Configuración del modo de conformidad y TLS
Esta opción permite a Citrix Workspace identificar conexiones seguras y cifrar la comunicación dentro del servidor.
Estos son los tipos de conexiones seguras con TLS entre Citrix Workspace y XenApp y XenDesktop que Citrix respalda:
1. TLS 1.0
2. TLS 1.1
3. TLS 1.2
Los valores del Modo de conformidad para la seguridad son:
- FIPS: Cuando se habilita el modo FIPS, se obliga al sistema operativo Windows y sus subsistemas a usar solamente algoritmos criptográficos validados por FIPS.
- Ninguno: No se obliga a aplicar ningún modo de conformidad.
- SP800-52: Se obliga a aplicar NIST SP800-52r1.
Cuando se selecciona la opción SP800-52 en el menú desplegable de Modo de conformidad para la seguridad, se permite la siguiente Directiva de comprobación de revocación de certificados (CRCP):
- Requerir comprobación con acceso completo y lista de revocación de certificados: Esta es la opción predeterminada.
- Requerir comprobación con acceso completo y todas las listas de revocación de certificados
Puede restringir Citrix Workspace para que solo se conecte con servidores especificados, definiendo una lista de servidores separados por comas en el parámetro Servidores TLS permitidos. Pueden usar comodines y números de puerto. Por ejemplo, *.citrix.com:4433 permite la conexión con cualquier servidor cuyo nombre común termine en .citrix.com en el puerto 4433. La exactitud de la información incluida en un certificado de seguridad está aseverada por el emisor del certificado. Si Citrix Workspace no reconoce ni confía en el emisor de un certificado, la conexión se rechaza.
La versión de TLS se puede restringir a cualquier combinación de:
- TLS 1.0, TLS 1.1 o TLS 1.2
- TLS 1.1 o TLS 1.2
- Solo TLS 1.2
El conjunto de cifrado TLS es un grupo de conjuntos de cifrado permitidos por el cliente. El conjunto de cifrado TLS se puede configurar con alguno de los siguientes:
Nota: Los conjuntos de cifrado TLS_RSA_* se pueden inhabilitar mediante la directiva Conjuntos de cifrado retirados.
- Cualquiera: Cuando se configura el valor "Cualquiera", se permiten los siguientes conjuntos de cifrado en el modo de conformidad NINGUNO, de manera predeterminada:
* TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384
* TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384
* TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA
* TLS_EMPTY_RENEGOTIATION_INFO_SCSV
- Comercial: Con esta opción, solo se permite usar los conjuntos de cifrado siguientes:
* TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA
* TLS_EMPTY_RENEGOTIATION_INFO_SCSV
- Gubernamental: Con esta opción, solo se permite usar los conjuntos de cifrado siguientes:
* TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384
* TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384
* TLS_EMPTY_RENEGOTIATION_INFO_SCSV
La Directiva de comprobación de revocación de certificados se usa para mejorar la autenticación criptográfica del servidor Citrix y mejora la seguridad global de las conexiones TLS entre cliente y servidor.
Nota: La comprobación de la revocación de certificados solo es válida cuando el Modo de conformidad para la seguridad es SP800-52.
Cuando se habilita este parámetro, el cliente comprueba si el certificado del servidor ha sido revocado o no. Hay varios niveles de comprobación de la lista de revocación de certificados. Por ejemplo, se puede configurar el cliente para que solo compruebe su lista de certificados local, o para que compruebe la lista de certificados local y las listas que existan en la red. Además, la comprobación de certificados se puede configurar para permitir que los usuarios inicien sesiones solo si se han verificado todas las listas de revocación de certificados.
La comprobación de revocación de certificados es una función avanzada admitida por algunos emisores de certificados. Permite a los administradores revocar certificados de seguridad (invalidados antes de su fecha de caducidad) en el caso de detectarse algún riesgo para la clave privada del certificado.
Los valores aplicables para esta configuración son:
- No comprobar: No se lleva a cabo ninguna comprobación de revocación de certificados.
- Comprobar sin acceso a red: Se lleva a cabo la comprobación de revocación de certificados. Solo se usan los almacenes de la lista de revocación de certificados local. Se ignoran todos los puntos de distribución. Para la verificación del certificado de servidor que presenta el servidor SSL Relay/Secure Gateway de destino no es de importancia fundamental encontrar una lista de revocación de certificados.
- Comprobar con acceso completo: Se lleva a cabo la comprobación de revocación de certificados. Se usan tanto los almacenes locales de listas de revocación de certificados como los de todos los puntos de distribución. Si se encuentra información de revocación de un certificado, la conexión se rechaza. Para la verificación del certificado de servidor que presenta el servidor de destino no es de importancia fundamental encontrar una lista de revocación de certificados.
- Requerir comprobación con acceso completo y lista de revocación de certificados: Se lleva a cabo una comprobación de listas de revocación de certificados, excluyendo la entidad de certificación (CA) raíz. Se usan tanto los almacenes locales de listas de revocación de certificados como los de todos los puntos de distribución. Si se encuentra información de revocación de un certificado, la conexión se rechaza. Para la verificación es de importancia fundamental encontrar todas las listas de revocación de certificados.
- Requerir comprobación con acceso completo y todas las listas de revocación de certificados: Se lleva a cabo una comprobación de listas de revocación de certificados, incluida la entidad de certificación (CA) raíz. Se usan tanto los almacenes locales de listas de revocación de certificados como los de todos los puntos de distribución. Si se encuentra información de revocación de un certificado, la conexión se rechaza. Para la verificación es de importancia fundamental encontrar todas las listas de revocación de certificados.
Las organizaciones que configuran TLS para una gama de productos pueden identificar los servidores dedicados a Citrix Workspace especificando un ID de objeto (OID) de extensión de directiva de certificado como parte del certificado de seguridad. Si se configura un OID de extensión de directiva aquí, Citrix Workspace acepta solo aquellos certificados que declaren una directiva compatible.
Al conectar mediante TLS, el servidor puede configurarse para requerir que Citrix Workspace suministre un certificado de seguridad para identificarse a sí mismo. Use el parámetro "Autenticación del cliente" para configurar si la identificación se proporciona automáticamente, o si se notifica al usuario. Las opciones incluyen:
- Inhabilitado: La autenticación del cliente está inhabilitada
- Mostrar selector de certificados: Se pide siempre al usuario que seleccione un certificado.
- Seleccionar automáticamente, si es posible: Solo se pregunta al usuario cuando hay varios certificados que se pueden elegir
- Nunca: Nunca proporcionar identificación
- No configurado: La autenticación de cliente no está configurada. Se aplica el comportamiento predeterminado.
- Usar un certificado especificado: Usar el certificado de cliente especificado en el parámetro más abajo
Use el parámetro "Certificado del cliente" para especificar la huella digital del certificado de identificación y evitar tener que preguntar al usuario innecesariamente.
Requerir TLS para todas las conexiones| Registry Hive | HKEY_LOCAL_MACHINE |
| Registry Path | Software\Policies\Citrix\ICA Client\Engine\Lockdown Profiles\All Regions\Lockdown\Network\SSL |
| Value Name | SSLEnable |
| Value Type | REG_SZ |
| Default Value | true |
| True Value | true |
| False Value | * |
- NINGUNO
Registry Hive HKEY_LOCAL_MACHINE Registry Path Software\Policies\Citrix\ICA Client\Engine\Lockdown Profiles\All Regions\Lockdown\Network\SSL Value Name SSLSecurityComplianceMode Value Type REG_SZ Value NONE - SP800-52
Registry Hive HKEY_LOCAL_MACHINE Registry Path Software\Policies\Citrix\ICA Client\Engine\Lockdown Profiles\All Regions\Lockdown\Network\SSL Value Name SSLSecurityComplianceMode Value Type REG_SZ Value SP800-52 - FIPS
Registry Hive HKEY_LOCAL_MACHINE Registry Path Software\Policies\Citrix\ICA Client\Engine\Lockdown Profiles\All Regions\Lockdown\Network\SSL Value Name SSLSecurityComplianceMode Value Type REG_SZ Value FIPS
- TLS1.2
Registry Hive HKEY_LOCAL_MACHINE Registry Path Software\Policies\Citrix\ICA Client\Engine\Lockdown Profiles\All Regions\Lockdown\Network\SSL Value Name SecureChannelProtocol Value Type REG_SZ Value TLS12 - TLS1.1 | TLS1.2
Registry Hive HKEY_LOCAL_MACHINE Registry Path Software\Policies\Citrix\ICA Client\Engine\Lockdown Profiles\All Regions\Lockdown\Network\SSL Value Name SecureChannelProtocol Value Type REG_SZ Value TLS11_TLS12 - TLS1.0 | TLS1.1 | TLS1.2
Registry Hive HKEY_LOCAL_MACHINE Registry Path Software\Policies\Citrix\ICA Client\Engine\Lockdown Profiles\All Regions\Lockdown\Network\SSL Value Name SecureChannelProtocol Value Type REG_SZ Value TLS11_TLS12_TLS13
- Cualquiera
Registry Hive HKEY_LOCAL_MACHINE Registry Path Software\Policies\Citrix\ICA Client\Engine\Lockdown Profiles\All Regions\Lockdown\Network\SSL Value Name SSLCiphers Value Type REG_SZ Value - Gubernamental
Registry Hive HKEY_LOCAL_MACHINE Registry Path Software\Policies\Citrix\ICA Client\Engine\Lockdown Profiles\All Regions\Lockdown\Network\SSL Value Name SSLCiphers Value Type REG_SZ Value GOV - Comercial
Registry Hive HKEY_LOCAL_MACHINE Registry Path Software\Policies\Citrix\ICA Client\Engine\Lockdown Profiles\All Regions\Lockdown\Network\SSL Value Name SSLCiphers Value Type REG_SZ Value COM
- No comprobar
Registry Hive HKEY_LOCAL_MACHINE Registry Path Software\Policies\Citrix\ICA Client\Engine\Lockdown Profiles\All Regions\Lockdown\Network\SSL Value Name SSLCertificateRevocationCheckPolicy Value Type REG_SZ Value NoCheck - Comprobar sin acceso a red
Registry Hive HKEY_LOCAL_MACHINE Registry Path Software\Policies\Citrix\ICA Client\Engine\Lockdown Profiles\All Regions\Lockdown\Network\SSL Value Name SSLCertificateRevocationCheckPolicy Value Type REG_SZ Value CheckNoNetworkAccess - Comprobar con acceso completo
Registry Hive HKEY_LOCAL_MACHINE Registry Path Software\Policies\Citrix\ICA Client\Engine\Lockdown Profiles\All Regions\Lockdown\Network\SSL Value Name SSLCertificateRevocationCheckPolicy Value Type REG_SZ Value FullAccessCheck - Requerir comprobación con acceso completo y lista de revocación de certificados
Registry Hive HKEY_LOCAL_MACHINE Registry Path Software\Policies\Citrix\ICA Client\Engine\Lockdown Profiles\All Regions\Lockdown\Network\SSL Value Name SSLCertificateRevocationCheckPolicy Value Type REG_SZ Value FullAccessCheckAndCrlRequired - Requerir comprobación con acceso completo y todas las listas de revocación de certificados
Registry Hive HKEY_LOCAL_MACHINE Registry Path Software\Policies\Citrix\ICA Client\Engine\Lockdown Profiles\All Regions\Lockdown\Network\SSL Value Name SSLCertificateRevocationCheckPolicy Value Type REG_SZ Value FullAccessCheckAndCrlRequiredAll
- No configurado
Registry Hive HKEY_LOCAL_MACHINE Registry Path Software\Policies\Citrix\ICA Client\Engine\Lockdown Profiles\All Regions\Lockdown\Network\SSL Value Name SSLClientAuthentication Value Type REG_SZ Value - Mostrar selector de certificados
Registry Hive HKEY_LOCAL_MACHINE Registry Path Software\Policies\Citrix\ICA Client\Engine\Lockdown Profiles\All Regions\Lockdown\Network\SSL Value Name SSLClientAuthentication Value Type REG_SZ Value AlwaysPromptUser - Inhabilitado
Registry Hive HKEY_LOCAL_MACHINE Registry Path Software\Policies\Citrix\ICA Client\Engine\Lockdown Profiles\All Regions\Lockdown\Network\SSL Value Name SSLClientAuthentication Value Type REG_SZ Value Off - Usar un certificado especificado
Registry Hive HKEY_LOCAL_MACHINE Registry Path Software\Policies\Citrix\ICA Client\Engine\Lockdown Profiles\All Regions\Lockdown\Network\SSL Value Name SSLClientAuthentication Value Type REG_SZ Value On - Seleccionar automáticamente, si es posible
Registry Hive HKEY_LOCAL_MACHINE Registry Path Software\Policies\Citrix\ICA Client\Engine\Lockdown Profiles\All Regions\Lockdown\Network\SSL Value Name SSLClientAuthentication Value Type REG_SZ Value PromptUser
receiver.admx
- Componentes de Citrix
- Citrix Workspace
- Actualizaciones de Citrix Workspace
- Autenticación de usuarios
- Administrar la protección de aplicaciones
- Autenticación con tarjeta inteligente
- Autenticación Kerberos
- Directiva de extracción de tarjeta inteligente para máquinas x64
- Directiva de extracción de tarjeta inteligente para máquinas x86
- Evitar el almacenamiento de cookies persistentes
- Nombre de usuario y contraseña locales
- Single Sign-on para NetScaler Gateway
- Tíquet de autenticación de la Interfaz Web
- Autoservicio
- Opciones de Preferencias avanzadas
- Ocultar Central de conexiones
- Ocultar Citrix Casting
- Ocultar Citrix Files
- Ocultar Configuration Checker
- Ocultar Distribución del teclado local
- Ocultar Eliminar contraseñas guardadas
- Ocultar Información de asistencia
- Ocultar parámetros de PPP
- Ocultar Parámetros
- Ocultar Preferencias avanzadas
- Ocultar Recopilación de datos
- Administrar accesos directos de aplicaciones
- Administrar la protección de aplicaciones
- Administrar modo Self-Service
- Almacenar tokens de autenticación
- Autenticación silenciosa para Citrix Workspace
- Controlar cuándo intenta Citrix Workspace reconectar con sesiones existentes
- EnableFTU
- Habilitar FTA predeterminada
- Habilitar FTA
- Habilitar preinicio de aplicaciones
- Local app discovery
- Permitir/impedir que los usuarios publiquen contenido no seguro
- Permitir/impedir que los usuarios publiquen contenido seguro
- Permitir a los usuarios agregar o quitar cuentas
- vPrefer
- Opciones de Preferencias avanzadas
- CEIP
- Citrix Secure Browser
- Conformidad
- Diagnóstico
- Experiencia de usuario
- Aceleración de hardware para gráficos
- Aplicaciones remotas
- Audio a través de redirección de USB genérico
- Barra de idioma
- Configuración de gráficos del cliente
- Configuración del acceso a aplicaciones locales
- Configuración de la presentación del cliente
- Configuración del audio del cliente
- Configurar estado en primer plano de la barra de progreso
- Descodificación H265 para gráficos
- Parámetros del teclado
- Teclas de acceso rápido para Desktop Viewer
- Teclas de acceso rápido
- Global App Config Service
- ICA multisecuencia
- Motor de cliente
- PPP
- Redirección de Flash de HDX MediaStream - Cliente
- Habilitar la Redirección de Flash de HDX MediaStream en el dispositivo de usuario
- Habilitar la sincronización de las cookies HTTP del lado del cliente con el lado del servidor
- Habilitar obtención de contenido del lado del servidor
- Reglas de reescritura de URL para la obtención de contenido en el lado del cliente
- Redirección de red
- Respaldo para API de Fast Connect.
- StoreFront
- Uso remoto de dispositivos cliente
- Configuración de la redirección del host al cliente
- Permitir conexiones de cliente
- Protección de aplicaciones: Avanzada
- Habilitar ICA File Signing
- Citrix Workspace
- Componentes de Citrix
- Citrix Workspace
- Autenticación de usuarios
- Experiencia de usuario
- Anulaciones de redireccionamiento de contenido bidireccional
- Aplicaciones remotas
- Audio a través de redirección de USB genérico
- Barra de idioma
- Configuración de gráficos del cliente
- Configuración del acceso a aplicaciones locales
- Configuración de la presentación del cliente
- Configuración del audio del cliente
- Habilitar NPS
- Parámetros del teclado
- Redirección de contenido bidireccional
- Redirección de OAuth
- Teclas de acceso rápido
- ICA multisecuencia
- Motor de cliente
- Redirección de Flash de HDX MediaStream - Cliente
- Habilitar la Redirección de Flash de HDX MediaStream en el dispositivo de usuario
- Habilitar la sincronización de las cookies HTTP del lado del cliente con el lado del servidor
- Habilitar obtención de contenido del lado del servidor
- Reglas de reescritura de URL para la obtención de contenido en el lado del cliente
- Redirección de red
- Uso remoto de dispositivos cliente
- Permitir conexiones de cliente
- Citrix Workspace