Microsoft-Netzwerk (Client): Kommunikation digital signieren (immer)
Der Registry-Wert `RequireSecuritySignature` steuert die Signaturanforderung des SMB-Clients für ausgehende SMB-Verbindungen.
seit 0.9.8.11
Zweck
Registry-Schlüssel anzeigen (1)
HKLM\SYSTEM\CurrentControlSet\Services\LanmanWorkstation\Parameters\RequireSecuritySignature
Der Registry-Wert RequireSecuritySignature steuert die Signaturanforderung des SMB-Clients für ausgehende SMB-Verbindungen. Der Datentyp ist REG_DWORD. Mit dem Wert 1 verlangt der Client, dass die Kommunikation mit dem SMB-Server signiert wird. Unterstützt der Server keine SMB-Signierung, kommt die Verbindung nicht zustande.
Bei einer signierten Sitzung enthält jede SMB-Nachricht eine kryptografische Signatur, die unter Verwendung des Sitzungsschlüssels gebildet und vom Empfänger geprüft wird. Dadurch lassen sich Veränderungen an Nachrichten während der Übertragung erkennen.
Die Einstellung betrifft die Clientfunktion des Computers. Sie verpflichtet den lokalen SMB-Server nicht dazu, eingehende Verbindungen zu signieren.
Hinweise
Sicherheit
Die verpflichtende SMB-Signierung schützt die Integrität der übertragenen SMB-Nachrichten und erschwert Manipulations-, Relay- und Spoofing-Angriffe. Die Signatur bindet die Nachrichten an die authentifizierte Sitzung und bestätigt Absender und Empfänger.
SMB-Signierung verschlüsselt die übertragenen Inhalte nicht. Sie bietet daher keinen Schutz vor dem Mitlesen des Datenverkehrs. Freigabe- und Dateiberechtigungen sowie die eigentliche Benutzerauthentifizierung bleiben ebenfalls unverändert.
Mögliche Nebenwirkungen
Verbindungen zu älteren oder nicht von Microsoft stammenden SMB-Servern können fehlschlagen, wenn diese keine SMB-Signierung unterstützen. Unsichere Gastanmeldungen sind mit verpflichtender SMB-Signierung nicht vereinbar, da Gastverbindungen keine SMB-Signaturen unterstützen.
Das Berechnen und Prüfen der Signaturen benötigt zusätzliche Prozessorleistung. Bei Systemen mit hohem SMB-Durchsatz oder schnellen Netzwerken kann dadurch die Übertragungsleistung sinken.
Hinweise
Für SMB 2.02 und neuere Versionen bestimmt RequireSecuritySignature, ob die Signierung erforderlich ist. Der ähnlich benannte Wert EnableSecuritySignature hat für SMB 2 und SMB 3 nicht dieselbe Wirkung und wird dort ignoriert.
Der Wert 1 bedeutet, dass die SMB-Signierung clientseitig erforderlich ist; 0 bedeutet lediglich, dass der Client sie nicht selbst verlangt. Auch bei 0 kann eine Verbindung signiert werden, wenn der Server dies fordert.
Microsoft-Dokumentation
Microsoft Learn: Was sind Server Message Block-Signaturen?
Microsoft Learn: Steuerung des SMB-Signierverhaltens