همه کاربران سرپرست سیستم یک نگرانی بسیار واقعی دارند - ایمن کردن اعتبارنامه ها از طریق یک اتصال دسکتاپ^(Desktop) از راه دور . این به این دلیل است که بدافزار می تواند راه خود را به هر رایانه دیگری از طریق اتصال دسکتاپ پیدا کند و تهدیدی بالقوه برای داده های شما باشد. به همین دلیل است که وقتی می‌خواهید به یک دسک‌تاپ از راه دور متصل شوید ، سیستم‌عامل ویندوز^{(Windows OS)} یک هشدار چشمک می‌زند: « مطمئن شوید که به این رایانه شخصی اعتماد دارید، اتصال به رایانه غیرقابل اعتماد ممکن است به رایانه شما آسیب برساند ».^{(Make sure you trust this PC, connecting to an untrusted computer might harm your PC)}

در این پست خواهیم دید که چگونه قابلیت Remote Credential Guard که در ^{(Remote Credential Guard)}ویندوز 10^{(Windows 10)} معرفی شده است  ، می تواند به محافظت از اعتبارنامه های دسکتاپ از راه دور در ویندوز 10 Enterprise^{(Windows 10 Enterprise)} و Windows Server کمک کند.

Remote Credential Guard در ویندوز 10^{(Windows 10)}

این ویژگی برای از بین بردن تهدیدات قبل از تبدیل شدن به یک موقعیت جدی طراحی شده است. این به شما کمک می کند تا با هدایت درخواست های Kerberos به دستگاهی که اتصال را درخواست می کند، از اعتبار خود از طریق یک اتصال دسکتاپ راه دور محافظت کنید. ^(Desktop)همچنین تجربه ورود به سیستم واحد را برای جلسات دسکتاپ از راه دور فراهم می کند.^{(Remote Desktop)}

در صورت بروز هر گونه بدبختی که در آن دستگاه مورد نظر به خطر بیفتد، اعتبار کاربر فاش نمی شود زیرا هر دو اعتبار و مشتقات اعتبار هرگز به دستگاه مورد نظر ارسال نمی شوند.

نحوه عملکرد Remote Credential Guard بسیار شبیه به حفاظت ارائه شده توسط Credential Guard در یک ماشین محلی است، به جز Credential Guard همچنین از اعتبارنامه های ذخیره شده دامنه از طریق Credential Manager محافظت می کند .

یک فرد می تواند به روش های زیر از Remote Credential Guard استفاده کند:^{(Remote Credential Guard)}

1. از آنجایی که اعتبار مدیر^{(Administrator)} دارای امتیاز بالایی است، باید از آنها محافظت شود. با استفاده از Remote Credential Guard ، می‌توانید مطمئن باشید که اعتبار شما محافظت می‌شود، زیرا اجازه نمی‌دهد اعتبارنامه‌ها از طریق شبکه به دستگاه مورد نظر منتقل شوند.
2. کارکنان Helpdesk^(Helpdesk) در سازمان شما باید به دستگاه‌های متصل به دامنه متصل شوند که ممکن است در معرض خطر قرار گیرند. با Remote Credential Guard ، کارمند Helpdesk می تواند از RDP برای اتصال به دستگاه مورد نظر استفاده کند بدون اینکه اعتبار خود را در معرض بدافزار قرار دهد.

الزامات سخت افزاری و نرم افزاری

برای فعال کردن عملکرد روان Remote Credential Guard ، اطمینان حاصل کنید که الزامات زیر برای مشتری و سرور Remote Desktop برآورده شده است.^{(Remote Desktop)}

1. کلاینت و سرور Remote Desktop^{(Remote Desktop Client)} باید به یک دامنه Active Directory متصل شوند
2. هر دو دستگاه باید یا به یک دامنه متصل شوند یا سرور دسکتاپ از راه دور^{(Remote Desktop)} باید به دامنه ای با یک رابطه اعتماد به دامنه دستگاه مشتری متصل شود.
3. احراز هویت Kerberos باید فعال می شد.
4. کلاینت Remote Desktop باید حداقل ویندوز 10^{(Windows 10)} ، نسخه 1607 یا Windows Server 2016 را اجرا کند.
5. برنامه Remote Desktop Universal Windows Platform از ^{(Remote Desktop Universal Windows Platform)}Remote Credential Guard پشتیبانی نمی کند ، بنابراین، از برنامه کلاسیک Windows Remote Desktop استفاده کنید .

Remote Credential Guard را^{(Remote Credential Guard)} از طریق رجیستری^(Registry) فعال کنید

برای فعال کردن Remote Credential Guard در دستگاه مورد نظر، ویرایشگر رجیستری^{(Registry Editor)} را باز کنید و به کلید زیر بروید:

HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Lsa

یک مقدار DWORD جدید با نام DisableRestrictedAdmin اضافه کنید . مقدار این تنظیم رجیستری را روی 0 تنظیم کنید تا Remote Credential Guard روشن شود.

ویرایشگر رجیستری را ببندید.

می توانید با اجرای دستور زیر از یک CMD بالا، Remote Credential Guard را فعال کنید:^{(Remote Credential Guard)}

reg add HKLM\SYSTEM\CurrentControlSet\Control\Lsa /v DisableRestrictedAdmin /d 0 /t REG_DWORD

با استفاده از Group Policy ، Remote Credential Guard را روشن کنید

استفاده از Remote Credential Guard در دستگاه مشتری با تنظیم یک خط مشی گروه^{(Group Policy)} یا با استفاده از یک پارامتر با اتصال از راه دور دسکتاپ^{(Remote Desktop Connection)} امکان پذیر است.

از کنسول مدیریت خط مشی گروه^{(Group Policy Management Console)} ، به Computer Configuration > Administrative Templates > System > Credentials Delegation.

اکنون، بر روی Restrict delegation of credentials to remote servers^{(Restrict delegation of credentials to remote servers)} دوبار کلیک کنید تا کادر Properties آن باز شود.

اکنون در کادر استفاده از حالت محدود زیر^{(Use the following restricted mode)} ، Require Remote Credential Guard را انتخاب کنید. ^{( Require Remote Credential Guard. )}گزینه دیگر حالت مدیریت محدود^{(Restricted Admin mode)} نیز وجود دارد. اهمیت آن در این است که وقتی Remote Credential Guard قابل استفاده نباشد، از حالت Restricted Admin استفاده می کند.

در هر صورت، نه Remote Credential Guard و نه حالت Restricted Admin اعتبارنامه ها را به صورت متنی واضح به سرور Remote Desktop ارسال نمی کنند.

^{(Allow Remote Credential Guard)}با انتخاب گزینه " ترجیح نگهبان اعتبار از راه دور"، Remote Credential Guard را ^{(Prefer Remote Credential Guard)}مجاز کنید.

روی OK کلیک کنید و از ^{(Click OK)}کنسول مدیریت خط مشی گروه^{(Group Policy Management Console)} خارج شوید .

اکنون، از یک خط فرمان، gpupdate.exe /force را اجرا کنید تا مطمئن شوید که شی Group Policy اعمال شده است.^{(Group Policy)}

از Remote Credential Guard^{(Use Remote Credential Guard)} با پارامتری برای Remote Desktop Connection استفاده کنید

اگر از Group Policy در سازمان خود استفاده نمی کنید، می توانید پارامتر remoteGuard را هنگام راه اندازی Remote Desktop Connection اضافه کنید تا Remote Credential Guard را برای آن اتصال روشن کنید.

mstsc.exe /remoteGuard

مواردی که باید هنگام استفاده از Remote Credential Guard در نظر داشته باشید^{(Remote Credential Guard)}

1. Remote Credential Guard را نمی توان برای اتصال به دستگاهی که به Azure Active Directory متصل شده است استفاده کرد.
2. Remote Desktop Credential Guard فقط با پروتکل RDP کار می کند.^(RDP)
3. Remote Credential Guard شامل ادعاهای دستگاه نمی شود. برای مثال، اگر می‌خواهید از راه دور به یک سرور فایل دسترسی داشته باشید و سرور فایل به ادعای دستگاه نیاز دارد، دسترسی ممنوع خواهد شد.
4. سرور و کلاینت باید با استفاده از Kerberos احراز هویت شوند.
5. دامنه ها باید یک رابطه اعتماد داشته باشند یا هر دو مشتری و سرور باید به یک دامنه متصل شوند.
6. دروازه دسکتاپ از راه دور با ^{(Remote Desktop Gateway)}Remote Credential Guard سازگار نیست .
7. هیچ اعتباری به دستگاه مورد نظر درز نمی کند. با این حال، دستگاه مورد نظر همچنان بلیط های ^(Tickets)خدمات Kerberos^{(Kerberos Service)} را به تنهایی دریافت می کند.
8. در نهایت، باید از اعتبار کاربری که وارد دستگاه شده است استفاده کنید. استفاده از اعتبارنامه های ذخیره شده یا اعتبارنامه هایی که متفاوت از اعتبار شما هستند مجاز نیست.

می توانید در Technet^(Technet) بیشتر در این مورد مطالعه کنید .

مطالب مرتبط^(Related) : نحوه افزایش تعداد اتصالات دسکتاپ از راه دور^{(increase the number of Remote Desktop Connections)} در ویندوز 10.

Remote Credential Guard protects Remote Desktop credentials

All system administrator users have one very genuine сoncеrn – securing credentials over a Remote Desktop connection. Τhis is bеcаuse malware can find its way to any other computer oνer the desktop connectiоn and pose a pоtential threat to уour data. That is why Windоws OS flаshes a warning “Make sure you trust this PC, connecting to an untrusted computer might harm your PC” when you try to connect to a remote desktop.

In this post, we will see how the Remote Credential Guard feature, which has been introduced in Windows 10, can help protect remote desktop credentials in Windows 10 Enterprise and Windows Server.

Remote Credential Guard in Windows 10

The feature is designed to eliminate threats before it develops into a serious situation. It helps you protect your credentials over a Remote Desktop connection by redirecting the Kerberos requests back to the device that’s requesting the connection. It also provides single sign-on experiences for Remote Desktop sessions.

In the event of any misfortune where the target device is compromised, credentials of the user are not exposed because both credential and credential derivatives are never sent to the target device.

The modus operandi of Remote Credential Guard is very similar to the protection offered by Credential Guard on a local machine except for Credential Guard also protects stored domain credentials via the Credential Manager.

An individual can use Remote Credential Guard in the following ways-

1. Since Administrator credentials are highly privileged, they must be protected. By using Remote Credential Guard, you can be assured that your credentials are protected as it does not allow credentials to pass over the network to the target device.
2. Helpdesk employees in your organization must connect to domain-joined devices that could be compromised. With Remote Credential Guard, the helpdesk employee can use RDP to connect to the target device without compromising their credentials to malware.

Hardware and software requirements

To enable smooth functioning of the Remote Credential Guard, ensure the following requirements of Remote Desktop client and server are met.

1. The Remote Desktop Client and server must be joined to an Active Directory domain
2. Both devices must either joined to the same domain, or the Remote Desktop server must be joined to a domain with a trust relationship to the client device’s domain.
3. The Kerberos authentication should have been enabled.
4. The Remote Desktop client must be running at least Windows 10, version 1607 or Windows Server 2016.
5. The Remote Desktop Universal Windows Platform app doesn’t support Remote Credential Guard so, use Remote Desktop classic Windows app.

Enable Remote Credential Guard via Registry

To enable Remote Credential Guard on the target device, open Registry Editor and go to the following key:

HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Lsa

Add a new DWORD value named DisableRestrictedAdmin. Set the value of this registry setting to 0 to turn on Remote Credential Guard.

Close the Registry Editor.

You can enable Remote Credential Guard by running the following command from an elevated CMD:

reg add HKLM\SYSTEM\CurrentControlSet\Control\Lsa /v DisableRestrictedAdmin /d 0 /t REG_DWORD

Turn on Remote Credential Guard by using Group Policy

It is possible to use Remote Credential Guard on the client device by setting a Group Policy or by using a parameter with Remote Desktop Connection.

From the Group Policy Management Console, navigate to Computer Configuration > Administrative Templates > System > Credentials Delegation.

Now, double-click Restrict delegation of credentials to remote servers to open its Properties box.

Now in the Use the following restricted mode box, choose Require Remote Credential Guard. The other option Restricted Admin mode is also present. Its significance is that when Remote Credential Guard cannot be used, it will use Restricted Admin mode.

In any case, neither Remote Credential Guard nor Restricted Admin mode will send credentials in clear text to the Remote Desktop server.

Allow Remote Credential Guard, by choosing ‘Prefer Remote Credential Guard’ option.

Click OK and exit the Group Policy Management Console.

Now, from a command prompt, run gpupdate.exe /force to ensure that the Group Policy object is applied.

Use Remote Credential Guard with a parameter to Remote Desktop Connection

If you don’t use Group Policy in your organization, you can add the remoteGuard parameter when you start Remote Desktop Connection to turn on Remote Credential Guard for that connection.

mstsc.exe /remoteGuard

Things you should keep in mind when using Remote Credential Guard

1. Remote Credential Guard cannot be used to connect to a device that is joined to Azure Active Directory.
2. Remote Desktop Credential Guard only works with the RDP protocol.
3. Remote Credential Guard does not include device claims. For example, if you’re trying to access a file server from the remote and the file server requires device claim, access will be denied.
4. The server and client must authenticate using Kerberos.
5. The domains must have a trust relationship, or both the client and the server must be joined to the same domain.
6. Remote Desktop Gateway is not compatible with Remote Credential Guard.
7. No credentials are leaked to the target device . However, the target device still acquires the Kerberos Service Tickets on its own.
8. Lastly, you must use the credentials of the user who is logged into the device. Using saved credentials or credentials that are different than yours are not permitted.

You can read more on this at Technet.

Related: How to increase the number of Remote Desktop Connections in Windows 10.

Related posts

• افزایش تعداد Remote Desktop Connections در Windows 11/10

• Windows کلید پس از سوئیچینگ از Remote Desktop session گیر کرده است

• نمی تواند Paste را در Remote Desktop Session در Windows 10 کپی کند

• RDP connection authentication error؛ Function درخواست پشتیبانی نمی

• Create Remote Desktop Connection shortcut در Windows 11/10

• Command Line Parameters برای Remote Desktop Connections

• Fix Remote Desktop connection مسائل و خطا در ویندوز 10

• فعال کردن Remote Desktop با استفاده از Command Prompt or PowerShell

• logon attempt خطا انجام نشد در حالی که اتصال Remote Desktop

• Remote Desktop کار نمی کند و یا نمی خواهد در Windows 10 اتصال

• Fix Remote Desktop Error Code 0x104 در ویندوز 11/10

• Ammyy Admin: Secure Zero-Config Remote Desktop Software قابل حمل

• دسکتاپ از راه دور نمی تواند به کامپیوتر از راه دور در Windows 11/10 اتصال

• NoMachine Remote Desktop Tool رایگان و قابل حمل برای Windows PC است

• دسترسی شما Computer از راه دور با استفاده از Chrome Remote Desktop

• Connect iPhone به Windows 10 PC با استفاده از Microsoft Remote Desktop

• Microsoft Remote Desktop Assistant برای Windows 10

• با استفاده از Remote Desktop Connection از اوبونتو به کامپیوتر ویندوزی متصل شوید

• چگونه به ارسال Ctrl+Alt+Delete در یک Remote Desktop Session

• Remove History ورودی از Remote Desktop Connection در Windows 11/10