Svi korisnici administratora sustava imaju jednu vrlo iskrenu brigu - osiguranje vjerodajnica putem veze s udaljenom radnom površinom . ^(Desktop)To je zato što zlonamjerni softver može pronaći put do bilo kojeg drugog računala preko desktop veze i predstavljati potencijalnu prijetnju vašim podacima. Zato OS Windows^{(Windows OS)} treperi upozorenje " Provjerite vjerujete li ovom računalu, povezivanje s nepouzdanim računalom može naštetiti vašem računalu^{(Make sure you trust this PC, connecting to an untrusted computer might harm your PC)} " kada se pokušate povezati s udaljenom radnom površinom.

U ovom ćemo postu vidjeti kako značajka Remote Credential Guard , koja je uvedena u  Windows 10 , može pomoći u zaštiti vjerodajnica udaljene radne površine u sustavima Windows 10 Enterprise^{(Windows 10 Enterprise)} i Windows Server .

Remote Credential Guard u sustavu Windows 10^{(Windows 10)}

Značajka je osmišljena da eliminira prijetnje prije nego što preraste u ozbiljnu situaciju. Pomaže vam da zaštitite svoje vjerodajnice putem veze s udaljenom radnom površinom^(Desktop) preusmjeravanjem Kerberos zahtjeva natrag na uređaj koji zahtijeva vezu. Također pruža iskustvo jedinstvene prijave za sesije udaljene radne površine .^{(Remote Desktop)}

U slučaju bilo kakve nesreće u kojoj je ciljni uređaj ugrožen, vjerodajnice korisnika nisu izložene jer se i vjerodajnice i derivati ​​vjerodajnica nikada ne šalju ciljnom uređaju.

Modus operandi Remote Credential Guarda^{(Remote Credential Guard)} vrlo je sličan zaštiti koju nudi Credential Guard na lokalnom računalu osim što Credential Guard također štiti pohranjene vjerodajnice domene putem Credential Managera^{(Credential Manager)} .

Pojedinac može koristiti Remote Credential Guard na sljedeće načine:

1. Budući da su vjerodajnice administratora^{(Administrator)} vrlo privilegirane, moraju biti zaštićene. Korištenjem Remote Credential Guard -a možete biti sigurni da su vaše vjerodajnice zaštićene jer ne dopušta vjerodajnicama da prođu preko mreže na ciljni uređaj.
2. Zaposlenici službe za pomoć^(Helpdesk) u vašoj organizaciji moraju se povezati s uređajima koji su spojeni na domenu koji bi mogli biti ugroženi. Uz Remote Credential Guard , zaposlenik službe za pomoć može koristiti RDP za povezivanje s ciljnim uređajem bez ugrožavanja svojih vjerodajnica za zlonamjerni softver.

Hardverski i softverski zahtjevi

Kako biste omogućili nesmetano funkcioniranje Remote Credential Guard -a , osigurajte da su ispunjeni sljedeći zahtjevi klijenta i poslužitelja udaljene radne površine .^{(Remote Desktop)}

1. Klijent i poslužitelj udaljene radne površine^{(Remote Desktop Client)} moraju biti povezani s domenom Active Directory
2. Oba uređaja se moraju ili pridružiti istoj domeni ili se poslužitelj udaljene radne površine^{(Remote Desktop)} mora pridružiti domeni s odnosom povjerenja s domenom klijentskog uređaja.
3. Kerberos provjera autentičnosti trebala je biti omogućena .
4. Klijent udaljene radne površine^{(Remote Desktop)} mora imati barem Windows 10 , verziju 1607 ili Windows Server 2016 .
5. Aplikacija Remote Desktop Universal Windows Platform ne podržava Remote Credential Guard pa upotrijebite klasičnu aplikaciju Remote Desktop za ^{(Remote Desktop)}Windows .

Omogućite Remote Credential Guard putem Registra^(Registry)

Da biste omogućili Remote Credential Guard na ciljnom uređaju, otvorite Registry Editor i idite na sljedeći ključ:

HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Lsa

Dodajte novu DWORD vrijednost pod nazivom DisableRestrictedAdmin . Postavite vrijednost ove postavke registra na 0 da biste uključili Remote Credential Guard .

Zatvorite uređivač registra.

Možete omogućiti Remote Credential Guard pokretanjem sljedeće naredbe s povišenog CMD-a:

reg add HKLM\SYSTEM\CurrentControlSet\Control\Lsa /v DisableRestrictedAdmin /d 0 /t REG_DWORD

Uključite Remote Credential Guard pomoću pravila grupe^{(Group Policy)}

Moguće je koristiti Remote Credential Guard na klijentskom uređaju postavljanjem pravila grupe^{(Group Policy)} ili korištenjem parametra s vezom na udaljenu radnu površinu^{(Remote Desktop Connection)} .

S konzole za upravljanje pravilima grupe^{(Group Policy Management Console)} idite na Computer Configuration > Administrative Templates > System > Credentials Delegation.

Sada dvaput kliknite Ograniči delegiranje vjerodajnica na udaljene poslužitelje^{(Restrict delegation of credentials to remote servers)} da biste otvorili njegov okvir Svojstva.

Sada u okviru Koristi sljedeći ograničeni način rada^{(Use the following restricted mode)} odaberite Zahtijevaj Remote Credential Guard. ^{( Require Remote Credential Guard. )}Prisutna je i druga opcija Restricted Admin mode . Njegovo značenje je da će se, kada se Remote Credential Guard ne može koristiti, koristiti način rada Ograničeni administrator^{(Restricted Admin)} .

U svakom slučaju, ni Remote Credential Guard ni Restricted Admin način neće slati vjerodajnice u čistom tekstu poslužitelju udaljene radne površine .^{(Remote Desktop)}

Dopustite Remote Credential Guard^{(Allow Remote Credential Guard)} odabirom opcije " Preferiraj udaljenu zaštitu vjerodajnica^{(Prefer Remote Credential Guard)} ".

Kliknite OK^{(Click OK)} i izađite iz konzole za upravljanje pravilima grupe^{(Group Policy Management Console)} .

Sada, iz naredbenog retka, pokrenite gpupdate.exe /force kako biste bili sigurni da je objekt grupne politike primijenjen.^{(Group Policy)}

Koristite Remote Credential Guard^{(Use Remote Credential Guard)} s parametrom za vezu s udaljenom radnom^{(Remote Desktop)} površinom

Ako ne koristite pravila grupe^{(Group Policy)} u svojoj organizaciji, možete dodati parametar remoteGuard kada pokrenete vezu s udaljenom radnom površinom^{(Desktop Connection)} da biste uključili Remote Credential Guard za tu vezu.

mstsc.exe /remoteGuard

Stvari koje trebate imati na umu kada koristite Remote Credential Guard

1. Remote Credential Guard ne može se koristiti za povezivanje s uređajem koji je pridružen Azure Active Directoryju^{(Azure Active Directory)} .
2. Remote Desktop Credential Guard radi samo s RDP protokolom.
3. Remote Credential Guard ne uključuje zahtjeve za uređaje. Na primjer, ako pokušavate pristupiti datotečnom poslužitelju s daljine, a poslužitelj datoteka zahtijeva zahtjev za uređajem, pristup će biti odbijen.
4. Poslužitelj i klijent moraju se autentificirati pomoću Kerberosa^(Kerberos) .
5. Domene moraju imati odnos povjerenja ili i klijent i poslužitelj moraju biti spojeni na istu domenu.
6. Remote Desktop Gateway nije kompatibilan sa Remote Credential Guard .
7. Na ciljni uređaj ne propuštaju se vjerodajnice. Međutim, ciljni uređaj i dalje sam stječe Kerberos servisne ^{(Kerberos Service)} karte^(Tickets) .
8. Na kraju, morate koristiti vjerodajnice korisnika koji je prijavljen na uređaj. Korištenje spremljenih vjerodajnica ili vjerodajnica koje se razlikuju od vaših nije dopušteno.

Više o tome možete pročitati na Technetu^(Technet) .

Povezano^(Related) : Kako povećati broj veza s udaljenom radnom površinom^{(increase the number of Remote Desktop Connections)} u sustavu Windows 10.

Remote Credential Guard protects Remote Desktop credentials

All system administrator users have onе very genuine cоncern – securing credentials over a Remote Desktop connection. This is because malware can find itѕ way to аny other computer over the desktop connection and pose a potential threat to your data. That is why Windows OS flashes a warning “Make sure you trust this PC, connecting to an untrusted computer might harm your PC” when you try to connect to a remote desktop.

In this post, we will see how the Remote Credential Guard feature, which has been introduced in Windows 10, can help protect remote desktop credentials in Windows 10 Enterprise and Windows Server.

Remote Credential Guard in Windows 10

The feature is designed to eliminate threats before it develops into a serious situation. It helps you protect your credentials over a Remote Desktop connection by redirecting the Kerberos requests back to the device that’s requesting the connection. It also provides single sign-on experiences for Remote Desktop sessions.

In the event of any misfortune where the target device is compromised, credentials of the user are not exposed because both credential and credential derivatives are never sent to the target device.

The modus operandi of Remote Credential Guard is very similar to the protection offered by Credential Guard on a local machine except for Credential Guard also protects stored domain credentials via the Credential Manager.

An individual can use Remote Credential Guard in the following ways-

1. Since Administrator credentials are highly privileged, they must be protected. By using Remote Credential Guard, you can be assured that your credentials are protected as it does not allow credentials to pass over the network to the target device.
2. Helpdesk employees in your organization must connect to domain-joined devices that could be compromised. With Remote Credential Guard, the helpdesk employee can use RDP to connect to the target device without compromising their credentials to malware.

Hardware and software requirements

To enable smooth functioning of the Remote Credential Guard, ensure the following requirements of Remote Desktop client and server are met.

1. The Remote Desktop Client and server must be joined to an Active Directory domain
2. Both devices must either joined to the same domain, or the Remote Desktop server must be joined to a domain with a trust relationship to the client device’s domain.
3. The Kerberos authentication should have been enabled.
4. The Remote Desktop client must be running at least Windows 10, version 1607 or Windows Server 2016.
5. The Remote Desktop Universal Windows Platform app doesn’t support Remote Credential Guard so, use Remote Desktop classic Windows app.

Enable Remote Credential Guard via Registry

To enable Remote Credential Guard on the target device, open Registry Editor and go to the following key:

HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Lsa

Add a new DWORD value named DisableRestrictedAdmin. Set the value of this registry setting to 0 to turn on Remote Credential Guard.

Close the Registry Editor.

You can enable Remote Credential Guard by running the following command from an elevated CMD:

reg add HKLM\SYSTEM\CurrentControlSet\Control\Lsa /v DisableRestrictedAdmin /d 0 /t REG_DWORD

Turn on Remote Credential Guard by using Group Policy

It is possible to use Remote Credential Guard on the client device by setting a Group Policy or by using a parameter with Remote Desktop Connection.

From the Group Policy Management Console, navigate to Computer Configuration > Administrative Templates > System > Credentials Delegation.

Now, double-click Restrict delegation of credentials to remote servers to open its Properties box.

Now in the Use the following restricted mode box, choose Require Remote Credential Guard. The other option Restricted Admin mode is also present. Its significance is that when Remote Credential Guard cannot be used, it will use Restricted Admin mode.

In any case, neither Remote Credential Guard nor Restricted Admin mode will send credentials in clear text to the Remote Desktop server.

Allow Remote Credential Guard, by choosing ‘Prefer Remote Credential Guard’ option.

Click OK and exit the Group Policy Management Console.

Now, from a command prompt, run gpupdate.exe /force to ensure that the Group Policy object is applied.

Use Remote Credential Guard with a parameter to Remote Desktop Connection

If you don’t use Group Policy in your organization, you can add the remoteGuard parameter when you start Remote Desktop Connection to turn on Remote Credential Guard for that connection.

mstsc.exe /remoteGuard

Things you should keep in mind when using Remote Credential Guard

1. Remote Credential Guard cannot be used to connect to a device that is joined to Azure Active Directory.
2. Remote Desktop Credential Guard only works with the RDP protocol.
3. Remote Credential Guard does not include device claims. For example, if you’re trying to access a file server from the remote and the file server requires device claim, access will be denied.
4. The server and client must authenticate using Kerberos.
5. The domains must have a trust relationship, or both the client and the server must be joined to the same domain.
6. Remote Desktop Gateway is not compatible with Remote Credential Guard.
7. No credentials are leaked to the target device . However, the target device still acquires the Kerberos Service Tickets on its own.
8. Lastly, you must use the credentials of the user who is logged into the device. Using saved credentials or credentials that are different than yours are not permitted.

You can read more on this at Technet.

Related: How to increase the number of Remote Desktop Connections in Windows 10.

Related posts

• Povećajte broj veza s udaljenom radnom površinom u sustavu Windows 11/10

• Windows tipka je zapela nakon prebacivanja sa sesije udaljene radne površine

• Nije moguće kopirati zalijepiti u sesiji udaljene radne površine u sustavu Windows 10

• Došlo je do pogreške pri autentifikaciji, tražena funkcija nije podržana

• Stvorite prečac za vezu s udaljenom radnom površinom u sustavu Windows 11/10

• Najbolji besplatni softver za udaljenu radnu površinu za Windows 10

• Fix Remote Desktop ne može pronaći pogrešku računala u sustavu Windows 11/10

• Najbolji besplatni softver za udaljenu radnu površinu za Windows 10

• Kako koristiti aplikaciju Udaljena radna površina u sustavu Windows 10

• Udaljena radna površina ne radi ili se ne povezuje u sustavu Windows 11/10

• NoMachine je besplatan i prenosiv alat za udaljenu radnu površinu za Windows PC

• Usluge udaljene radne površine uzrokuju visoki CPU u sustavu Windows 11/10

• Kartica Udaljena radna površina u RDWEB-u nedostaje pregledniku Edge u sustavu Windows 10

• Pristupite svom računalu daljinski koristeći Chrome Remote Desktop

• Vaše vjerodajnice nisu radile na udaljenoj radnoj površini u sustavu Windows 11/10

• Povežite iPhone s računalom sa sustavom Windows 10 pomoću Microsoftove udaljene radne površine

• Izvedite CTRL+ALT+DEL na udaljenom računalu pomoću udaljene radne površine

• Pogreška pri pokušaju prijave nije uspjela pri povezivanju udaljene radne površine

• RDP veza se prekida kada omogućite zvuk na udaljenoj radnoj površini

• Kako koristiti udaljenu radnu površinu (RDP) u sustavu Windows 11/10 Home