Remote Credential Guard

Définition

Remote Credential Guard est une fonctionnalité de sécurité Windows protégeant les identifiants d'un utilisateur lors d'une session RDP (Remote Desktop Protocol), en évitant que ses secrets d'authentification ne soient jamais transmis ni stockés en mémoire sur la machine distante à laquelle il se connecte, contrairement au comportement par défaut où le token d'accès de l'utilisateur, et potentiellement des secrets exploitables, se retrouvent présents en mémoire sur le serveur cible durant toute la durée de la session. Techniquement, Remote Credential Guard redirige les demandes d'authentification Kerberos de la session distante vers la machine cliente d'origine, qui traite localement ces demandes sans jamais exposer le TGT ou les credentials complets de l'utilisateur sur la machine distante, une architecture particulièrement pertinente pour neutraliser le risque associé à la connexion RDP d'un compte à privilèges élevés vers une machine potentiellement compromise ou moins fiable. Cette protection répond directement à un scénario d'attaque documenté et redouté en environnement Active Directory : un administrateur se connectant en RDP vers un serveur compromis à son insu s'expose normalement à un vol immédiat de ses credentials par un attaquant présent sur ce système, un risque que Remote Credential Guard neutralise en empêchant toute exposition de ces secrets sur la machine distante. Son activation nécessite Kerberos comme méthode d'authentification exclusive et une compatibilité de versions entre client et serveur.