要說大型企業(yè)最關(guān)心的微軟問題，那 SMB 共享肯定是測試其中之一，大部分企業(yè)內(nèi)部都會采用 SMB 來共享某些文件夾，強(qiáng)制B簽西安蓮湖找小姐上門服務(wù)的辦法vx《189-4143》提供外圍女上門服務(wù)快速選照片快速安排不收定金面到付款30分鐘可到達(dá)方便公司內(nèi)部人員訪問。引起

所以對 IT 管理員來說，系列性問接下來微軟強(qiáng)制啟用 SMB 簽名又要增加工作量了，兼容不過好處是題藍(lán)這個(gè)真的可以增強(qiáng)安全性。

上周六微軟發(fā)布 Windows 11 Canary Build 25381 版，點(diǎn)網(wǎng)在這個(gè)版本中微軟強(qiáng)制啟用了 SMB 簽名，微軟Windows XP~8.1、測試Windows 10、強(qiáng)制B簽Windows 11、引起Windows Server 版本都已經(jīng)支持 SMB 簽名，系列性問但某些第三方的兼容軟件不一定支持。

SMB 簽名機(jī)制：

SMB 簽名也稱為安全簽名，題藍(lán)西安蓮湖找小姐上門服務(wù)的辦法vx《189-4143》提供外圍女上門服務(wù)快速選照片快速安排不收定金面到付款30分鐘可到達(dá)這是 SMB 協(xié)議中的一種安全機(jī)制，每個(gè) SMB 消息都包含使用會話密鑰生成的簽名，客戶端則是將 SMB 塊的哈希放在 SMB 標(biāo)頭的簽名字段中。

這與 HTTPS 加密有些類似：當(dāng) SMB 塊在傳輸中遭到篡改，那么哈希無法匹配，此時(shí) SMB 就知道有人劫持或篡改了數(shù)據(jù)。

微軟推薦的機(jī)制是使用 Kerberos 而非 NTLMv2，這可以繼續(xù)增強(qiáng)安全性，這樣也不需要使用 IP 地址連接，也不需要 CNAME 記錄。

強(qiáng)制啟用的后果：

對于所有 Windows 系統(tǒng)而言啟用 SMB 簽名不會產(chǎn)生兼容性問題，還可以提高安全性，只是企業(yè)中通常使用的不只是 Windows 系統(tǒng)和 Windows 服務(wù)器，這就會產(chǎn)生問題。

根據(jù)微軟的說明，如果第三方軟件或系統(tǒng)禁用或不支持 SMB 簽名，則連接到這些軟件、系統(tǒng)、服務(wù)器時(shí)會報(bào)錯(cuò)，常見錯(cuò)誤消息包括：

• 0xc000a000
• -1073700864
• STATUS_INVALID_SIGNATURE
• The cryptographic signature is invalid.

要解決此問題只能尋求第三方軟件、系統(tǒng)開發(fā)商的支持，如果只是禁用那還好，啟用就行，如果是不支持的話那就歇菜了，尤其是那些僅支持 SMB 3.0 的東東( 3.0?這類老舊版本是不支持簽名的，所以無法使用)。

舉個(gè)例子：

群暉 NAS 的 DSM 系統(tǒng)，默認(rèn)情況下 SMB 是禁用簽名的，如果要實(shí)現(xiàn)互通訪問，則需要在 DSM 控制面板、文件服務(wù)、SMB、高級設(shè)置、常規(guī)，將啟用服務(wù)器簽發(fā)改成強(qiáng)制 (如果是域控設(shè)備還需要在 LADP 中加入域)。

好消息是目前大多數(shù) SMB 軟件、客戶端系統(tǒng)、服務(wù)器都支持 SMB 簽名，唯一要做的就是挨個(gè)檢查這些東西，把 SMB 簽名全部改成啟用或強(qiáng)制。

對 IT 管理員來說這不算技術(shù)問題，但可能會增加工作量，提前測試的好處就是未來不影響業(yè)務(wù)系統(tǒng)。至于微軟何時(shí)在 Windows 10、Windows 11、Windows Server 穩(wěn)定版通道強(qiáng)制啟用 SMB 簽名暫時(shí)還不清楚。

對了，IT?管理員們還有個(gè)工作不要忘記：微軟修復(fù)安全啟動漏洞導(dǎo)致所有舊版Windows鏡像全部作廢 請及時(shí)更新

相關(guān)支持文檔 1：https://techcommunity.microsoft.com/t5/storage-at-microsoft/smb-signing-required-by-default-in-windows-insider/ba-p/3831704

相關(guān)支持文檔 2：https://learn.microsoft.com/zh-cn/troubleshoot/windows-server/networking/overview-server-message-block-signing

(責(zé)任編輯：綜合)