Impossible d'accéder aux dossiers partagés sur le NAS sous Windows 11 24H2

Microsoft a récemment annoncé que la signature de paquets SMB obligatoire pour l'accès aux dossiers réseau partagés sera activée par défaut dans Windows 11 24H2. Cela peut entraîner des problèmes lors de l'accès aux dossiers partagés sur les appareils NAS (Network Attached Storage) sur lesquels la signature SMB n'est pas prise en charge ou désactivée par défaut.

La Signature SMB est l'une des fonctionnalités de sécurité du protocole de partage de fichiers SMB/CIFS. Si cette option est activée, une signature numérique sera ajoutée à l'en-tête de chaque message SMB. Cette signature permet de s'assurer que le contenu du message n'a pas été modifié et assure une authentification en vérifiant l'identité du serveur et du client. Cela permet d’éviter les attaques de type man-in-the-middle et de relais NTLM des PME. Auparavant, la signature SMB n'était requise que pour accéder aux partages SYSVOL et NETLOGON sur les contrôleurs de domaine AD.

La signature SMB est requise pour toutes les connexions SMB sortantes à partir de Windows 11 24H2 (l'accès à un NAS tiers avec SMB sous Windows 11 24H2 peut échouer). Si le serveur SMB ne prend pas en charge ce mode, le client Windows rejettera la connexion. Les autres versions prises en charge de Windows recevront ultérieurement cette modification.

Important ! La mise en œuvre de la signature SMB obligatoire entraînera une utilisation supplémentaire de la RAM et du processeur sur le client et le serveur. Cela réduit également la vitesse des transferts de fichiers sur le réseau.

Si l'appareil distant ne prend pas en charge la signature SMB, des erreurs se produiront lors de l'accès à un dossier partagé sur cet appareil :

```
0xc000a000
```
```
 -1073700864
```
```
STATUS_INVALID_SIGNATURE
```
```
The cryptographic signature is invalid
```

Les paramètres par défaut du serveur SMB Windows (et Samba) supposent que la signature des paquets SMB n'est utilisée qu'à la demande de l'une des parties. Utilisez PowerShell pour répertorier les paramètres de signature SMB actuels sur un client Windows :

Get-SmbClientconfiguration | fl EnableSecuritySignature,RequireSecuritySignature

RequireSecuritySignature=False : l'utilisation obligatoire de la signature SMB n'est pas activée.
EnableSecuritySignature=True - le client n'utilise la signature SMB que lorsque le serveur l'exige.

Pour désactiver (ou activer) la signature SMB obligatoire, utilisez la commande

Set-SmbClientConfiguration -RequireSecuritySignature $false

Redémarrez l'ordinateur après avoir modifié les paramètres.

De la même manière, vous pouvez activer ou désactiver la signature SMB côté serveur (hôte avec dossiers partagés) :

Get-SmbServerConfiguration | fl *sign*

Set-SmbServerConfiguration -RequireSecuritySignature $true

(ou

$false

)

La valeur de l'option EnableSecuritySignature est ignorée si le protocole SMB1 hérité est désactivé (il s'agit du comportement par défaut dans Windows).

Ces options client et serveur SMB peuvent être activées via le registre. Le prochain ensemble de commandes désactivera l'utilisation obligatoire de la signature SMB pour le client et le serveur :

reg add "HKLM\SYSTEM\CurrentControlSet\Services\LanManServer\Parameters" /v RequireSecuritySignature /t REG_DWORD /d 0 /f
reg add "HKLM\SYSTEM\CurrentControlSet\Services\LanManServer\Parameters" /v EnableSecuritySignature /t REG_DWORD /d 1 /f
reg add "HKLM\SYSTEM\CurrentControlSet\Services\LanmanWorkstation\Parameters" /v RequireSecuritySignature /t REG_DWORD /d 0 /f
reg add "HKLM\SYSTEM\CurrentControlSet\Services\LanmanWorkstation\Parameters" /v EnableSecuritySignature /t REG_DWORD /d 1 /f

L'éditeur GPO peut également être utilisé pour configurer le mode de signature SMB pour un client Windows. Les options suivantes sont disponibles dans l'éditeur de stratégie de groupe local (

gpedit.msc

) sous Configuration ordinateur -> Paramètres Windows -> Paramètres de sécurité -> Stratégies locales -> Options de sécurité

Client réseau Microsoft : communication par signature numérique (toujours)
Client réseau Microsoft : communication par signature numérique (si le serveur l'accepte)

Certains modèles de NAS et versions de micrologiciel prennent en charge le mode de signature SMB, mais il n'est pas activé par défaut (par exemple dans Synology, ASUStor, QNAP et certains autres appareils). Par exemple, dans Synology DSM 7+, cette option se trouve dans le Panneau de configuration -> Services de fichiers -> SMB< -> Paramètres avancés. Recherchez l'option Activer la signature du serveur. La signature est désactivée par défaut. Pour activer la signature SMB à la demande du client, sélectionnez Défini par le client dans le menu déroulant.

Ainsi, si vous rencontrez des problèmes pour accéder aux partages NAS après la mise à niveau vers Windows 11 24H2, vous devrez :

Activez la signature SMB sur le périphérique NAS (méthode recommandée)
Désactivez la signature SMB obligatoire sur le client Windows (option moins sécurisée)