桑間濮上網微軟在Windows 11中測試強制SMB簽名 可能會引起一系列兼容性問題 – 藍點網
要說大型企業最關心的微軟問題，那 SMB 共享肯定是測試其中之一，大部分企業內部都會采用 SMB 來共享某些文件夾，強制B簽方便公司內部人員訪問。引起
所以對 IT 管理員來說，系列性問接下來微軟強制啟用 SMB 簽名又要增加工作量了，兼容不過好處是題藍這個真的可以增強安全性。
上周六微軟發布 Windows 11 Canary Build 25381 版，點網在這個版本中微軟強制啟用了 SMB 簽名，微軟Windows XP~8.1、測試Windows 10、強制B簽Windows 11、引起Windows Server 版本都已經支持 SMB 簽名，系列性問但某些第三方的兼容軟件不一定支持。
SMB 簽名機制：
SMB 簽名也稱為安全簽名，題藍這是 SMB 協議中的一種安全機制，每個 SMB 消息都包含使用會話密鑰生成的簽名，客戶端則是將 SMB 塊的哈希放在 SMB 標頭的簽名字段中。
這與 HTTPS 加密有些類似：當 SMB 塊在傳輸中遭到篡改，那么哈希無法匹配，此時 SMB 就知道有人劫持或篡改了數據。
微軟推薦的機制是使用 Kerberos 而非 NTLMv2，這可以繼續增強安全性，這樣也不需要使用 IP 地址連接，也不需要 CNAME 記錄。
強制啟用的后果：
對于所有 Windows 系統而言啟用 SMB 簽名不會產生兼容性問題，還可以提高安全性，只是企業中通常使用的不只是 Windows 系統和 Windows 服務器，這就會產生問題。
根據微軟的說明，如果第三方軟件或系統禁用或不支持 SMB 簽名，則連接到這些軟件、系統、服務器時會報錯，常見錯誤消息包括：
- 0xc000a000
- -1073700864
- STATUS_INVALID_SIGNATURE
- The cryptographic signature is invalid.
要解決此問題只能尋求第三方軟件、系統開發商的支持，如果只是禁用那還好，啟用就行，如果是不支持的話那就歇菜了，尤其是那些僅支持 SMB 3.0 的東東( 3.0?這類老舊版本是不支持簽名的，所以無法使用)。
舉個例子：
群暉 NAS 的 DSM 系統，默認情況下 SMB 是禁用簽名的，如果要實現互通訪問，則需要在 DSM 控制面板、文件服務、SMB、高級設置、常規，將啟用服務器簽發改成強制 (如果是域控設備還需要在 LADP 中加入域)。
好消息是目前大多數 SMB 軟件、客戶端系統、服務器都支持 SMB 簽名，唯一要做的就是挨個檢查這些東西，把 SMB 簽名全部改成啟用或強制。
對 IT 管理員來說這不算技術問題，但可能會增加工作量，提前測試的好處就是未來不影響業務系統。至于微軟何時在 Windows 10、Windows 11、Windows Server 穩定版通道強制啟用 SMB 簽名暫時還不清楚。
對了，IT?管理員們還有個工作不要忘記：微軟修復安全啟動漏洞導致所有舊版Windows鏡像全部作廢 請及時更新
相關支持文檔 1：https://techcommunity.microsoft.com/t5/storage-at-microsoft/smb-signing-required-by-default-in-windows-insider/ba-p/3831704
相關支持文檔 2：https://learn.microsoft.com/zh-cn/troubleshoot/windows-server/networking/overview-server-message-block-signing
