Windows 11 exigirá assinatura SMB para evitar ataques de retransmissão NTLM

Nov 21, 2023

A Microsoft diz que a assinatura SMB (também conhecida como assinaturas de segurança) será exigida por padrão para todas as conexões para se defender contra ataques de retransmissão NTLM, começando com a versão atual do Windows (edição Enterprise) sendo lançada para Insiders no Canary Channel.

Nesses ataques, os agentes de ameaças forçam os dispositivos de rede (incluindo controladores de domínio) a se autenticar em servidores mal-intencionados sob o controle dos invasores para representá-los e elevar privilégios para obter controle total sobre o domínio do Windows.

“Isso muda o comportamento legado, onde o Windows 10 e 11 exigiam assinatura SMB por padrão apenas ao se conectar a compartilhamentos chamados SYSVOL e NETLOGON e onde os controladores de domínio do Active Directory exigiam assinatura SMB quando qualquer cliente conectado a eles”, disse a Microsoft.

A assinatura SMB ajuda a bloquear solicitações de autenticação maliciosas, confirmando as identidades do remetente e do destinatário por meio de assinaturas e hashes incorporados ao final de cada mensagem.

Servidores SMB e compartilhamentos remotos nos quais a assinatura SMB está desativada acionarão erros de conexão com várias mensagens, incluindo "A assinatura criptográfica é inválida", "STATUS_INVALID_SIGNATURE", "0xc000a000" ou "-1073700864".

Esse mecanismo de segurança já está disponível há algum tempo, começando com o Windows 98 e 2000, e foi atualizado no Windows 11 e no Windows Server 2022 para melhorar o desempenho e a proteção, acelerando significativamente a criptografia de dados.

Embora o bloqueio de ataques de retransmissão NTLM deva estar no topo da lista para qualquer equipe de segurança, os administradores do Windows podem ter problemas com essa abordagem, pois pode levar a velocidades de cópia SMB mais baixas.

"A assinatura SMB pode reduzir o desempenho das operações de cópia SMB. Você pode mitigar isso com mais núcleos físicos de CPU ou CPUs virtuais, bem como CPUs mais novas e mais rápidas", alertou a Microsoft.

No entanto, os administradores têm a opção de desabilitar o requisito de assinatura SMB em conexões de servidor e cliente executando os seguintes comandos em um terminal elevado do Windows PowerShell:

Embora nenhuma reinicialização do sistema seja necessária após a emissão desses comandos, as conexões SMB já abertas continuarão usando a assinatura até que sejam fechadas.

“Espere que essa mudança padrão para assinatura chegue ao Pro, Education e outras edições do Windows nos próximos meses, bem como ao Windows Server. disse o Gerente Principal de Programas da Microsoft, Ned Pyle.

O anúncio de hoje faz parte de um movimento mais amplo para melhorar a segurança do Windows e do Windows Server, conforme demonstrado ao longo do ano passado.

Em abril de 2022, a Microsoft anunciou a fase final de desativação do SMB1 no Windows, desativando o protocolo de compartilhamento de arquivos de 30 anos por padrão para Windows 11 Home Insiders.

Cinco meses depois, a empresa anunciou uma melhor proteção contra ataques de força bruta com a introdução de um limitador de taxa de autenticação SMB para lidar com tentativas de autenticação NTLM de entrada com falha.

Windows 11 permitirá que você visualize fotos do telefone no File Explorer

Windows 11 finalmente recebe um modo 'nunca combine botões da barra de tarefas'

Microsoft testando painel de detalhes aprimorado do Explorer, Windows Spotlight

A Microsoft ativa a proteção LSA por padrão na compilação do Windows Canary

A Cisco não corrigirá a vulnerabilidade RCE de dia zero em roteadores VPN em fim de vida útil