Qu'est-ce que SMBv1 et pourquoi faut-il s'assurer qu'il est désactivé ?

Lorsque des problèmes surviennent lors de l'accès à un dossier partagé ou à une imprimante réseau, de nombreux experts affirment qu'il s'agit d'un problème lié au protocole SMB. Et ils ont raison. Le protocole SMB (Server Message Block), et plus particulièrement SMBv1, est au cœur du partage de fichiers sous Windows depuis des décennies.Mais aujourd'hui, elles constituent également l'une de leurs principales sources de problèmes de sécurité.

Bien que SMBv1 puisse sembler être l'un de ces détails techniques qui ne concernent que les administrateurs système, la vérité est que Ce protocole est directement lié aux attaques de ransomware de grande ampleur telles que les infections basées sur WannaCry ou EternalBlue.Il est essentiel de comprendre ce qu'est SMB, ce qui le différencie de SMBv2/SMBv3 et comment l'activer ou le désactiver sous Windows 10, Windows 11 et Windows Server afin d'éviter tout risque de catastrophe.

Qu'est-ce que SMB et comment SMBv1 s'intègre-t-il au protocole ?

 

SMB (Server Message Block) est un protocole réseau client-serveur conçu pour le partage de fichiers, de dossiers, d'imprimantes et d'autres ressources. entre les appareils au sein d'un réseau local (LAN) ou, depuis des années, également via des réseaux IP plus étendus.

Son fonctionnement repose sur le fait que Un client SMB demande l'accès à une ressource distante et un serveur SMB répond.Ouvrir un fichier, lister le contenu d'un répertoire, envoyer un document à imprimer, mapper un lecteur réseau, etc. Cette communication s'effectue par un échange de messages de requête et de réponse qui reposent généralement sur le protocole TCP.

À ses origines, Le protocole SMB s'appuyait sur NetBIOS et le port 139.Limité aux réseaux locaux. Avec l'arrivée de Windows 2000, Microsoft a déplacé le protocole directement sur TCP/IP en utilisant le port 445, permettant la communication SMB sur les réseaux IP sans avoir besoin de NetBIOS.

Ce protocole n'est pas exclusif à Windows : Samba implémente SMB/CIFS sur les systèmes Unix et Linux.Cela permet aux systèmes Linux de fonctionner comme des serveurs et clients SMB entièrement compatibles avec Windows. Parmi les autres implémentations notables, citons Netsmb sur les systèmes BSD, des bibliothèques comme YNQ pour les systèmes embarqués et des solutions NAS telles que FreeNAS et ConnectedNAS (Android), qui utilisent SMB pour le partage de données.

Origine et évolution de SMB : de SMBv1 à SMB 3.1.1

L'histoire de SMB est longue. IBM a créé ce protocole dans les années 80 et Microsoft l'a adopté dans son produit LAN Manager.Au fil du temps, l'implémentation SMB 1.0 de Microsoft a été renommée CIFS (Common Internet File System), un terme encore utilisé aujourd'hui, bien qu'il fasse en réalité référence à cette première génération du protocole.

La mise en œuvre initiale de SMB/CIFS présentait de multiples lacunes : Bruit excessif du protocole (trop de commandes), faible efficacité sur les réseaux à latence élevée et faible évolutivitéIl convenait à la gestion de petits fichiers sur des réseaux locaux simples, mais s'avérait insuffisant dans des scénarios plus complexes ou distants.

En parallèle, le projet Samba a vu le jour dans le but de Effectuer une rétro-ingénierie du protocole SMB/CIFS et fournir un serveur compatible avec les systèmes Unix et Linux.Cela permettait aux clients MS-DOS et aux versions ultérieures de Windows d'accéder aux ressources hébergées sur des machines non-Windows.

SMBv1 ou SMB/CIFS version 1 : la branche obsolète

SMBv1 est la première version du protocole, développée à partir de 1983.Initialement, il utilisait NetBIOS, mais les versions ultérieures de Windows ont permis son exécution directe via TCP/IP. Toutes les versions antérieures de Windows (telles que Windows XP, Windows Server 2003, etc.) utilisent SMBv1 par défaut.

Au fil du temps, on les a découverts Failles de sécurité importantes et limitations de performance dans SMBv1Microsoft le considère désormais comme un protocole non sécurisé et obsolète : dans Windows 10 (versions récentes), Windows 11 et Windows Server 2016/2019/2022, SMBv1 n’est plus installé par défaut ou est désactivé.

Quand même, De nombreux appareils plus anciens, tels que certains NAS domestiques, imprimantes multifonctions ou routeurs, utilisent encore uniquement SMBv1.Dans de tels cas, l'utilisateur est tenté de le réactiver sur son PC, prenant ainsi, sans le savoir, un risque considérable.

SMB 2.0 et 2.1 : un bond en avant en matière de performance et d’efficacité

Pour pallier les limitations du protocole initial, Microsoft a lancé SMB 2.0 avec Windows Vista et Windows Server 2008.Cette version a fait l'objet d'une refonte en profondeur, réduisant le nombre de commandes et de sous-commandes de plusieurs centaines à moins de vingt, minimisant ainsi le trafic inutile.

Les principales améliorations apportées à SMBv2 comprennent : Lecture et écriture de volumes plus importants, pipeline de requêtes, prise en charge de plusieurs actions dans une seule requête, la mise en cache des propriétés des fichiers et des dossiers et des identifiants persistants, qui permet une reconnexion après de brèves interruptions sans avoir à refaire toute la session.

SMB 2.0 introduit également Signature des messages avec HMAC-SHA256 au lieu de MD5, une bien plus grande évolutivité en termes de nombre d'utilisateurs, de ressources et de fichiers ouverts, la prise en charge de tailles de blocs plus importantes (idéal pour les réseaux Gigabit, 10 GbE ou supérieurs) et la compatibilité avec les liens symboliques.

Ensuite, Le protocole SMB 2.1 est apparu avec Windows 7 et Windows Server 2008 R2., avec des optimisations supplémentaires, telles que de nouveaux mécanismes de blocage opportunistes pour améliorer encore les performances dans les environnements à forte concurrence.

SMB 3.0, 3.0.2 et 3.1.1 : sécurité et centres de données virtualisés

Avec Windows 8 et Windows Server 2012 sont apparus SMB 3.0 (initialement appelé SMB 2.2)Cette version a été spécifiquement conçue pour une utilisation dans des centres de données virtualisés et des scénarios de haute disponibilité, avec des améliorations tant au niveau des performances que de la résilience.

Parmi ses nouvelles fonctionnalités, on trouve : SMB Direct (SMB sur RDMA) pour un accès ultra-performant et à faible latenceSMB multicanal (connexions multiples par session pour tirer parti de diverses interfaces réseau), basculement transparent dans les clusters et, surtout, chiffrement de bout en bout du trafic SMB.

En matière de sécurité, Le protocole SMB 3.0 permet le chiffrement du trafic de données et exige une authentification sécurisée de l'utilisateur.Évitez d'utiliser des identifiants en clair. Si le matériel le permet (AES-NI ou autres accélérations), et c'est conseillé Vérifier les pilotes sous WindowsL'impact sur les performances peut être minime même avec le chiffrement activé.

Windows 8.1 et Windows Server 2012 R2 ont été introduits. SMB 3.0.2, avec des améliorations progressives et la possibilité de désactiver explicitement SMB 1.0, favorisant ainsi les environnements où seules les versions modernes du protocole sont utilisées.

La dernière version est SMB 3.1.1, présent dans Windows 10 et Windows Server 2016 et versions ultérieuresCette version ajoute une vérification d'intégrité avant authentification avec chiffrement SHA-256 et AES-128-GCM (en plus de CCM), et exige que les négociations avec les clients SMB 2.0 ou supérieurs soient menées de manière sécurisée. L'objectif est de renforcer au maximum la phase critique d'établissement de session.

Qu'est-ce que SMBv1 exactement et pourquoi est-il si peu sécurisé ?

SMBv1, également connu sous le nom de SMB 1.0, ou CIFS, est le plus ancien dialecte du protocole SMB.Pendant des années, il a constitué la base du partage de fichiers et de la communication interprocessus dans les environnements Windows, ce qui explique pourquoi de nombreux ordinateurs anciens et périphériques hérités en ont encore besoin.

Le problème est que SMBv1 souffre de faiblesses structurelles qui le rendent extrêmement vulnérable. Il est vulnérable aux attaques par déni de service (DoS) et, surtout, aux failles d'exécution de code à distance (RCE). Ses faiblesses incluent l'absence de mécanismes de chiffrement modernes, une négociation défaillante et une conception ne tenant pas compte des menaces actuelles.

Dans les réseaux réels, il arrive souvent que, du fait de la compatibilité, Toutes les versions SMB sont activées simultanément.Un attaquant peut forcer une rétrogradation de la communication vers SMBv1 même si des versions plus récentes sont disponibles, et ainsi exploiter la surface d'attaque de l'ancienne version.

Microsoft considère SMBv1 comme tellement problématique que Il n'est plus installé par défaut sur Windows 10 (éditions modernes), Windows 11 et Windows Server 2019 et versions ultérieures.Il était inclus dans Windows 10 Famille et Professionnel, mais la tendance est de le supprimer et de le désinstaller automatiquement s'il n'est pas utilisé pendant un certain temps.

Les liens entre SMBv1 et EternalBlue, WannaCry et autres failles de sécurité

Le nom SMBv1 est devenu tristement célèbre parce que son rôle dans l'attaque mondiale par rançongiciel WannaCry en 2017Ce logiciel malveillant exploitait une faille appelée EternalBlue, prétendument développée par la NSA et divulguée publiquement.

EternalBlue explose une vulnérabilité critique dans l'implémentation de SMBv1 sous WindowsCela permet à un attaquant d'exécuter à distance du code arbitraire sur l'ordinateur de la victime sans avoir besoin d'identifiants valides. Il suffit que le port 445 soit accessible et que le système ne soit pas patché.

WannaCry a exploité cette vulnérabilité. se diffuser massivement et automatiquement à travers les réseaux d'entreprise et domestiquesIls chiffrent les fichiers et exigent une rançon. Selon les rapports, plus de 200 000 ordinateurs ont été infectés dans 150 pays et les pertes financières se chiffrent en milliards de dollars.

Il ne s'agit pas d'un cas isolé. D'autres vulnérabilités graves liées à SMBv3 ont été identifiées, telles que : SMBGhost (CVE-2020-0796) et SMBleed (CVE-2020-1206)Ces vulnérabilités sont liées à la fonction de décompression du serveur SMBv3. Bien qu'elles n'affectent pas directement SMBv1, elles démontrent que l'écosystème SMB est une cible constante pour les attaquants.

Dans le cas de SMLeed, la défaillance de la fonction Srv2DecompressData permet de filtrer la mémoire du noyau et de manipuler la compression.Ceci est particulièrement dangereux lorsqu'il est combiné à SMBGhost pour permettre l'exécution de code à distance. Les systèmes non patchés exposant le port 445 à des réseaux non fiables constituent une cible particulièrement tentante.

Par conséquent, au-delà d'EternalBlue et de WannaCry, Toute organisation qui maintient un protocole SMBv1 actif et non protégé s'expose à un risque élevé et totalement évitable. sur sa surface d'attaque.

Fonctions perdues lors de la désactivation de SMBv1, SMBv2 ou SMBv3

Avant de désactiver des protocoles sans discernement, il est conseillé de comprendre quelles fonctionnalités dépendent de chaque version. SMBv1 n'offre pratiquement aucune fonctionnalité qui justifie son utilisation aujourd'hui.au-delà de la compatibilité avec des équipements très anciens.

Plutôt, SMBv2 et SMBv3 introduisent un ensemble complet d'améliorations en matière de performances, de résilience et de sécurité.Leur désactivation complète peut engendrer de graves problèmes dans les environnements qui dépendent de ces fonctionnalités avancées.

Si vous désactivez SMBv3 sur un serveur, par exemple, vous perdrez des fonctionnalités telles que : Basculement transparent dans les clusters, évolutivité horizontale des serveurs de fichiers, SMB Multichannel, SMB Direct (RDMA), chiffrement de bout en bout, location de répertoires (mise en cache avancée) et optimisations pour les E/S aléatoires.

La désactivation de SMBv2 désactive des fonctionnalités essentielles telles que : regroupement des requêtes, opérations de lecture/écriture plus importantes, mise en cache des propriétés, identifiants durables, une signature de messages améliorée avec HMAC-SHA256, la prise en charge de grandes MTU, une efficacité énergétique améliorée et diverses optimisations de l'évolutivité.

Sous Windows 8 et Windows Server 2012, Les piles SMBv2 et SMBv3 sont indissociables.Par conséquent, l'activation ou la désactivation de SMBv2 affecte également SMBv3. Il convient d'en tenir compte lors des tests ou du renforcement des configurations.

Comment savoir quelle version de SMB est installée sur Windows ?

Pour prendre des décisions éclairées, la première étape consiste à vérifier Quelles versions de SMB sont installées et actives sur votre ordinateur Windows ?Il existe plusieurs façons de procéder, PowerShell et le Registre Windows étant les plus courantes.

Vérifier le protocole SMB sous Windows 10 et Windows 8.1 à l'aide de PowerShell

Ouvrez PowerShell avec des privilèges d'administrateur et exécutez les commandes suivantes :

Pour SMBv1 sous Windows 10 / 8.1 (client et serveur) :

Get-WindowsOptionalFeature -Online -FeatureName SMB1Protocol

Pour SMBv2/SMBv3 sur Windows 10 / 8.1 (côté serveur):

Get-SmbServerConfiguration | Select EnableSMB2Protocol

Si la valeur renvoyée est VraiCe protocole est activé ; s'il l'est FAUX, est désactivé.

Vérifier le protocole SMB sous Windows 7 à l'aide du Registre

Le composant optionnel SMB1Protocol n'existe pas dans Windows 7, donc La vérification est effectuée en inspectant la clé de registre LanmanServer:

Pour SMBv1 :

Get-Item HKLM:\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters | ForEach-Object {Get-ItemProperty $_.pspath}

Pour SMBv2 :

Get-ItemProperty HKLM:\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters | ForEach-Object {Get-ItemProperty $_.pspath}

Si la valeur explicite SMB1 ou SMB2 n'existe pas, La valeur par défaut (activée) est supposéeSi elles existent, la valeur 0 indique la désactivation et la valeur 1 indique l'activation.

Vérifier le protocole SMB à l'aide de l'Éditeur du Registre

Une autre option consiste à ouvrir regedit et accédez à :

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters

Dans cette clé, les valeurs SMB1 et SMB2 de type REG_DWORD Ils déterminent si le serveur SMB a ces versions activées. Là encore, 0 signifie désactivé et 1 signifie activé ; si la valeur n'est pas définie, le paramètre par défaut est généralement activé.

Comment activer ou désactiver SMBv1, SMBv2 et SMBv3 sous Windows

Windows offre plusieurs façons de gérer l'état des protocoles SMBLes fonctionnalités optionnelles incluent PowerShell, le Registre, les services et même la stratégie de groupe pour les déploiements à grande échelle. Il est actuellement recommandé de maintenir SMBv2/SMBv3 activé et de désactiver SMBv1 autant que possible.

Gestion de SMBv1 avec PowerShell (client et serveur)

Sous Windows 10 et les versions actuelles de Windows Server, vous pouvez utiliser Get-WindowsOptionalFeature, Disable-WindowsOptionalFeature et Enable-WindowsOptionalFeature:

• Détection de SMBv1:
  Get-WindowsOptionalFeature -Online -FeatureName SMB1Protocol
• Désactiver SMBv1:
  Disable-WindowsOptionalFeature -Online -FeatureName SMB1Protocol
• Activer SMBv1 (non recommandé sauf en cas d'extrême nécessité) :
  Enable-WindowsOptionalFeature -Online -FeatureName SMB1Protocol

Ces commandes nécessitent exécuter dans une console PowerShell avec privilèges élevésAprès activation ou désactivation, il est généralement recommandé de redémarrer le système.

Gestion de SMBv2/SMBv3 avec PowerShell (côté serveur)

Pour SMBv2 et SMBv3, qui partagent une grande partie de la pile, les cmdlets de configuration du serveur SMB suivantes sont utilisées :

Vérifiez si SMBv2/3 est actif:

Get-SmbServerConfiguration | Select EnableSMB2Protocol

Activer SMBv2/3:

Set-SmbServerConfiguration -EnableSMB2Protocol $true

Désactiver SMBv2/3 (uniquement pour les tests très contrôlés) :

Set-SmbServerConfiguration -EnableSMB2Protocol $false

Pour les fonctionnalités exclusives à SMBv3, telles que le chiffrement des données, vous pouvez vérifier et modifier l'état EncryptData :

Vérifiez si le chiffrement SMBv3 est actif.:

Get-SmbServerConfiguration | Select EncryptData

Activer le chiffrement des données SMBv3:

Set-SmbServerConfiguration -EncryptData $true

Activez ou désactivez SMB côté client à l'aide de sc.exe

Sur les clients SMB (Windows et Windows Server agissant en tant que clients), vous pouvez également configurer l'utilisation de SMBv1 et SMBv2/3. Modification des dépendances et des services avec sc.exe:

SMBv1 dans le client SMB

• Détecter: sc.exe qc lanmanworkstation
• Pour désactiver : sc.exe config lanmanworkstation depend= bowser/mrxsmb20/nsi y sc.exe config mrxsmb10 start= disabled
• Activer: sc.exe config lanmanworkstation depend= bowser/mrxsmb10/mrxsmb20/nsi y sc.exe config mrxsmb10 start= auto

SMBv2/SMBv3 dans le client SMB

• Détecter: sc.exe qc lanmanworkstation
• Pour désactiver : sc.exe config lanmanworkstation depend= bowser/mrxsmb10/nsi y sc.exe config mrxsmb20 start= disabled
• Activer: sc.exe config lanmanworkstation depend= bowser/mrxsmb10/mrxsmb20/nsi y sc.exe config mrxsmb20 start= auto

Configurer SMB à l'aide de l'Éditeur du Registre

Si vous préférez ou devez le faire via le Registre, sur les serveurs et les clients Windows, vous pouvez créer ou modifier les clés SMB1 et SMB2 sous la branche LanmanServer :

Chemin du serveur SMB :

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters

Configurez les entrées avec ces propriétés sur cet itinéraire :

• NomSMB1 ou SMB2
• Gars: REG_DWORD
• Données: 0 = Désactivé, 1 = Activé

Si la valeur n'existe pas, on suppose généralement qu'il est activé (Surtout dans les versions plus anciennes). Après toute modification de ces clés, il est recommandé de redémarrer le système afin que LanmanServer puisse appliquer la nouvelle configuration.

Désactiver SMBv1 de manière centralisée via la stratégie de groupe

Dans les environnements de domaine, il est courant de vouloir Déploiement massif de la désactivation SMBv1sans avoir à s'adresser à chaque équipe individuellement. Pour cela, l'objet de stratégie de groupe (GPO) est l'outil idéal.

L'idée de base est de modifier les clés de service mrxsmb10 et LanmanWorkstation sur tous les ordinateurs cibles, afin que le contrôleur SMBv1 ne démarre pas et que sa dépendance disparaisse du poste de travail.

Étapes générales dans la console de gestion des stratégies de groupe :

1. Modifiez la stratégie de groupe que vous souhaitez utiliser et accédez à Configuration de l'ordinateur > Préférences > Paramètres Windows > Registre.
2. Créez un nouvel « élément de registre » pour désactiver le pilote mrxsmb10 :
   Indice: SYSTEM\CurrentControlSet\Services\mrxsmb10
   Nom de la valeur: Commencer
   Gars: REG_DWORD
   Données: 4 (Handicapés)
3. Créez un autre élément pour remplacer DependOnService de LanmanWorkstation:
   Mot de passe: SYSTEM\CurrentControlSet\Services\LanmanWorkstation
   Nom de la valeur : DependOnService
   Type : REG_MULTI_SZ
   Données : Bowser, MRxSmb20, NSI (MRxSMB10 est retiré de la liste)
4. Forcer l'application de la GPO avec gpupdate /force ou attendre la prochaine mise à jour de la politique de sécurité et enfin redémarrer les ordinateurs cibles.

Avec cela, Le service client SMBv1 sera complètement désactivé dans le domaineréduisant considérablement le risque d'attaques basées sur cette version du protocole.

Activer ou désactiver SMBv1 depuis le Panneau de configuration de Windows 10

Si vous n'avez pas envie de vous embêter avec PowerShell, sous Windows 10 Vous pouvez gérer SMBv1 depuis « Programmes et fonctionnalités »., dans les fonctionnalités optionnelles de Windows.

Le processus est simple :

• Ouvrir Panneau de configuration > Programmes et fonctionnalités.
• Appuyez sur « Activer ou désactiver les fonctionnalités de Windows ».
• Repérez l'entrée « Compatibilité avec le protocole de partage de fichiers SMB 1.0/CIFS ».
• Cochez cette case pour activer SMBv1 (client, serveur et suppression automatique) ou décochez-la pour le désactiver complètement.
• Acceptez les modifications et redémarrez votre ordinateur lorsque vous y êtes invité.

Sur les installations actuelles de Windows 10, SMBv1 n'est plus installé automatiquement.Si vous avez effectué une mise à niveau depuis une version antérieure où cette fonction était activée, elle peut encore être active et vous devez la désactiver manuellement.

SMB, Samba, CIFS et des alternatives telles que NFS

De nombreux guides mélangent des concepts comme SMB, CIFS et Samba, il est donc important de les clarifier. CIFS est, à proprement parler, le nom que Microsoft a donné à son implémentation de SMB 1.0.Par conséquent, CIFS est un dialecte spécifique au sein de SMB, et non un protocole distinct.

La samba, pour sa part, est l'implémentation libre de SMB/CIFS sur les systèmes GNU/Linux et UnixIl permet à un serveur Linux de faire office de serveur de fichiers et d'authentification compatible avec les clients Windows, voire de contrôleur de domaine. Ceci est spécifié dans son fichier de configuration. /etc/samba/smb.conf Vous pouvez définir, entre autres, les versions minimale et maximale du protocole qui seront utilisées pour le serveur et le client.

Un exemple typique pour Forcer uniquement SMBv2 et SMBv3 dans Samba Ce serait quelque chose comme :


min protocol = SMB2
client min protocol = SMB2
max protocol = SMB3
client max protocol = SMB3

Quant aux alternatives, NFS (Network File System) est le protocole équivalent dans le monde Unix.Il permet également d'accéder aux systèmes de fichiers distants comme s'ils étaient locaux, mais il n'est pas compatible avec le protocole SMB/CIFS. Dans les environnements mixtes Windows/Linux, il est courant d'utiliser Samba pour la communication SMB avec les clients Windows et NFS pour les clients Linux.

Quand l'utilisation de SMBv1 est-elle inévitable et comment atténuer les risques

Dans un monde idéal, Le protocole SMBv1 serait désactivé partout et les périphériques anciens seraient migrés.En pratique, de nombreuses entreprises se retrouvent confrontées à des imprimantes louées anciennes, des périphériques NAS non pris en charge, des scanners ou des applications héritées qui ne fonctionnent qu'avec SMBv1.

Dans ces cas-là, s'il n'y a pas d'autre option que de le réactiver, il est conseillé d'appliquer une série de mesures de confinement et de renforcement:

• Limiter SMBv1 uniquement aux équipes qui en ont vraiment besoin. et ne jamais l'activer globalement.
• Segmentez le réseau de sorte que Les périphériques nécessitant SMBv1 doivent être isolés. Le reste, avec des pare-feu internes et des règles strictes.
• Assurez-vous que Tous les correctifs de sécurité liés à SMB ont été appliqués. sur les serveurs et les clients.
• Bloquez ou filtrez le Port 445 vers/depuis Internet dans les pare-feu périmétriques afin d'éviter les expositions inutiles.
• Renforcer la position que SMBv1 expose avec Solutions anti-ransomware, sauvegardes fréquentes et surveillance des activités suspectes.

L'objectif est que, même si vous devez utiliser SMBv1 dans une partie du réseau, Un incident potentiel est maîtrisé et ne paralyse pas l'ensemble de l'organisation..

Comprendre l'évolution du protocole SMB, les différences entre ses versions et les outils Windows permettant d'auditer, d'activer ou de désactiver SMBv1, v2 et v3 permet une prise de décision éclairée : maintenir la compatibilité lorsque cela est nécessaire, mais toujours privilégier la sécurité, minimiser la surface exposée et s'appuyer sur des protocoles modernes et chiffrés chaque fois que cela est possible.