Todos los usuarios administradores del sistema tienen una preocupación muy genuina: asegurar las credenciales a través de una conexión de Escritorio^(Desktop) remoto . Esto se debe a que el malware puede llegar a cualquier otra computadora a través de la conexión de escritorio y representar una amenaza potencial para sus datos. Es por eso que el sistema operativo Windows^{(Windows OS)} muestra una advertencia " Asegúrese de confiar en esta PC, conectarse a una computadora que no es de confianza podría dañar su PC^{(Make sure you trust this PC, connecting to an untrusted computer might harm your PC)} " cuando intenta conectarse a un escritorio remoto.

En esta publicación, veremos cómo la función Remote Credential Guard , que se introdujo en  Windows 10 , puede ayudar a proteger las credenciales de escritorio remoto en Windows 10 Enterprise y Windows Server .

Protección remota de credenciales^{(Remote Credential Guard)} en Windows 10

La función está diseñada para eliminar las amenazas antes de que se conviertan en una situación grave. Le ayuda a proteger sus credenciales a través de una conexión de escritorio^(Desktop) remoto al redirigir las solicitudes de Kerberos al dispositivo que solicita la conexión. También proporciona experiencias de inicio de sesión único para sesiones de escritorio remoto .^{(Remote Desktop)}

En el caso de cualquier desgracia en la que el dispositivo de destino se vea comprometido, las credenciales del usuario no se exponen porque tanto la credencial como los derivados de la credencial nunca se envían al dispositivo de destino.

El modus operandi de Remote Credential Guard es muy similar a la protección que ofrece Credential Guard en una máquina local, excepto que Credential Guard también protege las credenciales de dominio almacenadas a través de Credential Manager .

Una persona puede usar Remote Credential Guard de las siguientes maneras:

1. Dado que las credenciales de administrador^{(Administrator)} tienen muchos privilegios, deben protegerse. Al usar Remote Credential Guard , puede estar seguro de que sus credenciales están protegidas, ya que no permite que las credenciales pasen por la red al dispositivo de destino.
2. Los empleados del departamento^(Helpdesk) de soporte técnico de su organización deben conectarse a dispositivos unidos a un dominio que podrían verse comprometidos. Con Remote Credential Guard , el empleado de la mesa de ayuda puede usar RDP para conectarse al dispositivo de destino sin comprometer sus credenciales con el malware.

Requisitos de hardware y software

Para permitir el buen funcionamiento de Remote Credential Guard , asegúrese de que se cumplan los siguientes requisitos del cliente y servidor de Escritorio remoto .^{(Remote Desktop)}

1. El cliente y el servidor de Escritorio remoto^{(Remote Desktop Client)} deben estar unidos a un dominio de Active Directory
2. Ambos dispositivos deben unirse al mismo dominio o el servidor de Escritorio remoto^{(Remote Desktop)} debe estar unido a un dominio con una relación de confianza con el dominio del dispositivo cliente.
3. La autenticación Kerberos debería estar habilitada.
4. El cliente de Escritorio remoto^{(Remote Desktop)} debe ejecutar al menos Windows 10 , versión 1607 o Windows Server 2016 .
5. La aplicación Remote Desktop Universal Windows Platform no es compatible con Remote Credential Guard , por lo tanto, use la aplicación clásica de Windows Remote Desktop .

Habilite Remote Credential Guard a través del registro^(Registry)

Para habilitar Remote Credential Guard en el dispositivo de destino, abra el Editor del Registro^{(Registry Editor)} y vaya a la siguiente clave:

HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Lsa

Agregue un nuevo valor DWORD denominado DisableRestrictedAdmin . Establezca el valor de esta configuración de registro en 0 para activar Remote Credential Guard .

Cierra el Editor del Registro.

Puede habilitar Remote Credential Guard ejecutando el siguiente comando desde un CMD elevado:

reg add HKLM\SYSTEM\CurrentControlSet\Control\Lsa /v DisableRestrictedAdmin /d 0 /t REG_DWORD

Active Remote Credential Guard mediante la directiva de grupo^{(Group Policy)}

Es posible usar Remote Credential Guard en el dispositivo cliente configurando una Política de grupo^{(Group Policy)} o usando un parámetro con Remote Desktop Connection .

Desde la Consola de administración de directivas de grupo^{(Group Policy Management Console)} , vaya a Computer Configuration > Administrative Templates > System > Credentials Delegation.

Ahora, haga doble clic en Restringir la delegación de credenciales a servidores remotos^{(Restrict delegation of credentials to remote servers)} para abrir su cuadro de Propiedades.

Ahora, en el cuadro Usar el siguiente modo restringido^{(Use the following restricted mode)} , elija Requerir protección remota de credenciales. ^{( Require Remote Credential Guard. )}La otra opción Modo de administración restringida^{(Restricted Admin mode)} también está presente. Su importancia es que cuando no se puede usar Remote Credential Guard , usará el modo de administración restringida^{(Restricted Admin)} .

En cualquier caso, ni Remote Credential Guard ni el modo de administración restringida^{(Restricted Admin)} enviarán credenciales en texto no cifrado al servidor de escritorio remoto .^{(Remote Desktop)}

Permitir Remote Credential Guard^{(Allow Remote Credential Guard)} , eligiendo la opción ' Preferir Remote Credential Guard '.^{(Prefer Remote Credential Guard)}

Haga clic en Aceptar^{(Click OK)} y salga de la Consola de administración de directivas de grupo^{(Group Policy Management Console)} .

Ahora, desde un símbolo del sistema, ejecute gpupdate.exe /force para asegurarse de que se aplique el objeto de directiva de grupo .^{(Group Policy)}

Use Remote Credential Guard con un parámetro para Conexión a escritorio^{(Remote Desktop)} remoto

Si no usa la directiva de grupo^{(Group Policy)} en su organización, puede agregar el parámetro remoteGuard cuando inicie la Conexión a escritorio^{(Desktop Connection)} remoto para activar Remote Credential Guard para esa conexión.

mstsc.exe /remoteGuard

Cosas que debe tener en cuenta al usar Remote Credential Guard

1. Remote Credential Guard no se puede usar para conectarse a un dispositivo que está unido a Azure Active Directory .
2. Remote Desktop Credential Guard solo funciona con el protocolo RDP .
3. Remote Credential Guard no incluye reclamaciones de dispositivos. Por ejemplo, si está intentando acceder a un servidor de archivos desde el control remoto y el servidor de archivos requiere un reclamo de dispositivo, se denegará el acceso.
4. El servidor y el cliente deben autenticarse mediante Kerberos .
5. Los dominios deben tener una relación de confianza, o tanto el cliente como el servidor deben estar unidos al mismo dominio.
6. Remote Desktop Gateway no es compatible con Remote Credential Guard .
7. No se filtran credenciales al dispositivo de destino. Sin embargo, el dispositivo de destino sigue adquiriendo los vales ^(Tickets)de servicio de Kerberos^{(Kerberos Service)} por sí solo.
8. Por último, debe utilizar las credenciales del usuario que ha iniciado sesión en el dispositivo. No se permite el uso de credenciales guardadas o credenciales que sean diferentes a las suyas.

Puede leer más sobre esto en Technet .

Relacionado^(Related) : Cómo aumentar la cantidad de conexiones de escritorio remoto^{(increase the number of Remote Desktop Connections)} en Windows 10.

Remote Credential Guard protects Remote Desktop credentials

Αll system admіnistrator userѕ have one very genuine concern – securing credentials over a Remote Desktop connection. This is because malware can find its way to any other computer over thе desktop connection and pose a potential threat to your data. That is why Windows OS flashes a warning “Make sure you trust this PC, connecting to an untrusted computer might harm your PC” when you try to connect to a remote desktop.

In this post, we will see how the Remote Credential Guard feature, which has been introduced in Windows 10, can help protect remote desktop credentials in Windows 10 Enterprise and Windows Server.

Remote Credential Guard in Windows 10

The feature is designed to eliminate threats before it develops into a serious situation. It helps you protect your credentials over a Remote Desktop connection by redirecting the Kerberos requests back to the device that’s requesting the connection. It also provides single sign-on experiences for Remote Desktop sessions.

In the event of any misfortune where the target device is compromised, credentials of the user are not exposed because both credential and credential derivatives are never sent to the target device.

The modus operandi of Remote Credential Guard is very similar to the protection offered by Credential Guard on a local machine except for Credential Guard also protects stored domain credentials via the Credential Manager.

An individual can use Remote Credential Guard in the following ways-

1. Since Administrator credentials are highly privileged, they must be protected. By using Remote Credential Guard, you can be assured that your credentials are protected as it does not allow credentials to pass over the network to the target device.
2. Helpdesk employees in your organization must connect to domain-joined devices that could be compromised. With Remote Credential Guard, the helpdesk employee can use RDP to connect to the target device without compromising their credentials to malware.

Hardware and software requirements

To enable smooth functioning of the Remote Credential Guard, ensure the following requirements of Remote Desktop client and server are met.

1. The Remote Desktop Client and server must be joined to an Active Directory domain
2. Both devices must either joined to the same domain, or the Remote Desktop server must be joined to a domain with a trust relationship to the client device’s domain.
3. The Kerberos authentication should have been enabled.
4. The Remote Desktop client must be running at least Windows 10, version 1607 or Windows Server 2016.
5. The Remote Desktop Universal Windows Platform app doesn’t support Remote Credential Guard so, use Remote Desktop classic Windows app.

Enable Remote Credential Guard via Registry

To enable Remote Credential Guard on the target device, open Registry Editor and go to the following key:

HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Lsa

Add a new DWORD value named DisableRestrictedAdmin. Set the value of this registry setting to 0 to turn on Remote Credential Guard.

Close the Registry Editor.

You can enable Remote Credential Guard by running the following command from an elevated CMD:

reg add HKLM\SYSTEM\CurrentControlSet\Control\Lsa /v DisableRestrictedAdmin /d 0 /t REG_DWORD

Turn on Remote Credential Guard by using Group Policy

It is possible to use Remote Credential Guard on the client device by setting a Group Policy or by using a parameter with Remote Desktop Connection.

From the Group Policy Management Console, navigate to Computer Configuration > Administrative Templates > System > Credentials Delegation.

Now, double-click Restrict delegation of credentials to remote servers to open its Properties box.

Now in the Use the following restricted mode box, choose Require Remote Credential Guard. The other option Restricted Admin mode is also present. Its significance is that when Remote Credential Guard cannot be used, it will use Restricted Admin mode.

In any case, neither Remote Credential Guard nor Restricted Admin mode will send credentials in clear text to the Remote Desktop server.

Allow Remote Credential Guard, by choosing ‘Prefer Remote Credential Guard’ option.

Click OK and exit the Group Policy Management Console.

Now, from a command prompt, run gpupdate.exe /force to ensure that the Group Policy object is applied.

Use Remote Credential Guard with a parameter to Remote Desktop Connection

If you don’t use Group Policy in your organization, you can add the remoteGuard parameter when you start Remote Desktop Connection to turn on Remote Credential Guard for that connection.

mstsc.exe /remoteGuard

Things you should keep in mind when using Remote Credential Guard

1. Remote Credential Guard cannot be used to connect to a device that is joined to Azure Active Directory.
2. Remote Desktop Credential Guard only works with the RDP protocol.
3. Remote Credential Guard does not include device claims. For example, if you’re trying to access a file server from the remote and the file server requires device claim, access will be denied.
4. The server and client must authenticate using Kerberos.
5. The domains must have a trust relationship, or both the client and the server must be joined to the same domain.
6. Remote Desktop Gateway is not compatible with Remote Credential Guard.
7. No credentials are leaked to the target device . However, the target device still acquires the Kerberos Service Tickets on its own.
8. Lastly, you must use the credentials of the user who is logged into the device. Using saved credentials or credentials that are different than yours are not permitted.

You can read more on this at Technet.

Related: How to increase the number of Remote Desktop Connections in Windows 10.

Related posts

• Aumente el número de Remote Desktop Connections en Windows 11/10

• ZEÑO Windows Atuck después de cambiar de Remote Desktop session

• No se puede copiar Paste en Remote Desktop Session en Windows 10

• RDP connection authentication error; Function solicitada no es compatible

• Create Remote Desktop Connection shortcut en Windows 11/10

• Cómo configurar el escritorio remoto a través del enrutador

• Habilitar Remote Desktop en Windows 10 menos de 2 minutos

• Remote Desktop option en gris en Windows 10

• Best Free Remote Desktop Software para Windows 10

• Habilitar Remote Desktop usando Command Prompt or PowerShell

• Ulterius: Remote Desktop software gratuito para gestionar equipos de forma remota

• Acceda a su Computer de forma remota utilizando Chrome Remote Desktop

• Remote Desktop tab en RDWEB Falta de Edge browser en Windows 10

• Preguntas simples: ¿Qué son las conexiones de escritorio remoto?

• Fix Remote Desktop Error Code 0x104 en Windows 11/10

• Conéctese a una PC con Windows desde Ubuntu usando la conexión de escritorio remoto

• Ammyy Admin: portátil Secure Zero-Config Remote Desktop Software

• Cambia el listening port para Remote Desktop

• Para iniciar sesión en forma remota, es necesario iniciar sesión a través Remote Desktop Services

• Fix Remote Desktop Error Code 0x204 en Windows 10