Tutti gli utenti dell'amministratore di sistema hanno una preoccupazione molto reale: proteggere le credenziali tramite una connessione Desktop remoto . Questo perché il malware può raggiungere qualsiasi altro computer tramite la connessione desktop e rappresentare una potenziale minaccia per i tuoi dati. Ecco perché il sistema operativo Windows^{(Windows OS)} mostra un avviso " Assicurati di fidarti di questo PC, la connessione a un computer non attendibile potrebbe danneggiare il tuo PC^{(Make sure you trust this PC, connecting to an untrusted computer might harm your PC)} " quando tenti di connetterti a un desktop remoto.

In questo post, vedremo come la funzionalità Remote Credential Guard , introdotta in  Windows 10 , può aiutare a proteggere le credenziali del desktop remoto in Windows 10 Enterprise e Windows Server .

Protezione delle credenziali remote^{(Remote Credential Guard)} in Windows 10

La funzione è progettata per eliminare le minacce prima che si trasformino in una situazione grave. Ti aiuta a proteggere le tue credenziali su una connessione Desktop remoto reindirizzando le richieste Kerberos al dispositivo che sta richiedendo la connessione. Fornisce inoltre esperienze di accesso singolo per le sessioni di Desktop remoto .^{(Remote Desktop)}

In caso di qualsiasi disgrazia in cui il dispositivo di destinazione è compromesso, le credenziali dell'utente non vengono esposte perché sia ​​le credenziali che le derivate delle credenziali non vengono mai inviate al dispositivo di destinazione.

Il modus operandi di Remote Credential Guard è molto simile alla protezione offerta da Credential Guard su una macchina locale, ad eccezione di Credential Guard che protegge anche le credenziali di dominio archiviate tramite Credential Manager .

Un individuo può utilizzare Remote Credential Guard nei seguenti modi:

1. Poiché le credenziali dell'amministratore^{(Administrator)} sono altamente privilegiate, devono essere protette. Utilizzando Remote Credential Guard , puoi essere certo che le tue credenziali sono protette in quanto non consente alle credenziali di passare attraverso la rete al dispositivo di destinazione.
2. I dipendenti dell'helpdesk^(Helpdesk) della tua organizzazione devono connettersi a dispositivi aggiunti a un dominio che potrebbero essere compromessi. Con Remote Credential Guard , il dipendente dell'helpdesk può utilizzare RDP per connettersi al dispositivo di destinazione senza compromettere le proprie credenziali per il malware.

Requisiti hardware e software

Per consentire il corretto funzionamento di Remote Credential Guard , assicurarsi che siano soddisfatti i seguenti requisiti del client e del server di Desktop remoto .^{(Remote Desktop)}

1. Il client^{(Remote Desktop Client)} e il server Desktop remoto devono essere aggiunti a un dominio di Active Directory
2. Entrambi i dispositivi devono essere aggiunti allo stesso dominio oppure il server Desktop^{(Remote Desktop)} remoto deve essere aggiunto a un dominio con una relazione di trust con il dominio del dispositivo client.
3. L' autenticazione Kerberos dovrebbe essere stata abilitata.
4. Il client Desktop remoto^{(Remote Desktop)} deve eseguire almeno Windows 10 , versione 1607 o Windows Server 2016 .
5. L' app della piattaforma Windows universale Desktop remoto^{(Remote Desktop Universal Windows Platform)} non supporta Remote Credential Guard , quindi usa l' app Windows classica di Desktop remoto .^{(Remote Desktop)}

Abilita Remote Credential Guard tramite registro^(Registry)

Per abilitare Remote Credential Guard sul dispositivo di destinazione, apri l' Editor del Registro^{(Registry Editor)} di sistema e vai alla chiave seguente:

HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Lsa

Aggiungi un nuovo valore DWORD denominato DisableRestrictedAdmin . Impostare il valore di questa impostazione del Registro di sistema su 0 per attivare Remote Credential Guard .

Chiudere l'editor del registro.

Puoi abilitare Remote Credential Guard eseguendo il comando seguente da un CMD con privilegi elevati:

reg add HKLM\SYSTEM\CurrentControlSet\Control\Lsa /v DisableRestrictedAdmin /d 0 /t REG_DWORD

Attiva Remote Credential Guard utilizzando Criteri di gruppo^{(Group Policy)}

È possibile utilizzare Remote Credential Guard sul dispositivo client impostando un criterio di gruppo^{(Group Policy)} o utilizzando un parametro con Connessione desktop remoto^{(Remote Desktop Connection)} .

Dalla Console di gestione dei criteri di gruppo^{(Group Policy Management Console)} , accedere a Computer Configuration > Administrative Templates > System > Credentials Delegation.

Ora, fai doppio clic su Limita delega delle credenziali ai server remoti^{(Restrict delegation of credentials to remote servers)} per aprire la sua finestra Proprietà.

Ora nella casella Usa la seguente modalità con restrizioni^{(Use the following restricted mode)} , scegli Richiedi protezione credenziali remote. ^{( Require Remote Credential Guard. )}È presente anche l'altra opzione Modalità amministratore con restrizioni^{(Restricted Admin mode)} . Il suo significato è che quando non è possibile utilizzare Remote Credential Guard , utilizzerà la modalità di amministrazione con restrizioni^{(Restricted Admin)} .

In ogni caso, né la modalità Remote Credential Guard né Restricted Admin invieranno le credenziali in chiaro al server Desktop^{(Remote Desktop)} remoto.

Consenti Remote Credential Guard^{(Allow Remote Credential Guard)} , scegliendo l'opzione ' Prefer Remote Credential Guard '.

Fare clic su OK^{(Click OK)} ed uscire dalla Console di gestione dei criteri di gruppo^{(Group Policy Management Console)} .

Ora, da un prompt dei comandi, esegui gpupdate.exe /force per assicurarti che l' oggetto Criteri^{(Group Policy)} di gruppo sia applicato.

Utilizzare Remote Credential Guard^{(Use Remote Credential Guard)} con un parametro per Connessione desktop remoto^{(Remote Desktop)}

Se non utilizzi Criteri^{(Group Policy)} di gruppo nella tua organizzazione, puoi aggiungere il parametro remoteGuard quando avvii Connessione desktop^{(Desktop Connection)} remoto per attivare Remote Credential Guard per quella connessione.

mstsc.exe /remoteGuard

Cose da tenere a mente quando si utilizza Remote Credential Guard

1. Remote Credential Guard non può essere usato per connettersi a un dispositivo aggiunto ad Azure Active Directory .
2. Remote Desktop Credential Guard funziona solo con il protocollo RDP .
3. Remote Credential Guard non include le attestazioni sul dispositivo. Ad esempio, se stai tentando di accedere a un file server dal remoto e il file server richiede l'attestazione del dispositivo, l'accesso verrà negato.
4. Il server e il client devono autenticarsi utilizzando Kerberos .
5. I domini devono avere una relazione di trust oppure sia il client che il server devono essere uniti allo stesso dominio.
6. Remote Desktop Gateway non è compatibile con Remote Credential Guard .
7. Nessuna credenziale è trapelata al dispositivo di destinazione. Tuttavia, il dispositivo di destinazione continua ad acquisire autonomamente i ticket di ^(Tickets)servizio Kerberos^{(Kerberos Service)} .
8. Infine, è necessario utilizzare le credenziali dell'utente che ha effettuato l'accesso al dispositivo. Non è consentito utilizzare credenziali salvate o credenziali diverse dalle tue.

Puoi leggere di più su questo su Technet .

Correlati^(Related) : come aumentare il numero di connessioni desktop remoto^{(increase the number of Remote Desktop Connections)} in Windows 10.

Remote Credential Guard protects Remote Desktop credentials

All system administrator users have one very gеnuine concern – ѕecuring credentials ovеr a Remote Deѕktoр connection. This is because malware can find its way to any other computer over the deѕktop connection and pose a potential threat to your data. That is why Windows OS flashеs a warning “Make sure you trust this PC, connecting to an untrusted computer might harm your PC” when you try to connect to a remote desktop.

In this post, we will see how the Remote Credential Guard feature, which has been introduced in Windows 10, can help protect remote desktop credentials in Windows 10 Enterprise and Windows Server.

Remote Credential Guard in Windows 10

The feature is designed to eliminate threats before it develops into a serious situation. It helps you protect your credentials over a Remote Desktop connection by redirecting the Kerberos requests back to the device that’s requesting the connection. It also provides single sign-on experiences for Remote Desktop sessions.

In the event of any misfortune where the target device is compromised, credentials of the user are not exposed because both credential and credential derivatives are never sent to the target device.

The modus operandi of Remote Credential Guard is very similar to the protection offered by Credential Guard on a local machine except for Credential Guard also protects stored domain credentials via the Credential Manager.

An individual can use Remote Credential Guard in the following ways-

1. Since Administrator credentials are highly privileged, they must be protected. By using Remote Credential Guard, you can be assured that your credentials are protected as it does not allow credentials to pass over the network to the target device.
2. Helpdesk employees in your organization must connect to domain-joined devices that could be compromised. With Remote Credential Guard, the helpdesk employee can use RDP to connect to the target device without compromising their credentials to malware.

Hardware and software requirements

To enable smooth functioning of the Remote Credential Guard, ensure the following requirements of Remote Desktop client and server are met.

1. The Remote Desktop Client and server must be joined to an Active Directory domain
2. Both devices must either joined to the same domain, or the Remote Desktop server must be joined to a domain with a trust relationship to the client device’s domain.
3. The Kerberos authentication should have been enabled.
4. The Remote Desktop client must be running at least Windows 10, version 1607 or Windows Server 2016.
5. The Remote Desktop Universal Windows Platform app doesn’t support Remote Credential Guard so, use Remote Desktop classic Windows app.

Enable Remote Credential Guard via Registry

To enable Remote Credential Guard on the target device, open Registry Editor and go to the following key:

HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Lsa

Add a new DWORD value named DisableRestrictedAdmin. Set the value of this registry setting to 0 to turn on Remote Credential Guard.

Close the Registry Editor.

You can enable Remote Credential Guard by running the following command from an elevated CMD:

reg add HKLM\SYSTEM\CurrentControlSet\Control\Lsa /v DisableRestrictedAdmin /d 0 /t REG_DWORD

Turn on Remote Credential Guard by using Group Policy

It is possible to use Remote Credential Guard on the client device by setting a Group Policy or by using a parameter with Remote Desktop Connection.

From the Group Policy Management Console, navigate to Computer Configuration > Administrative Templates > System > Credentials Delegation.

Now, double-click Restrict delegation of credentials to remote servers to open its Properties box.

Now in the Use the following restricted mode box, choose Require Remote Credential Guard. The other option Restricted Admin mode is also present. Its significance is that when Remote Credential Guard cannot be used, it will use Restricted Admin mode.

In any case, neither Remote Credential Guard nor Restricted Admin mode will send credentials in clear text to the Remote Desktop server.

Allow Remote Credential Guard, by choosing ‘Prefer Remote Credential Guard’ option.

Click OK and exit the Group Policy Management Console.

Now, from a command prompt, run gpupdate.exe /force to ensure that the Group Policy object is applied.

Use Remote Credential Guard with a parameter to Remote Desktop Connection

If you don’t use Group Policy in your organization, you can add the remoteGuard parameter when you start Remote Desktop Connection to turn on Remote Credential Guard for that connection.

mstsc.exe /remoteGuard

Things you should keep in mind when using Remote Credential Guard

1. Remote Credential Guard cannot be used to connect to a device that is joined to Azure Active Directory.
2. Remote Desktop Credential Guard only works with the RDP protocol.
3. Remote Credential Guard does not include device claims. For example, if you’re trying to access a file server from the remote and the file server requires device claim, access will be denied.
4. The server and client must authenticate using Kerberos.
5. The domains must have a trust relationship, or both the client and the server must be joined to the same domain.
6. Remote Desktop Gateway is not compatible with Remote Credential Guard.
7. No credentials are leaked to the target device . However, the target device still acquires the Kerberos Service Tickets on its own.
8. Lastly, you must use the credentials of the user who is logged into the device. Using saved credentials or credentials that are different than yours are not permitted.

You can read more on this at Technet.

Related: How to increase the number of Remote Desktop Connections in Windows 10.

Related posts

• Aumentare il numero di Remote Desktop Connections in Windows 11/10

• Windows Key Bloccato dopo il passaggio da Remote Desktop session

• Impossibile copiare Paste in Remote Desktop Session in Windows 10

• RDP connection authentication error; Function richiesto non è supportato

• Create Remote Desktop Connection shortcut in Windows 11/10

• Cambia listening port per Remote Desktop

• Connect iPhone a Windows 10 PC utilizzando Microsoft Remote Desktop

• Connettiti a un PC Windows da Ubuntu utilizzando Connessione desktop remoto

• Accedi ai tuoi Computer remoto tramite Chrome Remote Desktop

• Remote Desktop Services Cause High CPU in Windows 10

• Remote Desktop non funziona o non si connetterà in Windows 10

• Come configurare il desktop remoto tramite router

• Come abilitare Desktop remoto in Windows 10 (o Windows 7)

• NoMachine è uno Remote Desktop Tool gratuito e portatile per Windows PC

• Fix Remote Desktop non riesce a trovare lo computer error in Windows 11/10

• Domande semplici: cosa sono le connessioni desktop remoto?

• Remove History Voci dello Remote Desktop Connection in Windows 11/10

• Per firmare in remoto, è necessario accedere tramite Remote Desktop Services

• L'errore non riuscito logon attempt durante il collegamento Remote Desktop

• Come controllare un PC Windows utilizzando Desktop remoto per Mac