Microsoft-Netzwerk (Server): Kommunikation digital signieren (immer)
Der DWORD-Wert `RequireSecuritySignature` steuert die Signierungsanforderung der SMB-Serverkomponente.
seit 0.9.8.11
Zweck
Registry-Schlüssel anzeigen (1)
HKLM\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters\RequireSecuritySignature
Der DWORD-Wert RequireSecuritySignature steuert die Signierungsanforderung der SMB-Serverkomponente. Der Wert 1 bewirkt, dass der Server für eingehende SMB-Verbindungen eine SMB-Signierung verlangt. Eine Verbindung wird nur fortgesetzt, wenn der Client die Signierung unterstützt und die SMB-Nachrichten gültig signiert werden können.
Bei SMB 2.02 und höheren Versionen wird jede Nachricht einer signierten Sitzung mit einer aus dem Sitzungsschlüssel abgeleiteten kryptografischen Signatur versehen. Der Empfänger kann dadurch erkennen, ob eine Nachricht während der Übertragung verändert wurde und ob sie zum erwarteten Absender und Empfänger gehört.
Die SMB-Signierung schützt die Integrität und Authentizität der übertragenen Nachrichten. Sie verschlüsselt jedoch nicht deren Inhalt und verändert weder Freigabeberechtigungen noch NTFS-Berechtigungen.
Hinweise
Sicherheit
Die erzwungene Signierung erschwert Manipulations-, Relay-, Spoofing- und Sitzungskapern-Angriffe auf SMB-Verbindungen. Pakete mit fehlender oder ungültiger Signatur werden nicht als gültiger Bestandteil der Sitzung akzeptiert.
Der Schutz hängt weiterhin von der Sicherheit des für die Sitzung ausgehandelten Schlüssels und des verwendeten Authentifizierungsverfahrens ab. Die Einstellung ersetzt keine SMB-Verschlüsselung und verhindert nicht, dass unverschlüsselte Nutzdaten mitgelesen werden.
Mögliche Nebenwirkungen
SMB-Clients und Geräte von Drittanbietern, die SMB-Signierung nicht unterstützen, können keine Verbindung mit dem Server herstellen. Dies kann insbesondere ältere Systeme, NAS-Geräte oder eingebettete SMB-Implementierungen betreffen.
Nicht authentifizierter Gastzugriff ist mit erforderlicher SMB-Signierung nicht vereinbar und wird abgewiesen. Außerdem verursacht das Berechnen und Prüfen der Signaturen zusätzlichen Verarbeitungsaufwand. Die Leistungseinbußen fallen auf modernen Systemen häufig gering aus, können bei schnellen Netzwerken und Speichersystemen jedoch deutlicher werden.
Hinweise
RequireSecuritySignature unter LanmanServer betrifft die SMB-Serverkomponente und damit eingehende Verbindungen. Die Anforderung für ausgehende SMB-Clientverbindungen wird durch den gleichnamigen Wert unter LanmanWorkstation gesteuert.
Für SMB 2.02 und höher entscheidet RequireSecuritySignature, ob die Signierung verlangt wird. Der ähnlich benannte Wert EnableSecuritySignature ist davon zu unterscheiden; Microsoft zufolge beeinflusst er nur noch SMB 1.
Microsoft-Dokumentation
Microsoft Learn: Was sind Server Message Block-Signaturen?
Microsoft Learn: Steuerung des SMB-Signierverhaltens