Vorschreiben der Verschlüsselung
seit 0.9.8.11
Zweck
Registry-Schlüssel anzeigen (1)
HKLM\Software\Policies\Microsoft\Windows\LanmanWorkstation\RequireEncryption
Der DWORD-Wert steuert, ob der SMB-Client Verschlüsselung für sämtliche ausgehenden SMB-Verbindungen verlangt. Der Wert 0 deaktiviert diese clientweite Anforderung. Ein Zielserver muss daher nicht allein aufgrund dieser Einstellung SMB-Verschlüsselung unterstützen.
0 schaltet die SMB-Verschlüsselung jedoch nicht generell aus. Eine Verbindung kann weiterhin verschlüsselt werden oder Verschlüsselung voraussetzen, wenn dies für den Zielserver, die Freigabe, den UNC-Pfad oder ein zugeordnetes Laufwerk festgelegt ist. SMB-Verschlüsselung setzt SMB 3.0 oder höher voraus.
Hinweise
Weitere Wirkungen
Ohne die pauschale Verschlüsselungsanforderung kann der Client grundsätzlich auch Verbindungen zu älteren oder fremden SMB-Servern herstellen, die keine SMB-Verschlüsselung unterstützen. Andere Anforderungen an Protokollversion, Authentifizierung oder SMB-Signierung bleiben davon unberührt und können eine Verbindung weiterhin verhindern.
Sicherheit
Der Wert 0 gewährleistet nicht, dass die übertragenen SMB-Daten auf jeder Verbindung verschlüsselt sind. Fehlt auch an anderer Stelle eine Verschlüsselungsanforderung, kann der Inhalt einer SMB-Verbindung ohne den Vertraulichkeitsschutz der SMB-Verschlüsselung übertragen werden. Dadurch können entsprechend positionierte Angreifer den Netzwerkverkehr potenziell mitlesen.
Diese Einstellung deaktiviert nicht automatisch die SMB-Signierung. Eine signierte, aber unverschlüsselte Verbindung kann Manipulationen erkennen, schützt den Inhalt jedoch nicht vor dem Mitlesen.
Hinweise
Die Einstellung ist eine Computerrichtlinie. Microsoft dokumentiert die clientweite Verschlüsselungsanforderung für Windows 11, Version 24H2, und Windows Server 2025 oder höher. In der Richtlinien-CSP-Referenz ist 0 als deaktivierter Standardwert und 1 als aktivierter Wert ausgewiesen.
Microsoft-Dokumentation
Microsoft Learn: Richtlinien-CSP – LanmanWorkstation – RequireEncryption