Pôvodný dátum publikovania: 9. septembra 2025KB ID: 5066913
Súhrn
SMB Server už podporuje dva mechanizmy pre spevnenie proti relé útoky:
-
Podpisovanie SMB Servera
-
SMB Server Extended Protection for Authentication (EPA)
V niektorých zákazníckych prostrediach presadzovanie niektorého z týchto mechanizmov stvrdnutia predstavuje riziko kompatibility, pretože niektoré staršie systémy a implementácie tretích strán nepodporujú podpisovanie SMB Servera alebo SMB Server EPA.
V rámci aktualizácií Windowsu vydaných 9. septembra 2025 a po ich skončení (CVE-2025-55234) je povolená podpora auditovania kompatibility klienta SMB pre podpisovanie SMB Servera, ako aj SMB Server EPA. To umožňuje zákazníkom vyhodnotiť svoje prostredie a identifikovať všetky potenciálne problémy s nekompatibilnosťou zariadenia alebo softvéru pred nasadením opatrení na vytvrdenie, ktoré už podporuje SMB Server.
Pozadie
SMB Server môže byť náchylný na prenos útokov v závislosti na konfigurácii. Aby sa zabránilo tomuto nedostatočnému použitiu, spoločnosť Microsoft vydala nasledujúce obmedzenia rizík:
SMB Server EPA
-
Microsoft Security Advisory 973811 | Rozšírená ochrana overovania
-
Popis aktualizácie, ktorá implementuje rozšírenú ochranu pre overovanie v službe servera
Podpisovanie SMB Servera
Zákazníci musia buď nakonfigurovať SMB Server požadovať podpisovanie SMB Server alebo povoliť SMB Server EPA stvrdnúť ich systémy proti tejto triede útoku.
Server SMB s povoleným šifrovaním globálne spolu s nepovoleným nešifrovaným prístupom je tiež chránený pred útokmi na prenos údajov. Ďalšie informácie nájdete v téme Vylepšenia zabezpečenia SMB.
Povolenie podpory auditu pre podpisovanie SMB Servera
Predvolene je auditovanie podpisovania na SMB Serveri zakázané. Túto možnosť je možné povoliť pre server SMBv1 aj server SMB2/3 prostredníctvom skupinová politika alebo nastavenia databázy Registry.
Skupinová politika
|
Umiestnenie politiky |
Konfigurácia počítača\Šablóny na správu\Sieť\Lanman Server |
|
Názov politiky |
Klient auditu nepodporuje podpisovanie |
|
Stavy politiky |
|
databáza Registry
|
Umiestnenie databázy Registry |
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters |
|
Hodnota |
AuditClientSpnSupport |
|
Typ |
REG_DWORD |
|
Údaje |
|
Udalosti auditu podpisu servera SMB
|
Denník udalostí |
Microsoft-Windows-SMBServer/Audit |
|
Typ udalosti |
Upozornenie |
|
Zdroj udalosti |
Microsoft-Windows-SMBServer |
|
Identifikačné číslo udalosti |
3021 |
|
Text udalosti |
Server SMB zistil, že klient nepodporuje podpisovanie. Názov klienta: <> Meno používateľa: <> Server vyžaduje podpisovanie: <> |
|
Denník udalostí |
Microsoft-Windows-SMBServer/Audit |
|
Typ udalosti |
Upozornenie |
|
Zdroj udalosti |
Microsoft-Windows-SMBServer |
|
Identifikačné číslo udalosti |
3027 |
|
Text udalosti |
Server SMBv1 zistil, že klient SMBv1 nemá povolené podpisovanie. Názov klienta: <> Server vyžaduje podpisovanie: <> |
Sprievodný materiál: Táto udalosť naznačuje, že klient SMBv1 nemusí podporovať povolenie podpory auditu pre podpisovanie SMB, ale z dôvodu obmedzení protokolu sa to nedá určiť s istotou. Na overenie možností podpisovania klienta sa odporúča ďalšie hodnotenie.
Pred systémom Windows Vista klienti SMBv1, ktorí explicitne nepodpísali, nemohli vykonať povolenie podpory auditu pre podpisovanie SMB.
Toto správanie sa zmenilo s vydaním systému Windows Vista a bol tiež spätne portovaný na Windows XP a Windows Server 2003 prostredníctvom aktualizácií. Pri týchto zmenách môžu klienti SMB podporovať podpisovanie aj v prípade, že nie je explicitne povolené, za predpokladu, že to server vyžaduje.
Poznámky
-
Klienti, ktorí správne implementujú podpisovanie, ale neinzerujú takúto podporu, budú mať za následok nesprávne pozitívne výsledky.
-
Klienti, ktorí inzerujú podporu podpisovania, ale neimplementujú podporu správne, budú mať za následok nesprávne negatívne výsledky.
Povolenie podpory auditu pre SMB Server EPA
Auditovanie pre SMB Server EPA je predvolene zakázané. Túto možnosť je možné povoliť pre server SMBv1 aj server SMB2/3 prostredníctvom skupinová politika alebo nastavenia databázy Registry.
Skupinová politika
|
Umiestnenie politiky |
Konfigurácia počítača\Šablóny na správu\Sieť\Lanman Server |
|
Názov politiky |
Auditovanie podpory spn klienta SMB |
|
Stavy politiky |
|
databáza Registry
|
Umiestnenie databázy Registry |
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters |
|
Hodnota |
AuditClientSpnSupport |
|
Typ |
REG_DWORD |
|
Údaje |
|
Udalosti auditu SMB Server EPA
|
Denník udalostí |
Microsoft-Windows-SMBServer/Audit |
|
Typ udalosti |
Upozornenie |
|
Zdroj udalosti |
Microsoft-Windows-SMBServer |
|
Identifikačné číslo udalosti |
3024 |
|
Text udalosti |
Server SMB zistil, že klient neodoslal spN počas overovania, čo naznačuje, že klient nepodporuje rozšírenú ochranu pre overovanie (EPA) alebo že podpora EPA je zakázaná. Názov klienta: <> Stav dotazu SPN: <> Povoliť rozšírenú ochranu pre politiku overovania: <> |
|
Denník udalostí |
Microsoft-Windows-SMBServer/Audit |
|
Typ udalosti |
Upozornenie |
|
Zdroj udalosti |
Microsoft-Windows-SMBServer |
|
Identifikačné číslo udalosti |
3025 |
|
Text udalosti |
Server SMB zistil, že klient odoslal nerozpoznaný hlavný názov služby počas overovania. Názov klienta: <> SPN: <> Povoliť rozšírenú ochranu pre politiku overovania: <> |
|
Denník udalostí |
Microsoft-Windows-SMBServer/Audit |
|
Typ udalosti |
Upozornenie |
|
Zdroj udalosti |
Microsoft-Windows-SMBServer |
|
Identifikačné číslo udalosti |
3026 |
|
Text udalosti |
Server SMB zistil, že klient odoslal počas overovania prázdny hlavný názov služby, čo znamená, že klient je schopný odoslať hlavný názov služby, ale rozhodol sa ho nezadať. Názov klienta: <> Povoliť rozšírenú ochranu pre politiku overovania: <> |
