SMB署名 - ITNAVI.net

HOME 定番情報源情報漏洩を防止する →個人情報保護 →情報漏洩防止商品 →データの消去・抹消・削除 Linux関連情報 →SELinux →LIDS Microsoft関連情報プロファイリングで攻撃者を調査する認証脆弱性検査(ペネトレーションテスト) ログチェックウィルス対策 →Gumblar(ガンブラー) →ウイルスバスターダウンロード →ノートンダウンロードスパイウェア・トロイの木馬対策パケットキャプチャでネットワーク監視暗号化 VPN セキュアな無線LAN セキュアプログラミング →SQLインジェクションメール関連のセキュリティファイアウォールで守る侵入検知 →Snort シンクライアントインシデントレスポンスセキュリティポリシーセキュリティ監査セキュリティ関連の法律過去のニュースクレジットカードのセキュリティ電子マネーのセキュリティ各種ツールメモノンセクションセキュリティ関連書籍サイトマップ

2年連続！最優秀ウイルス対策ソフト！AV-comparatives認定！

■SMB署名について

Windows のファイル共有プロトコルである CIFS(Common Interface File System)では SMB(Server Message Block)署名を用いた相互認証とメッセージ認証を行なうことが出来ます。(Windows NT 4.0 SP3 以降で使用が可能)

この機能を使用することにより、man-in-the-middle 攻撃を防ぐことが可能になります。man-in-the-middle 攻撃とはクライアントとサーバー間の通信に割り込んで、通信者に知られることなく通信の内容を傍受したり、改竄したり、また、なりすましたりする攻撃の事です。

SMB署名を使用するには、レジストリ上の二つのキーを入力する必要があります。一つは証明を「有効にする」ために使用し、もう一つは署名を「要求する」ためにあります。どちらのキーも構成する必要があります。サーバーが署名を有効にするように設定していても、クライアントが署名を要求するように設定されていなければ、セキュリティで保護されていない方法での通信が行なわれます。

Windows 2000 におけるレジストリ設定は、下記のIPAのページを参照されたい。
デジタル署名の設定

またグループポリシーのセキュリティ設定コンテナにあるローカルポリシーのセキュリティオプション設定でも、SMB署名を管理できます。

サーバー通信のデジタル署名(可能な場合)
サーバー通信のデジタル署名(常時)
クライアント通信のデジタル署名(可能な場合)
クライアント通信のデジタル署名(常時)

ここで SMB署名が原因で問題が起こるケースがあるので紹介しておきます。

810907 - SMB 署名の必要な Windows XP SP1 クライアントで、ネットワーク上のファイルをオープンまたはコピーするとエラーメッセージが表示される 2003/03/17
814112 - ネットワーク共有上のファイルを開いたとき、開くのに時間がかかる、読み取り専用で開く、あるいはエラーメッセージが表示される場合がある 2003/04/25
これは、サーバが Windows 2000 でクライアントが Windows XP SP1 のWindows 2000と Windows XP SP1のSMB署名に互換性が無いために起こります。

解決策は、

SMB 署名の問題により、グループポリシーが変更される (329170) (MS02-070) 2002/12/12-2003/3/12

を適用することです。このホットフィックスは、Windows 2000 SP3 及び Windows XP SP1 には含まれません。Windows 2000 SP4 には含まれます。お勧めできませんが、SMB署名を無効にする方法も解決策の一つです。

■最後に

SMB署名について一番詳しくまとめられているのが下記のページです。ご一読下さい。

SMB 署名に関するメモ

2年連続！最優秀ウイルス対策ソフトの上位版

セキュリティ情報ディレクトリリンク集 Presented by ITNAVI.com