Glossar
SMB-Signierung
Kryptografische Signierung von SMB-Paketen, die Manipulationen verhindert und NTLM-Relay-Angriffe auf SMB-Server blockiert – auf Client- und Serverseite erzwingbar.
Die SMB-Signierung versieht jede SMB-Nachricht mit einer kryptografischen Signatur, die aus dem Sitzungsschlüssel abgeleitet wird. Der Empfänger prüft sie, sodass Nachrichten unterwegs nicht verändert werden können und ein Angreifer, der die Authentifizierung eines anderen weiterleitet, die entstehende Sitzung nicht nutzen kann, weil ihm der Sitzungsschlüssel fehlt.
Sie wird für Client- und Serverseite getrennt gesteuert, über die Richtlinien Microsoft network client/server: Digitally sign communications (always) oder mit Set-SmbClientConfiguration und Set-SmbServerConfiguration -RequireSecuritySignature $true. Domänencontroller verlangen sie seit Langem; Windows 11 24H2 (Enterprise, Pro und Education) erzwingt sie standardmäßig für ein- und ausgehende Verbindungen, Windows Server 2025 für ausgehende. Die SMB 3-Verschlüsselung geht weiter und verschlüsselt den Datenverkehr.