.
Qué implica operarlo
FreeRDP es la implementación libre de RDP que hay debajo de buena parte de los clientes de escritorio remoto en Linux y macOS, y también de integraciones dentro de otras herramientas. Un cambio de valor por defecto en la validación de certificados es de esas cosas que no se ven hasta que algo deja de conectar en producción, y entonces se busca en el sitio equivocado durante media tarde.
El proyecto mantiene el cliente SDL en beta, así que el soporte de RAIL sobre X11 y Wayland conviene tratarlo como lo que es. Queda por ver con qué rapidez los despliegues existentes migran la política de certificados y cuánto tarda el cliente SDL en dejar de ser beta.
