¿Cómo borrar el historial de conexiones RDP en Windows?

El cliente integrado de Conexión a escritorio remoto (RDP) de Windows (

mstsc.exe

) guarda el nombre de la computadora remota (o la dirección IP) y el nombre de usuario que se usa para iniciar sesión después de cada conexión exitosa a la computadora remota. En el próximo inicio, el cliente RDP ofrece al usuario seleccionar una de las conexiones que se utilizó anteriormente. El usuario puede seleccionar el nombre del host RDS/RDP de la lista y el cliente completa automáticamente el nombre de usuario utilizado anteriormente para iniciar sesión.

Esto es conveniente desde la perspectiva del usuario final, pero inseguro desde el punto de vista de la seguridad. Especialmente cuando se conecta a su servidor RDP desde una computadora pública o que no es de confianza.

La información sobre todas las sesiones de RDP (terminal) se almacena individualmente en el subárbol de registro de cada usuario, es decir, una persona que no sea administrador no podrá ver el historial de conexión de RDP de otro usuario.

En este artículo, mostraremos dónde almacena Windows el historial y las credenciales guardadas de las conexiones de escritorio remoto, cómo eliminar entradas de la ventana de mstsc y borrar registros de RDP.

¿Cómo eliminar la caché de conexión RDP del registro?

La información sobre todas las conexiones RDP se almacena en el registro de cada usuario. Es imposible eliminar una computadora (o computadoras) de la lista del historial de conexiones RDP usando las herramientas integradas de Windows. Tendrá que borrar manualmente algunas claves de registro.

1. Ejecute el Editor del Registro (

   regedit.exe

   ) y busque la clave de registro HKEY_CURRENT_USER\Software\Microsoft\Terminal Server Client;

2. Necesita dos claves de registro en esta sección: Predeterminado(almacena el historial de las últimas 10 conexiones RDP) y Servidores(contiene la lista de todos los servidores RDP y nombres de usuario utilizados anteriormente para iniciar sesión);

   

3. Expanda la clave de registro HKEY_CURRENT_USER\Software\Microsoft\Terminal Server Client\Default que contiene la lista de 10 direcciones IP o nombres DNS de equipos remotos que se han utilizado recientemente (MRU - Most Recent Used). El nombre (o la dirección IP) del servidor de escritorio remoto se almacena en el valor de MRU*. parámetro. Para borrar el historial de las conexiones RDP más recientes, seleccione todos los parámetros con los nombres de MRU0-MRU9, haga clic con el botón derecho y seleccione Eliminar;

   

4. Ahora expanda la clave HKEY_CURRENT_USER\Software\Microsoft\Terminal Server Client\Servers. Contiene la lista de todas las conexiones RDP que ha establecido este usuario. Expanda la clave de registro con el nombre (o dirección IP) de cualquier host. Preste atención al valor del parámetro UsernameHint. Muestra el nombre de usuario utilizado para conectarse al host RDP/RDS. Este nombre de usuario se usará para conectarse al host RDP automáticamente. Además, la variable CertHash contiene la huella digital del certificado SSL del servidor RDP (consulte el artículo "Configuración de certificados TLS/SSL de confianza para RDP");

   

5. Para borrar el historial de todas las conexiones RDP y los nombres de usuario guardados, debe limpiar el contenido de la clave de registro de los servidores. Dado que es imposible seleccionar todas las claves de registro anidadas a la vez, es más fácil eliminar toda la clave de Servidores y luego volver a crearla manualmente;

   

6. A continuación, debe eliminar el archivo de conexión RDP predeterminado (que contiene información sobre la última sesión de rdp): Default.rdp (este archivo es un archivo oculto ubicado en el directorio Documentos) .

7. Windows también guarda las conexiones recientes de Escritorio remoto en Jump Lists. si escribes

   mstsc

   en el cuadro de búsqueda de Windows 10, las conexiones RDP utilizadas anteriormente aparecerán en la lista. Puede deshabilitar completamente el archivo y la ubicación recientes de Windows 10 en la lista Jump con el parámetro dword del registro Start_TrackDocs en la clave de registro

   HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced

   (configúrelo en 0), o puede borrar las listas de Elementos reenviados eliminando archivos en el directorio

   %AppData%\Microsoft\Windows\Recent\AutomaticDestinations

   

Script para borrar el historial de conexión RDP

Arriba mostramos cómo borrar el historial de conexión RDP en Windows manualmente. Sin embargo, hacerlo manualmente (especialmente en varias computadoras) lleva mucho tiempo. Por lo tanto, ofrecemos un pequeño script (archivo BAT) que permite borrar automáticamente el historial de RDP.

Para automatizar la limpieza del historial de RDP, puede colocar este script en el inicio de Windows o ejecutarlo en las computadoras de los usuarios a través de un script de cierre de sesión de GPO.

@echo off
reg delete "HKEY_CURRENT_USER\Software\Microsoft\Terminal Server Client\Default" /va /f
reg delete "HKEY_CURRENT_USER\Software\Microsoft\Terminal Server Client\Servers" /f
reg add "HKEY_CURRENT_USER\Software\Microsoft\Terminal Server Client\Servers"
attrib -s -h %userprofile%\documents\Default.rdp
del %userprofile%\documents\Default.rdp
del /f /s /q /a %AppData%\Microsoft\Windows\Recent\AutomaticDestinations

Consideremos todas las acciones del script:

1. Deshabilitar la salida de la información a la consola;

2. Elimine todos los parámetros en la clave de registro HKCU\Software\Microsoft\Terminal Server Client\Default (borre la lista de conexiones RDP recientes);

3. Elimine toda la clave de registro HKCU\Software\Microsoft\Terminal Server Client\Servers (borra la lista de todas las conexiones RDP y los nombres de usuario guardados);

4. Vuelva a crear la clave de registro previamente eliminada;

5. Cambie los atributos del archivo Default.rdp en el directorio de perfil del usuario actual (por defecto es Oculto y Sistema);

6. Elimine el archivo Default.rdp;

7. Borre las entradas de conexión de escritorio remoto de los elementos recientes de la lista de salto.

Además, puede borrar el historial de conexiones RDP mediante el siguiente script de PowerShell:

Get-ChildItem "HKCU:\Software\Microsoft\Terminal Server Client" -Recurse | Remove-ItemProperty -Name UsernameHint -Ea 0
Remove-Item -Path 'HKCU:\Software\Microsoft\Terminal Server Client\servers' -Recurse  2>&1 | Out-Null
Remove-ItemProperty -Path 'HKCU:\Software\Microsoft\Terminal Server Client\Default' 'MR*'  2>&1 | Out-Null
$docs = [environment]::getfolderpath("mydocuments") + '\Default.rdp'
remove-item  $docs  -Force  2>&1 | Out-Null

¿Cómo evitar que Windows guarde el historial de conexión RDP?

Si NO desea que Windows guarde el historial de conexión RDP, debe denegar la escritura en la clave de registro

HKCU\Software\Microsoft\Terminal Server Client

para todas las cuentas de usuario. Primero, deshabilite la herencia de permisos en la clave de registro especificada (Permisos -> Avanzado -> Deshabilitar herencia). Luego, cambie la ACL de la clave de registro marcando la opción Denegar para los usuarios (pero debe comprender que esta es una configuración no admitida).

Como resultado, mstsc.exe simplemente no puede escribir información de conexión RDP en el registro.

¿Cómo borrar la caché de mapa de bits del escritorio remoto?

El cliente de Conexión a Escritorio remoto tiene una función de almacenamiento en caché de mapa de bits persistente de imágenes. El cliente RDP guarda fragmentos de la pantalla remota que rara vez cambian como un caché de imagen de trama. Gracias a esto, el cliente mstsc.exe carga partes de la pantalla que no han cambiado desde la última representación del caché de la unidad local. Esta característica de almacenamiento en caché RDP reduce la cantidad de datos transmitidos a través de la red.

El caché RDP son dos tipos de archivos en un directorio

%LOCALAPPDATA%\Microsoft\Terminal Server Client\Cache

• *.bmc

• papelera

Estos archivos almacenan mapas de bits de pantalla RDP sin procesar en forma de mosaicos de 64 × 64 píxeles. Usando scripts simples de PowerShell o Python (que el

RDP Cached Bitmap Extractor

consulta), puede obtener archivos PNG con partes de la pantalla del escritorio remoto y usarlos para obtener información confidencial. El tamaño de las teselas es pequeño, pero suficiente para proporcionar información útil a una persona que estudie la memoria caché RDP.

Puede evitar que el cliente RDP almacene la caché de imágenes de la pantalla del escritorio remoto desactivando la opción Almacenamiento persistente en caché de mapa de bits en la pestaña Avanzado.

Bitmap Disk Cache Failure. Your disk is full or the cache directory is missing or corrupted.  Some bitmaps may not appear.

Borrado de credenciales RDP guardadas

Si al establecer una nueva conexión RDP remota, antes de ingresar la contraseña, el usuario marca una opción Recordarme, entonces el nombre de usuario y la contraseña se guardarán en el Administrador de credenciales de Windows. La próxima vez que se conecte a la misma computadora, el cliente RDP usa automáticamente la contraseña guardada previamente para la autenticación en el host remoto.

Puede eliminar la contraseña RDP guardada directamente desde la ventana mstsc.exe del cliente. Seleccione la misma conexión de la lista de conexiones y haga clic en el botón Eliminar. Luego confirme la eliminación de las credenciales guardadas.

Alternativamente, puede eliminar la contraseña guardada de RDP directamente desde el Administrador de credenciales de Windows. Vaya a la sección Panel de control\Cuentas de usuario\Gestor de credenciales. Seleccione Administrar credenciales de Windows y en la lista de contraseñas guardadas busque el nombre de la computadora (en el siguiente formato

TERMSRV/192.168.1.100

). Expanda el elemento encontrado y haga clic en el botón Eliminar.

En un entorno de dominio de Active Directory, puede deshabilitar el almacenamiento de contraseñas para conexiones RDP utilizando el GPO especial: Acceso a la red: no permitir el almacenamiento de contraseñas y credenciales para la autenticación de red (consulte un artículo).

Eliminación de registros de eventos relacionados con RDP en un host remoto

Los registros de conexión también se guardan en el lado del host RDP/RDS. Puede encontrar información sobre el historial de conexión RDP en los registros del Visor de eventos:

• Seguridad;

• Registros de aplicaciones y servicios -> Microsoft -> Windows -> TerminalServices-RemoteConnectionManager -> Operacional;

• TerminalServices-LocalSessionManager -> Admin.

Puede borrar los registros de eventos en un servidor RDP mediante wevtutil o PowerShell.