Brak zgodności z szyfrowanym SMB (SMB encryption)

Brak zgodności z szyfrowanym SMB (SMB encryption) dotyczy starszych klientów lub NAS-ów bez wsparcia dla SMB 3.0+ z szyfrowaniem end-to-end — trzeba obniżyć wymagania szyfrowania lub zaktualizować firmware.

Na czym polega brak zgodności z szyfrowanym SMB

Brak zgodności z szyfrowanym SMB oznacza sytuację, w której komputer, system operacyjny, urządzenie pamięci masowej albo używane oprogramowanie nie potrafi ustanowić bezpiecznego połączenia plikowego wymagającego szyfrowania komunikacji. SMB, czyli Server Message Block, służy do udostępniania folderów, plików, drukarek i innych zasobów w sieci. W nowszych odmianach protokołu możliwe jest zabezpieczenie przesyłanych danych tak, aby ich treść nie była czytelna dla osób przechwytujących ruch sieciowy.

Problem pojawia się wtedy, gdy obie strony połączenia obsługują różne możliwości. Jeden komputer może wymagać szyfrowania, podczas gdy drugi korzysta wyłącznie ze starszego wariantu SMB albo nie ma odpowiedniej funkcji w aktualnym firmware. W takiej sytuacji nie dochodzi do poprawnego uzgodnienia parametrów sesji. Skutkiem może być odmowa dostępu do udziału, komunikat o nieobsługiwanej funkcji, wielokrotne żądanie hasła lub pozornie niedostępny folder sieciowy.

Nie jest to zwykły błąd uprawnień do katalogu. Konto może mieć prawidłowe hasło, udział może istnieć, a adres urządzenia może odpowiadać na polecenia, lecz połączenie nadal zostanie przerwane, jeśli wymagany poziom ochrony nie może zostać zastosowany. Znaczenie ma także wersja systemu, konfiguracja zasad bezpieczeństwa, rodzaj klienta SMB oraz stan oprogramowania urządzenia udostępniającego pliki.

Jak szyfrowanie SMB wpływa na połączenie sieciowe

Podczas nawiązywania sesji SMB klient i urządzenie docelowe uzgadniają między innymi wersję protokołu, sposób uwierzytelniania oraz wymagania dotyczące ochrony transmisji. Gdy skonfigurowano obowiązkowe szyfrowanie, połączenie może zostać zaakceptowane wyłącznie wtedy, gdy obie strony potrafią je obsłużyć. Starszy klient może nie rozpoznawać żądania szyfrowania, a starsze oprogramowanie urządzenia może nie udostępniać funkcji potrzebnych do bezpiecznej wymiany danych.

W praktyce spotykane są trzy podstawowe warianty konfiguracji. Szyfrowanie może być wyłączone, opcjonalne albo wymagane dla każdego połączenia z danym udziałem. Ustawienie opcjonalne pozwala zwykle na działanie ze starszym sprzętem, lecz nie zapewnia takiego samego poziomu ochrony jak tryb obowiązkowy. Wymaganie szyfrowania podnosi bezpieczeństwo danych przesyłanych przez sieć, ale jednocześnie eliminuje urządzenia i programy, które nie mają odpowiedniej obsługi.

Nie należy automatycznie obniżać wymagań bezpieczeństwa tylko po to, aby przywrócić dostęp. Jeżeli przez udział przesyłane są dokumenty, kopie zapasowe lub dane logowania, wyłączenie ochrony może zwiększyć ryzyko ich przechwycenia. Najpierw powinno się ustalić, czy problem dotyczy konkretnego urządzenia, wszystkich udziałów, jednej stacji roboczej, czy całej konfiguracji sieciowej. Pomocne bywa także sprawdzenie, czy połączenie działa z innym klientem SMB oraz czy błąd występuje zarówno przy użyciu nazwy urządzenia, jak i jego adresu sieciowego.

Aktualizacja systemu operacyjnego lub firmware może dodać obsługę szyfrowania, poprawić negocjowanie sesji i usunąć błędy występujące podczas uwierzytelniania. Przed wykonaniem aktualizacji warto jednak sprawdzić zgodność wersji, wykonać kopię ustawień oraz upewnić się, że nie zostaną zmienione zasady dostępu do udziałów. W niektórych przypadkach konieczne jest również ujednolicenie ustawień po obu stronach połączenia.

Typowe objawy i źródła błędów - Brak zgodności z szyfrowanym SMB (SMB encryption)

Najczęściej zgłaszany jest brak możliwości otwarcia ścieżki sieciowej, mimo że urządzenie odpowiada na test połączenia. W Eksploratorze plików może pojawić się informacja o niedostępnej lokalizacji, nieobsługiwanej funkcji albo braku uprawnień. Czasami udział jest widoczny na liście urządzeń, lecz próba wejścia do folderu kończy się błędem. Innym objawem bywa działanie połączenia z jednego komputera i jego brak z drugiego, co wskazuje na różnicę w obsługiwanych wersjach protokołu lub lokalnych zasadach bezpieczeństwa.

Źródłem problemu może być nieaktualny system, wyłączona obsługa nowszej wersji SMB, niepełna implementacja szyfrowania w urządzeniu sieciowym albo ustawienie wymuszające ochronę po stronie serwera plików. Błąd może też wynikać z zastosowania programu pośredniczącego, który obsługuje tylko część funkcji protokołu. Niekiedy podobny komunikat jest skutkiem zapory sieciowej, błędnego uwierzytelniania lub nieprawidłowej nazwy udziału, dlatego sama treść komunikatu nie zawsze wystarcza do postawienia diagnozy.

Przy analizie warto sprawdzić, czy problem powtarza się po ponownym uruchomieniu obu urządzeń, czy dotyczy tylko określonego udziału oraz czy dostęp bez szyfrowania był wcześniej możliwy. Należy także zweryfikować ustawienia wymuszania szyfrowania, zasady lokalne systemu, dzienniki zdarzeń i wersję oprogramowania urządzenia. Jeżeli udział jest wykorzystywany do kopii zapasowych, trzeba dodatkowo sprawdzić, czy program wykonujący kopię obsługuje wymagany sposób połączenia.

Nieprawidłowe rozwiązanie może polegać na włączeniu przestarzałego wariantu SMB bez oceny ryzyka. Taki krok czasem przywraca komunikację, ale może osłabić ochronę całej sieci i stworzyć dostęp dla starszych, mniej bezpiecznych mechanizmów. Bezpieczniejsze jest ustalenie, która strona nie obsługuje szyfrowania, a następnie aktualizacja lub wymiana tego elementu, ewentualnie ograniczenie wyjątku do jasno określonego urządzenia i udziału.

Kiedy warto oddać urządzenie do diagnozy - Brak zgodności z szyfrowanym SMB (SMB encryption)

Zgłoszenie do serwisu jest uzasadnione, gdy nie można ustalić, czy przyczyną jest szyfrowanie SMB, wersja protokołu, zapora, konto użytkownika czy konfiguracja samego udziału. Szczególnie wskazana jest pomoc wtedy, gdy po zmianie ustawień zniknął dostęp do ważnych folderów, przestały działać kopie zapasowe albo problem dotyczy kilku komputerów jednocześnie. Przed ingerencją w zasady bezpieczeństwa powinno się zabezpieczyć istotne dane i zanotować dotychczasowe ustawienia.

W Warszawie takie przypadki można przekazać do Warszawskiego Pogotowia Komputerowego 24/7, gdzie analizuje się konfigurację komputera, połączenie z udziałem, ustawienia zabezpieczeń i zgodność oprogramowania urządzeń. W ramach diagnostyki można rozdzielić problem z szyfrowaniem od błędów uprawnień lub łączności, a następnie dobrać rozwiązanie niewymagające pochopnego wyłączania ochrony. Naprawy są z reguły wykonywane w ciągu do 3 dni roboczych, zależnie od zakresu prac i dostępności urządzenia.

Do zgłoszenia warto dołączyć treść komunikatu, informację o tym, kiedy problem wystąpił, nazwę używanego systemu oraz dane dotyczące urządzenia udostępniającego pliki. Przydatne jest wskazanie, czy inne komputery nadal uzyskują dostęp do tego samego udziału i czy błąd pojawia się wyłącznie przy połączeniu wymagającym szyfrowania. Tak przygotowane informacje ułatwiają odtworzenie sytuacji i ograniczają ryzyko przypadkowej zmiany ustawień, które są potrzebne do ochrony danych.