सभी सिस्टम एडमिनिस्ट्रेटर यूजर्स की एक वास्तविक चिंता होती है – रिमोट डेस्कटॉप कनेक्शन पर क्रेडेंशियल्स को सुरक्षित करना। ऐसा इसलिए है क्योंकि मैलवेयर डेस्कटॉप कनेक्शन के माध्यम से किसी अन्य कंप्यूटर तक पहुंच सकता है और आपके डेटा के लिए संभावित खतरा पैदा कर सकता है। यही कारण है कि जब आप रिमोट डेस्कटॉप से कनेक्ट करने का प्रयास करते हैं तो विंडोज OS एक चेतावनी दिखाता है: "सुनिश्चित करें कि आप इस पीसी पर भरोसा करते हैं, अविश्वसनीय कंप्यूटर से कनेक्ट करना आपके पीसी को नुकसान पहुंचा सकता है"।
इस पोस्ट में, हम देखेंगे कि Windows 10 में पेश की गई रिमोट क्रेडेंशियल गार्ड सुविधा, Windows 10 Enterprise और Windows Server में रिमोट डेस्कटॉप क्रेडेंशियल्स को सुरक्षित करने में कैसे मदद कर सकती है।
Windows 10 में रिमोट क्रेडेंशियल गार्ड
यह सुविधा खतरों को गंभीर स्थिति में विकसित होने से पहले खत्म करने के लिए डिज़ाइन की गई है। यह Kerberos अनुरोधों को कनेक्शन का अनुरोध करने वाले डिवाइस पर वापस रीडायरेक्ट करके रिमोट डेस्कटॉप कनेक्शन पर आपके क्रेडेंशियल्स को सुरक्षित रखने में मदद करता है। यह रिमोट डेस्कटॉप सत्रों के लिए सिंगल साइन-ऑन अनुभव भी प्रदान करता है।
किसी दुर्भाग्य की स्थिति में जहां टारगेट डिवाइस से समझौता किया जाता है, यूजर के क्रेडेंशियल्स उजागर नहीं होते क्योंकि क्रेडेंशियल और क्रेडेंशियल डेरिवेटिव दोनों कभी भी टारगेट डिवाइस पर नहीं भेजे जाते।
रिमोट क्रेडेंशियल गार्ड का ऑपरेशन मोड लोकल मशीन पर क्रेडेंशियल गार्ड द्वारा प्रदान की जाने वाली सुरक्षा के समान है, सिवाय इसके कि क्रेडेंशियल गार्ड क्रेडेंशियल मैनेजर के माध्यम से संग्रहीत डोमेन क्रेडेंशियल्स की भी रक्षा करता है।
एक व्यक्ति निम्न तरीकों से रिमोट क्रेडेंशियल गार्ड का उपयोग कर सकता है-
- चूंकि एडमिनिस्ट्रेटर क्रेडेंशियल्स अत्यधिक विशेषाधिकार प्राप्त होते हैं, उनकी रक्षा की जानी चाहिए। रिमोट क्रेडेंशियल गार्ड का उपयोग करके, आप आश्वस्त हो सकते हैं कि आपके क्रेडेंशियल्स सुरक्षित हैं क्योंकि यह क्रेडेंशियल्स को नेटवर्क पर टारगेट डिवाइस तक जाने की अनुमति नहीं देता।
- आपके संगठन के हेल्पडेस्क कर्मचारियों को डोमेन-जॉइन्ड डिवाइस से कनेक्ट करना होगा जो समझौता किए जा सकते हैं। रिमोट क्रेडेंशियल गार्ड के साथ, हेल्पडेस्क कर्मचारी अपने क्रेडेंशियल्स को मैलवेयर से समझौता किए बिना टारगेट डिवाइस से कनेक्ट करने के लिए RDP का उपयोग कर सकता है।
हार्डवेयर और सॉफ्टवेयर आवश्यकताएं
रिमोट क्रेडेंशियल गार्ड के सुचारू कामकाज को सक्षम करने के लिए, रिमोट डेस्कटॉप क्लाइंट और सर्वर की निम्नलिखित आवश्यकताओं को पूरा करना सुनिश्चित करें।
- रिमोट डेस्कटॉप क्लाइंट और सर्वर एक एक्टिव डायरेक्टरी डोमेन से जुड़े होने चाहिए
- दोनों डिवाइस या तो उसी डोमेन से जुड़े होने चाहिए, या रिमोट डेस्कटॉप सर्वर को क्लाइंट डिवाइस के डोमेन के साथ ट्रस्ट रिलेशनशिप वाले डोमेन से जुड़ा होना चाहिए।
- Kerberos ऑथेंटिकेशन सक्षम होना चाहिए।
- रिमोट डेस्कटॉप क्लाइंट कम से कम Windows 10, वर्जन 1607 या Windows Server 2016 पर चल रहा होना चाहिए।
- रिमोट डेस्कटॉप यूनिवर्सल विंडोज प्लेटफॉर्म ऐप रिमोट क्रेडेंशियल गार्ड को सपोर्ट नहीं करता, इसलिए क्लासिक विंडोज ऐप का उपयोग करें।
रजिस्ट्री के माध्यम से रिमोट क्रेडेंशियल गार्ड सक्षम करें
टारगेट डिवाइस पर रिमोट क्रेडेंशियल गार्ड को सक्षम करने के लिए, रजिस्ट्री एडिटर खोलें और निम्न कुंजी पर जाएं:
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Lsa
DisableRestrictedAdmin नामक एक नया DWORD मान जोड़ें। रिमोट क्रेडेंशियल गार्ड को चालू करने के लिए इस रजिस्ट्री सेटिंग का मान 0 पर सेट करें।
रजिस्ट्री एडिटर बंद करें।
आप एलिवेटेड CMD से निम्न कमांड चलाकर रिमोट क्रेडेंशियल गार्ड को सक्षम कर सकते हैं:
reg add HKLM\SYSTEM\CurrentControlSet\Control\Lsa /v DisableRestrictedAdmin /d 0 /t REG_DWORD
ग्रुप पॉलिसी का उपयोग करके रिमोट क्रेडेंशियल गार्ड चालू करें
ग्रुप पॉलिसी सेट करके या रिमोट डेस्कटॉप कनेक्शन के साथ पैरामीटर का उपयोग करके क्लाइंट डिवाइस पर रिमोट क्रेडेंशियल गार्ड का उपयोग करना संभव है।
ग्रुप पॉलिसी मैनेजमेंट कंसोल से, Computer Configuration > Administrative Templates > System > Credentials Delegation पर नेविगेट करें।
अब, Restrict delegation of credentials to remote servers पर डबल-क्लिक करके इसके प्रॉपर्टी बॉक्स को खोलें।
अब Use the following restricted mode बॉक्स में, Require Remote Credential Guard चुनें। दूसरा विकल्प Restricted Admin mode भी मौजूद है। इसका महत्व यह है कि जब रिमोट क्रेडेंशियल गार्ड का उपयोग नहीं किया जा सकता, तो यह Restricted Admin मोड का उपयोग करेगा।
किसी भी मामले में, न तो रिमोट क्रेडेंशियल गार्ड और न ही Restricted Admin मोड क्रेडेंशियल्स को क्लियर टेक्स्ट में रिमोट डेस्कटॉप सर्वर पर भेजेगा।
Prefer Remote Credential Guard विकल्प चुनकर रिमोट क्रेडेंशियल गार्ड को अनुमति दें।
OK पर क्लिक करें और ग्रुप पॉलिसी मैनेजमेंट कंसोल से बाहर निकलें।
अब, कमांड प्रॉम्प्ट से gpupdate.exe /force चलाएं ताकि यह सुनिश्चित हो सके कि ग्रुप पॉलिसी ऑब्जेक्ट लागू हो गया है।
रिमोट डेस्कटॉप कनेक्शन के पैरामीटर के साथ रिमोट क्रेडेंशियल गार्ड का उपयोग करें
यदि आप अपने संगठन में ग्रुप पॉलिसी का उपयोग नहीं करते हैं, तो रिमोट डेस्कटॉप कनेक्शन शुरू करते समय remoteGuard पैरामीटर जोड़कर उस कनेक्शन के लिए रिमोट क्रेडेंशियल गार्ड चालू कर सकते हैं।
mstsc.exe /remoteGuard
रिमोट क्रेडेंशियल गार्ड का उपयोग करते समय ध्यान रखने योग्य बातें
- रिमोट क्रेडेंशियल गार्ड का उपयोग Azure Active Directory से जुड़े डिवाइस से कनेक्ट करने के लिए नहीं किया जा सकता।
- रिमोट डेस्कटॉप क्रेडेंशियल गार्ड केवल RDP प्रोटोकॉल के साथ काम करता है।
- रिमोट क्रेडेंशियल गार्ड में डिवाइस क्लेम शामिल नहीं हैं। उदाहरण के लिए, यदि आप रिमोट से फाइल सर्वर एक्सेस करने का प्रयास कर रहे हैं और फाइल सर्वर को डिवाइस क्लेम की आवश्यकता है, तो एक्सेस अस्वीकार कर दिया जाएगा।
- सर्वर और क्लाइंट को Kerberos का उपयोग करके ऑथेंटिकेट करना होगा।
- डोमेन में ट्रस्ट रिलेशनशिप होनी चाहिए, या क्लाइंट और सर्वर दोनों एक ही डोमेन से जुड़े होने चाहिए।
- रिमोट डेस्कटॉप गेटवे रिमोट क्रेडेंशियल गार्ड के साथ संगत नहीं है।
- टारगेट डिवाइस पर कोई क्रेडेंशियल लीक नहीं होते। हालांकि, टारगेट डिवाइस अभी भी अपने आप Kerberos सर्विस टिकट प्राप्त करता है।
- अंत में, आपको उस यूजर के क्रेडेंशियल्स का उपयोग करना होगा जो डिवाइस में लॉग इन है। सेव किए गए क्रेडेंशियल्स या आपके अलावा अन्य क्रेडेंशियल्स का उपयोग करने की अनुमति नहीं है।
आप इस पर Technet पर अधिक पढ़ सकते हैं।
संबंधित: Windows 10 में रिमोट डेस्कटॉप कनेक्शन की संख्या कैसे बढ़ाएं।
