Microsoft ha presentato un aggiornamento preview di Windows 11 in cui sono presenti potenziamenti della sicurezza per la rete e i dati che interessano il protocollo Server Message Block (SMB). Queste funzionalità sono al momento disponibili nella Preview Build 25951 di Windows 11 accessibile ai Windows Insider iscritti al canale Canary.
Nel blog di Windows, scritto pochi giorni fa da Amanda Langowski e Brandon LeBlanc, si annunciano aggiornamenti chiave della sicurezza per SMB: blocco NTLM e gestione dei dialetti.
Anche Ned Pyle, uno dei principali program manager di Microsoft (tra l’altro particolarmente esperto proprio di tecnologia SMB), ha descritto in due post le funzionalità:
- Blocking NTLM in SMB, che consentirà agli addetti IT di bloccare l’utilizzo del protocollo SMB NTLM (Windows New Technology LAN Manager) nelle connessioni in uscita per impedire attacchi pass-the-hash, NTLM Relay o cracking delle password;
- SMB Dialect Management che offrirà la possibilità di selezionare i “dialetti” SMB (ad esempio, SMB2 o SMB3) per i server Windows.
Per completezza di informazione, la build propone anche un miglioramento dell’interfaccia utente relativo al blocco schermo per assicurare un’esperienza utente più sicura relativamente al riquadro di rete.
Microsoft Security Copilot, il chatbot GPT-4 per la sicurezza: cos’è, come funziona, i vantaggi
Indice degli argomenti
Windows 11 più sicuro contro gli attacchi di rete
Il primo importante cambiamento è la funzionalità Blocking NTLM in SMB che riguarda, appunto, l’introdotta capacità del client SMB di bloccare NTLM per le connessioni remote in uscita.
Viene, quindi, influenzato il comportamento legacy che consente a Windows SPNEGO, Simple and Protected Generic Security Service Application Program Interface (GSS-API) Negotiation Mechanism, di negoziare con i server di destinazione utilizzando vari pacchetti di sicurezza, tra cui Kerberos, NTLM e altri. NTLM qui comprende tutte le versioni del pacchetto di sicurezza LAN Manager, ovvero LM, NTLM e NTLMv2.
Il blocco di NTLM in uscita su SMB offre ai sistemisti la possibilità di impedire che la password con hash di un utente venga inviata a un server remoto, prevenendo efficacemente questi tipi di attacchi. Hacker malevoli, difatti, vedrebbero fallire il loro tentativi e non otterrebbero alcun dato NTLM, rendendo inefficaci gli attacchi di forza bruta, il cracking delle password e via dicendo.
È particolarmente valido questo nuovo livello di protezione in quanto i benefici possono essere raggiunti senza che venga completamente disabilitato NTLM nel sistema operativo, cosa che implicherebbe perdite di funzionalità.
Questa configurazione può essere effettuata tramite Criteri di gruppo o PowerShell. Risulta anche possibile bloccare al volo NTLM nelle connessioni SMB con i comandi NET USE e PowerShell.
Nella figura il blocco NTLM in Criteri di Gruppo.
In un prossimo rilascio di Windows Insider, sembra che questa funzionalità permetterà anche agli addetti IT di controllare il blocco NTLM SMB su server specifici con un elenco di consentiti. Un client sarà in grado di specificare server SMB che supportano solo NTLM, come membri non di dominio o prodotti di terze parti e consentire la connessione.
Vi è da dire che sono ormai molti anni che Microsoft sostiene l’utilizzo di Kerberos anziché NTLM e sono da tempo noti i problemi nell’uso di tale suite di protocolli di sicurezza, come indica Microsoft in questo documento in cui si attribuisce a NTLM le seguenti vulnerabilità:
- nessuna autenticazione del server;
- crittografia più debole;
- Prestazioni più lente (rispetto al protocollo Kerberos) su connessioni ripetute allo stesso server;
- NTLM è richiesto laddove l’autenticazione del server non è possibile, ad esempio quando è richiesto un indirizzo IP del server.
Per questo, nel succitato post di Ned Pyle, oltre ad utili note di troubleshooting per problemi relativi al blocco NTLM SMB, si legge, in conclusione, che il blocco NTLM è solo la prima fase di una strategia più ampia volta a porre fine all’utilizzo di NTLM in Windows.
Scegliere il protocollo più sicuro per le comunicazioni
La seconda novità introdotta con la build 25951 è la funzionalità SMB Dialect Management che riguarda la possibilità che il server SMB permetta di scegliere quale versione SMB2 o SMB3 utilizzare per le comunicazioni. Con questa nuova opzione, i tecnici IT sono in grado di rimuovere i vecchi protocolli SMB per bloccare le connessioni dai dispositivi Windows meno sicuri o di terze parti.
In precedenza, SMB di Windows negoziava automaticamente il dialetto server con la corrispondenza più elevata tra i client SMB da 2.0.2 a 3.1.1. Benché Windows 10 avesse introdotto la funzionalità per controllare i dialetti client SMB, lo stesso non valeva per i dialetti server. Ora (nella build 25951) sia il client che il server SMB includono il supporto di gestione completo.
Anche la configurazione di questa funzionalità è semplice ed attuabile in Criteri di gruppo o PowerShell.
Nella figura l’opzione di gestione dei dialetti SMB in Criteri di Gruppo.
Interruzione automatica degli attacchi in Microsoft 365 Defender: cos’è e come funziona
Novità disponibili sul canale Canary
Se ci siamo chiesti cosa sia il canale Canary, è utile sapere che Microsoft, a marzo 2023, ha introdotto nel programma Windows Insider questo nuovo canale per il testing di Windows 11, con rilasci identificati dalle build con prefisso 25xxx, e fa seguito agli altri cambiamenti apportati nel 2022 ai già esistenti canali Dev e Beta.
In Canary si trovano preview che rendono pubbliche funzionalità che sono ancora più in anteprima e sperimentali rispetto agli altri canali, e pertanto distribuite non appena vengono sviluppate da Microsoft.
In sintesi, il Canary Channel è adatto ai professionisti IT con elevate competenze tecniche e interessati alle novità di Windows che sono all’inizio del ciclo di sviluppo, quindi molto instabili e con documentazione limitata o assente.
Se siamo iscritti al canale Canary o siamo interessati a farne parte, la Build 25951 di Windows 11 è disponibile anche come ISO, pronta per l’installazione e lo studio.
