উইন্ডোজ ১০-এ রিমোট ক্রেডেনশিয়াল গার্ড দিয়ে রিমোট ডেস্কটপ ক্রেডেনশিয়াল সুরক্ষা

সকল সিস্টেম অ্যাডমিনিস্ট্রেটরদের একটি বড় চিন্তা — রিমোট ডেস্কটপ কানেকশনে ক্রেডেনশিয়াল সুরক্ষিত রাখা। কারণ ম্যালওয়ার ডেস্কটপ কানেকশনের মাধ্যমে অন্য কম্পিউটারে ঢুকে আপনার ডেটার জন্য হুমকি তৈরি করতে পারে। তাই রিমোট ডেস্কটপে কানেক্ট করার চেষ্টা করলে উইন্ডোজ ওএস সতর্কতা দেয় — Make sure you trust this PC, connecting to an untrusted computer might harm your PC।

এই পোস্টে আমরা দেখব Remote Credential Guard ফিচারটি, যা Windows 10-এ চালু করা হয়েছে, কীভাবে Windows 10 Enterprise এবং Windows Server-এ রিমোট ডেস্কটপ ক্রেডেনশিয়াল রক্ষা করে।

উইন্ডোজ ১০-এ Remote Credential Guard

এই ফিচারটি হুমকি গভীর হওয়ার আগেই তಡೆ দেওয়ার জন্য ডিজাইন করা হয়েছে। এটি Kerberos রিকোয়েস্টগুলো অনুরোধকারী ডিভাইসে রিডাইরেক্ট করে রিমোট ডেস্কটপ কানেকশনে আপনার ক্রেডেনশিয়াল রক্ষা করে। এছাড়া রিমোট ডেস্কটপ সেশনে সিংগল সাইন-অন অভিজ্ঞতা দেয়।

যদি টার্গেট ডিভাইস কমপ্রোমাইজড হয়, তবুও ব্যবহারকারীর ক্রেডেনশিয়াল এক্সপোজ হয় না, কারণ ক্রেডেনশিয়াল এবং এর ডেরিভেটিভস কখনো টার্গেট ডিভাইসে পাঠানো হয় না।

Remote Credential Guard-এর কাজের পদ্ধতি লোকাল মেশিনে Credential Guard-এর সুরক্ষার जैसा ही, সिवা Credential Guard স্টোর করা ডোমেন ক্রেডেনশিয়ালও Credential Manager-এর মাধ্যমে রক্ষা করে।

Remote Credential Guard নিম্নলিখিত উপায়ে ব্যবহার করা যায়:

1. অ্যাডমিনিস্ট্রেটর ক্রেডেনশিয়াল অত্যন্ত প্রিবিলেজড, তাই এগুলো রক্ষা করা জরুরি। Remote Credential Guard ব্যবহার করলে আপনি নিশ্চিত হবেন যে আপনার ক্রেডেনশিয়াল নেটওয়ার্কের মাধ্যমে টার্গেট ডিভাইসে যাচ্ছে না।
2. আপনার সংস্থার হেল্পডেসক কর্মীদের ডোমেন-জয়েনড ডিভাইসগুলোর সাথে কানেক্ট করতে হয় যেগুলো কমপ্রোমাইজড হতে পারে। Remote Credential Guard দিয়ে হেল্পডেসক কর্মী RDP দিয়ে টার্গেট ডিভাইসে কানেক্ট করলে তাদের ক্রেডেনশিয়াল ম্যালওয়ারের হাতে পড়ে না।

হার্ডওয়্যার এবং সফটওয়্যার প্রয়োজনীয়তা

Remote Credential Guard সুন্দরভাবে চালু রাখতে নিচের শর্তগুলো পূরণ করতে হবে:

1. রিমোট ডেস্কটপ ক্লায়েন্ট এবং সার্ভার অবশ্যই Active Directory ডোমেনে যোগদান করা থাকতে হবে।
2. উভয় ডিভাইস একই ডোমেনে থাকতে হবে, অথবা রিমোট ডেস্কটপ সার্ভার এমন ডোমেনে থাকতে হবে যার ক্লায়েন্ট ডিভাইসের ডোমেনের সাথে ট্রাস্ট রিলেশনশিপ আছে।
3. Kerberos অথেন্টিকেশন অবশ্যই ইনেবল্ড থাকতে হবে।
4. রিমোট ডেস্কটপ ক্লায়েন্ট কমপক্ষে Windows 10, ভার্সন 1607 বা Windows Server 2016 চালু থাকতে হবে।
5. Remote Desktop Universal Windows Platform অ্যাপ Remote Credential Guard সাপোর্ট করে না, তাই ক্লাসিক Windows অ্যাপ (mstsc.exe) ব্যবহার করতে হবে।

রেজিস্ট্রি দিয়ে Remote Credential Guard ইনেবল করুন

টার্গেট ডিভাইসে Remote Credential Guard চালু করতে রেজিস্ট্রি এডিটর খুলুন এবং নিচের কীতে যান:

HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Lsa

নতুন DWORD মান DisableRestrictedAdmin তৈরি করুন। এর মান 0 সেট করুন Remote Credential Guard চালু করার জন্য।

রেজিস্ট্রি এডিটর বন্ধ করুন।

এলিভেটেড CMD থেকে নিচের কমান্ড চালালেও Remote Credential Guard ইনেবল করা যায়:

reg add HKLM\SYSTEM\CurrentControlSet\Control\Lsa /v DisableRestrictedAdmin /d 0 /t REG_DWORD

Group Policy দিয়ে Remote Credential Guard অন করুন

Group Policy Management Console-এ Computer Configuration > Administrative Templates > System > Credentials Delegation-এ যান।

Restrict delegation of credentials to remote servers ডাবল-ক্লিক করুন।

Use the following restricted mode বক্সে Require Remote Credential Guard বেছে নিন। অন্য অপশন Restricted Admin mode হলো Remote Credential Guard কাজ না করলে Restricted Admin mode ব্যবহার হবে।

어떤 ক্ষেত্রে Remote Credential Guard বা Restricted Admin mode ক্রেডেনশিয়াল ক্লিয়ার টেক্সটে রিমোট ডেস্কটপ সার্ভারে পাঠায় না।

Prefer Remote Credential Guard অপশন বেছে নিয়ে Remote Credential Guard অনুমতি দিন।

OK ক্লিক করে Group Policy Management Console বন্ধ করুন।

কমান্ড প্রম্পট থেকে gpupdate.exe /force চালিয়ে Group Policy অবজেক্ট প্রয়োগ করুন।

Remote Desktop Connection-এ প্যারামিটার দিয়ে Remote Credential Guard ব্যবহার করুন

যদি আপনার সংস্থায় Group Policy ব্যবহার না করা হয়, তবে Remote Desktop Connection শুরু করার সময় remoteGuard প্যারামিটার যোগ করে সেটি অন করুন:

mstsc.exe /remoteGuard

Remote Credential Guard ব্যবহার করার সময় মনে রাখার বিষয়গুলো:

1. Azure Active Directory-তে জয়েনড ডিভাইসে কানেক্ট করতে Remote Credential Guard ব্যবহার করা যায় না।
2. Remote Desktop Credential Guard শুধু RDP প্রোটোকলের সাথে কাজ করে।
3. Remote Credential Guard ডিভাইস ক্লেইম অন্তর্ভুক্ত করে না। উদাহরণস্বরূপ, রিমোট থেকে ফাইল সার্ভার এক্সেস করতে চাইলে এবং সেটি ডিভাইস ক্লেইম চাইলে এক্সেস ডেনাইড হবে।
4. সার্ভার এবং ক্লায়েন্ট অবশ্যই Kerberos দিয়ে অথেন্টিকেট হতে হবে।
5. ডোমেনগুলোর মধ্যে ট্রাস্ট রিলেশনশিপ থাকতে হবে, অথবা উভয় ক্লায়েন্ট ও সার্ভার একই ডোমেনে থাকতে হবে।
6. Remote Desktop Gateway Remote Credential Guard-এর সাথে কমপ্যাটিবল নয়।
7. কোনো ক্রেডেনশিয়াল টার্গেট ডিভাইসে লিক হয় না। তবে টার্গেট ডিভাইস নিজে Kerberos Service Tickets অর্জন করে।
8. শেষে, ডিভাইসে লগইন করা ব্যবহারকারীরই ক্রেডেনশিয়াল ব্যবহার করতে হবে। সংরক্ষিত বা ভিন্ন ক্রেডেনশিয়াল অনুমোদিত নয়।

আরও জানতে Technet দেখুন।

সম্পর্কিত: উইন্ডোজ ১০-এ রিমোট ডেস্কটপ কানেকশনের সংখ্যা বাড়ानेের উপায়।