微软Win11专业版将默认禁用SMB来宾身份认证

微软官方技术博客最近几天更新了一篇博文，微软首席项目经理Ned Pyle表示，Win11 Professional Edition会默认禁用SMB访客认证服务，认为这项服务存在很多不安全的地方。

在微软最近发布的Win11 Build 25267和Build 25276两个预览版中已经默认禁用，以增强安全性。

微软表示，SMB访客身份验证被禁用，因为该协议不支持审计跟踪和安全机制，如签名和证书所以很多黑客使用中间人模式进行攻击，甚至在服务器场景中使用在最坏的情况下，恶意行为者可以使用访客登录来获得对整个网络的读取或复制权限，而不会留下任何审计线索

从Windows 2000开始，默认情况下不允许访问者登录同样，Windows 10教育版和企业版不允许SMB2和SMB3在尝试输入错误密码后重新登录到访客登录

有趣的是，虽然Windows 11 Professional Insider预览版默认禁用访客身份验证，但Windows 10 Professional并没有。

IT部门了解，如果合法的远程存储设备需要SMB访客访问，用户从Win11 Professional Edition连接时可能会看到以下错误:

你无法访问此共享文件夹，因为你组织的安全策略阻止未经身份验证的来宾访问这些策略有助于保护您的电脑免受网络上不安全或恶意设备的攻击

错误代码:0x80070035

找不到网络路径。

事件日志名称:Microsoft—Windows—SMB client/Security

日期:日期/时间

事件ID: 31017

任务类别:无

级别:错误

关键词:

用户:网络服务

描述:拒绝了不安全的来宾登录。

用户名:Ned

服务器名称:服务器名称

如果您看到上述错误，建议的解决方案是配置远程设备停止要求来宾身份验证如果您的设备允许访问者访问，网络上的任何设备或个人都可以读取或复制您的所有共享数据，而无需任何审计跟踪或凭据