Signature SMB et suppression de SMBv1 : deux chantiers à mener sans attendre
SMB est partout : partages de fichiers, SYSVOL, administration à distance, impression. Sans signature, une authentification relayée vers un serveur SMB peut suffire à exécuter du code ou à lire des données. Et SMBv1, protocole ancien et dangereux, subsiste encore dans bien des environnements.
Le relais vers SMB
La signature SMB garantit l'intégrité de chaque message et prouve que l'interlocuteur connaît la clé de session. Sans elle, un attaquant qui intercepte ou provoque une authentification NTLM peut la relayer vers un serveur SMB et agir avec les droits de la victime. Si la victime est administrateur local de la cible, l'exécution de code à distance devient possible. Historiquement, Windows n'exigeait la signature que sur les contrôleurs de domaine.
Exiger la signature
La signature se configure séparément pour le rôle serveur et le rôle client, via les stratégies « Serveur réseau Microsoft : communications signées numériquement (toujours) » et « Client réseau Microsoft : communications signées numériquement (toujours) », ou en PowerShell :
Get-SmbServerConfiguration | Select-Object RequireSecuritySignature, EnableSMB1Protocol Set-SmbServerConfiguration -RequireSecuritySignature $true -Force Set-SmbClientConfiguration -RequireSecuritySignature $true -Force
Microsoft a fait évoluer les valeurs par défaut : Windows 11 24H2 et Windows Server 2025 exigent la signature dans davantage de scénarios qu'auparavant. Le périmètre exact varie selon l'édition et le sens de la connexion ; vérifiez-le sur vos versions et ne comptez pas sur ce comportement pour les systèmes plus anciens, qui restent majoritaires dans beaucoup de parcs.
Performances : un impact réel mais maîtrisable
La signature consomme du processeur. Sur du matériel récent et avec SMB 3.x, qui s'appuie sur des algorithmes AES accélérés matériellement, l'effet est généralement modeste. Il peut être sensible sur des serveurs de fichiers anciens, des liens à très haut débit ou certains NAS tiers. Testez sur un échantillon représentatif avant la généralisation. Notez aussi que lorsque le chiffrement SMB est activé, il assure déjà l'intégrité : la signature n'est alors pas appliquée en plus.
Vérifiez les équipements tiers. Certains NAS, scanners ou anciennes distributions Linux ne supportent pas la signature ou la gèrent mal. Recensez-les avant d'exiger la signature côté client sur tout le parc.
Auditer et supprimer SMBv1
SMBv1 n'offre ni chiffrement ni protections modernes et a été exploité par des attaques majeures. Il n'est plus installé par défaut sur les versions récentes de Windows, mais il persiste sur des systèmes mis à niveau ou déployés à partir d'anciennes images. Démarche recommandée :
- Activer l'audit des accès SMBv1 sur les serveurs :
Set-SmbServerConfiguration -AuditSmb1Access $true, puis surveiller le journalMicrosoft-Windows-SMBServer/Audit(événement 3000). - Identifier et remplacer ou mettre à jour les clients concernés.
- Désactiver le protocole côté serveur, puis supprimer la fonctionnalité :
Uninstall-WindowsFeature FS-SMB1sur les serveurs,Disable-WindowsOptionalFeature -Online -FeatureName SMB1Protocolsur les postes. - Contrôler régulièrement que la fonctionnalité n'est pas réinstallée.
Ce qu'un audit vérifie
- l'exigence de signature SMB sur les contrôleurs de domaine, les serveurs et les postes ;
- la présence ou l'activation de SMBv1 ;
- la cohérence des GPO appliquées et l'absence de paramètres contradictoires ;
- les autres mesures anti-relais complémentaires, comme la signature LDAP.