Administrar contraseñas guardadas mediante el Administrador de credenciales de Windows

Administrador de credenciales de Windowspermite guardar credenciales (nombres de usuario y contraseñas) para acceder a recursos de red, sitios web y aplicaciones. Con Windows Credential Manager, puede conectarse a recursos remotos automáticamente sin ingresar su contraseña. Las aplicaciones pueden acceder a Credential Manager por sí mismas y usar contraseñas guardadas.

Uso de Credential Manager para almacenar contraseñas en Windows

Credential Manager apareció en Windows 7 y se posiciona como un lugar bastante seguro para guardar sus contraseñas.

Credential Manager en Windows 10 puede mantener los siguientes tipos de cuentas:

• Credenciales de Windows: credenciales para iniciar sesión en Windows o acceder a equipos remotos, contraseñas guardadas para conexiones RDP, contraseñas para sitios web con soporte de autenticación de Windows integrado, etc.

  El Administrador de credenciales de Windows no almacena las credenciales para el inicio de sesión automático de Windows o las Credenciales en caché del dominio.

• Credenciales basadas en certificados: para autenticarse mediante tarjetas inteligentes;

• Credenciales genéricas: las utilizan aplicaciones de terceros compatibles con Credential Manager;

• Credenciales web: contraseñas guardadas en Edge e IE, aplicaciones de Microsoft (MS Office, Teams, Outlook, Skype, etc.).

Por ejemplo, si habilita el "

Save Password

” al acceder a una carpeta de red compartida, la contraseña que ingrese se guardará en Credential Manager.

De la misma manera, una contraseña para conectarse a un host RDP/RDS remoto se guarda en el cliente Conexión a escritorio remoto (mstsc.exe).

Puede acceder al Administrador de credenciales en Windows 10 desde el Panel de control clásico (

Control Panel\User Accounts\Credential Manager

).

Como puede ver, hay dos contraseñas en Credential Manager que guardamos anteriormente.

TERMSRV\hostname

Aquí puede agregar una credencial guardada, editarla (no puede ver una contraseña guardada en la interfaz gráfica) o eliminar cualquiera de las entradas.

Además, puede usar la interfaz clásica de Nombres de usuario y contraseñas almacenados, para administrar las contraseñas guardadas. Para llamarlo, ejecute el siguiente comando:

rundll32.exe keymgr.dll,KRShowKeyMgr

Aquí también puede administrar las credenciales guardadas, y tiene algunas funciones de respaldo y restauración para Credential Manager (puede usarlas para transferir una base de datos de Credential Manager a otra computadora).

Este

vaultcmd

La herramienta se utiliza para administrar Credential Manager desde el símbolo del sistema. Por ejemplo, para mostrar una lista de credenciales de Windows guardadas, ejecute este comando:

vaultcmd /listcreds:"Windows Credentials"

Credential schema: Windows Domain Password Credential
Resource: Domain:target=mun-dc01
Identity: RESDOM\j.brion
Hidden: No
Roaming: No
Property (schema element id,value): (100,3)
Property (schema element id,value): (101,SspiPfAc)

El siguiente comando eliminará todas las contraseñas RDP guardadas del Administrador de credenciales:

For /F "tokens=1,2 delims= " %G in ('cmdkey /list ^| findstr "target=TERMSRV"') do cmdkey /delete %H

Todas las contraseñas guardadas se almacenan en la Bóveda de Windows. Windows Vault es un almacén protegido para guardar secretos, contraseñas y otra información confidencial del usuario. En Windows Vault, los datos están estructurados y parecen un conjunto de entradas que pertenecen a un esquema de Vault. El conjunto de claves de cifrado para las entradas de Windows Vault se almacena en el archivo Policy.vpol.

Para los usuarios del dominio, se encuentra en

%userprofile%\AppData\Roaming\Microsoft\Vault

Para los usuarios locales, puede encontrarlo en

%userprofile%\AppData\Local\Microsoft\Vault

El servicio VaultSvc debe estar ejecutándose al usar Credential Manager:

Get-Service VaultSvc

Si el servicio está deshabilitado, verá el siguiente error al intentar acceder al Administrador de credenciales:

Credential Manager Error
The Credential Manager Service is not running. You can start the service manually using the Services snap-in or restart your computer to start the service.
Error code: 0x800706B5
Error Message: The interface is unknown.

Si desea evitar que los usuarios guarden contraseñas de red en Credential Manager, habilite la opción Acceso a la red: no permitir el almacenamiento de contraseñas y credenciales para la autenticación de red GPO en Configuración del equipo -> Configuración de Windows -> Seguridad Configuración -> Políticas locales -> Opciones de seguridad.

Luego, si un usuario intenta guardar la contraseña en la tienda de Windows Vault, verá el siguiente error:

Credential Manager Error
Unable to save credentials. To save credentials in this vault, check your computer configuration.
Error code: 0x80070520
Error Message: A specified logon session does not exist. It may already have been terminated.

Acceso al Administrador de credenciales de Windows desde PowerShell

Windows no tiene cmdlets integrados para acceder a la tienda PasswordVault desde PowerShell. Pero puede usar el módulo CredentialManager de la galería de PowerShell.

Instale el módulo:

Install-Module CredentialManager

Puede mostrar una lista de cmdlets en el módulo CredentialManager:

Get-Command -module CredentialManager

El módulo tiene solo 4 cmdlets:

• Get-StoredCredential

  - para obtener credenciales de Windows Vault;

• Get-StrongPassword

  - para generar una contraseña aleatoria;

• New-StoredCredential

  - para agregar credenciales;

• Remove-StoredCredential

  - para eliminar las credenciales.

Para agregar nuevas credenciales al Administrador de credenciales de Windows, ejecute este comando:

New-StoredCredential -Target 'a-d' -Type Generic -UserName 'maxbak@a-d.site' -Password 'Pass321-b' -Persist 'LocalMachine'

Para asegurarse de que existan credenciales de usuario guardadas en Credential Manager:

Get-StoredCredential -Target a-d

Puede usar contraseñas guardadas desde Credential Manager en sus scripts de PowerShell. Por ejemplo, puedo obtener un nombre y una contraseña guardados de Windows Vault como un objeto PSCredential y conectarme a Exchange Online desde PowerShell:

$psCred = Get-StoredCredential -Target "a-d"
Connect-MSolService -Credential $psCred

Para eliminar las credenciales de Windows Vault, ejecute este comando:

Remove-StoredCredential -Target a-d

No puede mostrar las contraseñas como texto sin formato con las herramientas de CLI integradas. Pero, puede usar utilidades similares a Mimikatz para obtener contraseñas guardadas de

credman

como texto sin formato (ver el ejemplo aquí).