Изоляция сеанса 0 в Remote Desktop

В Windows Server 2003, Windows ХР и ранних версиях Windows консольный сеанс назы­вался сеансом 0 (Session 0). В дополнение к тому, что это был сеанс интерактивного входа в систему, сеанс 0 был также сеансом, в котором запускались все службы. К сожалению, запуск служб в рамках одного сеанса, который также занимается интерактивным входом, представляет собой потенциально уязвимое направление для атак. Службы запускаются с повышенными привилегиями. Из-за этого службы сеанса 0 были целью для агентов зло­умышленников, пытавшихся получить повышенный уровень прав.

В Microsoft устранили эту угрозу в версиях Windows Vista и Windows Server 2008 (позабо­тившись также о Windows 7 и Windows Server 2008 R2), сделав сеанс 0 не интерактивным. Теперь, когда пользователь входит в интерактивный сеанс, он получает сеанс 1 (Session 1), следующий параллельный пользователь получает сеанс 2 (Session 2), и т.д. Результатом этого изменения стал ряд последствий, касающихся того, как Remote Desktop for Administration работает в Windows 7 и Windows Server 2008 R2. Ниже перечислены эти последствия.

• Отсутствует переключатель /console. Этот переключатель не работает при соеди­нении с сеансом Windows 7 или Windows Server 2008 R2.
• Только два сеанса удаленных рабочих столов могут подключаться одновремен­но. В Windows Server 2003 допускалось два сеанса удаленных рабочих столов и один сеанс удаленной консоли в каждый данный момент времени. С изменением сеанса 0 в Windows 7 и Windows Server 2008 R2 теперь разрешено максимум два параллельных сеанса удаленных рабочих столов.
• Взаимодействие с сеансом 0 через пользовательский интерфейс. Что если служба представляет пользовательский интерфейс для взаимодействия с ним? Поскольку се­анс 0 отныне не интерактивен, Windows 7 и Windows Server 2008 R2 позволяют пользо­вателю взаимодействовать с интерфейсом сеанса 0 через специальный рабочий стол.
  
• Диалоговое окно отсоединенного сеанса. В новом клиенте соединения удаленных рабочих столов есть вероятность попытки подключения к терминальному серверу, на котором уже открыто слишком много сеансов. В Windows Server 2003 клиент про­сто получает сообщение: "The Terminal Server has exceeded the maximum number of connections" (Превышено максимальное число соединений с терминальным серве­ром). Теперь, когда открыто слишком много параллельных соединений, клиент полу­чает диалоговое окно с выбором, позволяющим администратору отключить какой-то из существующих сеансов.
• По умолчанию пользователь ограничен только одним сеансом. По умолчанию в службе удаленных рабочих столов Windows Server 2008 R2 все пользователи ограни­чены одним интерактивным сеансом. Эта установка может быть изменена через кон­соль управления или групповую политику.