Windows 11将默认要求SMB签名，并计划逐步推广到其他Windows版本
2023-6-5 18:0:25
Author: 看雪学苑(查看原文)
阅读量:10
收藏
微软宣布，为了提高Windows的安全性，此后在Windows 11 Insider Preview Build 25381企业版中，默认所有连接都需要SMB签名。并且预计在接下来的几个月里，Pro、Education和其他Windows版本以及Windows Server都会对签名进行此默认更改。
SMB签名可以确保每条消息都包含使用会话密钥和密码套件生成的签名。如果有人在传输过程中更改了消息本身，则整个消息的哈希值将不匹配，从而可得知有人篡改了数据。它还会确认发送方和接收方是否是本人，以此防范中继攻击。微软官网上说，所有版本的Windows和Windows Server都支持SMB签名，但第三方可能会对它禁用或不支持。如果用户尝试连接到不允许SMB签名的第三方SMB服务器上的远程共享，用户应该会收到以下错误消息之一：0xc000a000、-1073700864、STATUS_INVALID_SIGNATURE、The cryptographic signature is invalid.若要解决此问题，可以将第三方SMB服务器配置为支持SMB签名。微软不建议在Windows中禁用SMB签名或使用SMB1来解决此问题（SMB1支持签名但不强制执行）。不支持签名的SMB设备允许恶意方进行拦截和中继攻击。同时，SMB签名不可避免会略微降低SMB复制操作的性能，用户需要谨慎对自身实际情况进行评估，以判断极高性能和延迟要求是否优先于未签名流量带来的安全性缺失。若要查看当前SMB签名设置，请运行以下PowerShell命令：：Get-SmbServerConfiguration | FL requiresecuritysignatureGet-SmbClientConfiguration | FL requiresecuritysignature若要禁用客户端连接中的SMB签名要求，请以管理员身份运行以下PowerShell命令：Set-SmbClientConfiguration -RequireSecuritySignature $false若要禁用服务器中的SMB签名要求，请以管理员身份运行以下PowerShell命令：Set-SmbServerConfiguration -RequireSecuritySignature $false微软表示，在未来几年，他们将继续推出更安全的SMB默认设置和许多新的SMB安全选项；微软知道这些变化会影响应用程序兼容性，并且Windows也有确保易用性的传统，但安全性不能听天由命。指已经发布官方补丁的漏洞。通常情况下，此类漏洞的防护只需更新补丁即可，但由于多种原因，导致往往存在大量设备漏洞补丁更新不及时，且漏洞利用方式已经在互联网公开，往往此类漏洞是黑客最常使用的漏洞。例如在永恒之蓝事件中，微软事先已经发布补丁，但仍有大量用户中招。
文章来源: http://mp.weixin.qq.com/s?__biz=MjM5NTc2MDYxMw==&mid=2458506045&idx=2&sn=b126cce28653ec92499eb81377c8953b&chksm=b18ee3b786f96aa1e89f743f145a1bf5e47942da275dddb4fb61b70ffc05f40466df3523cccc#rd
如有侵权请联系:admin#unsafe.sh