Protocole SMB (Server Message Block)

Le protocole SMB (aussi appelé CIFS (Common Internet File System)) fournit principalement un accès partagé aux fichiers sur un réseau Microsoft Windows. Il fournit aussi une authentification.

Les options SMB suivantes ont des implications de sécurité :

• Restreindre l'accès anonyme à la liste de partages - Cette option nécessite que les clients s'authentifient à l'aide de SMB avant de recevoir une liste de partages. Si cette option est désactivée, les clients anonymes peuvent accéder à la liste de partages. Cette option est désactivée par défaut.

• Signature SMB activée - Cette option active l'interopérabilité avec les clients SMB à l'aide de la fonction de signature SMB. Si cette option est activée, un paquet signé aura la signature vérifiée. Si l'option est désactivée, un paquet non signé sera accepté sans vérification de signature. Cette option est désactivée par défaut.

• Signature SMB Requise - Cette option peut être utilisée lorsque la signature SMB est requise. Lorsque l'option est activée, tous les paquets SMB doivent être signés ou ils seront rejetés. Les clients ne prenant pas en charge la signature SMB ne peuvent pas se connecter au serveur. Cette option est désactivée par défaut.

• Activer l'énumération basée sur les accès - Définir cette option filtre les entrées de répertoire en fonction des informations d'identification du client. Lorsqu'un client n'a pas accès à un fichier ou à un répertoire, ce fichier ne figure pas dans la liste d'entrées envoyée au client. Cette option est désactivée par défaut.

Authentification du mode domaine de l'Active Directory (AD)

En mode domaine, les utilisateurs sont définis dans l'Active Directory. Les clients SMB peuvent se connecter au ZFSSA à l'aide de l'authentification Kerberos ou NTLM.

Lorsqu'un utilisateur se connecte par le biais d'un nom d'hôte ZFSSA complet, les clients Windows dans le même domaine ou dans un domaine autorisé utilisent l'authentification Kerberos ou l'authentification NTLM.

Lorsqu'un client SMB utilise une authentification NTLM pour se connecter au ZFSSA, les informations d'identification de l'utilisateur sont transmises au contrôleur de domaine AD pour authentification. Ce processus s'appelle l'authentification d'intercommunication.

Si les stratégies de sécurité Windows qui restreignent l'authentification NTLM sont définies, les clients Windows doivent se connecter au ZFSSA par le biais d'un nom d'hôte complet. Pour plus d'informations, consultez cet article MSDN : http://technet.microsoft.com/en-us/library/jj865668%28v=ws.10%29.aspx.

Après l'authentification, un "contexte de sécurité" est établi pour la session SMB de l'utilisateur. L'utilisateur représenté par le contexte de sécurité a un SID (Security Descriptor) unique. Le SID remplace l'appartenance des fichiers et est utilisé pour déterminer les privilèges d'accès aux fichiers.

Authentification du mode groupe de travail

En mode groupe de travail, les utilisateurs sont définis localement sur le ZFSSA. Lorsqu'un client SMB se connecte à un ZFSSA en mode groupe de travail, les hachages du nom d'utilisateur et du mot de passe de cet utilisateur sont utilisés pour authentifier localement l'utilisateur.

Le niveau de compatibilité LAN Manager (LM) est utilisé pour spécifier le protocole utilisé pour l'authentification lorsque le ZFSSA est en mode groupe de travail.  

La liste suivante montre le comportement du ZFSSA pour chaque niveau de compatibilité LM :

• Niveau 2 : Accepte l'authentification LM, NTLM et NTLMv2

• Niveau 3 : Accepte l'authentification LM, NTLM et NTLMv2

• Niveau 4 : Accepte l'authentification NTLM et NTLMv2

• Niveau 5 : Accepte uniquement l'authentification NTLMv2.

Une fois que l'utilisateur du groupe de travail est authentifié avec succès, un contexte de sécurité est établi. Un SID unique est créé pour les utilisateurs définis sur le ZFSSA à l'aide d'une combinaison du SID de la machine et de l'UID de l'utilisateur. Tous les utilisateurs locaux sont définis comme utilisateurs UNIX.

Groupes locaux et privilèges

Les groupes locaux désignent des groupes d'utilisateurs de domaine qui confèrent des privilèges supplémentaires à ces utilisateurs. Les administrateurs peuvent contourner les autorisations d'accès aux fichiers pour modifier la propriété des fichiers. Les opérateurs de sauvegarde peuvent contourner les contrôles d'accès aux fichiers pour sauvegarder et restaurer des fichiers.

Opérations d'administration via la console MMC (Microsoft Management Console)

Pour garantir que seuls les utilisateurs appropriés ont accès aux opérations d'administration, les opérations exécutées à distance via la console MMC sont sujettes à un certain nombre de restrictions d'accès.

La liste suivante montre les utilisateurs et leurs opérations autorisées :

• Utilisateurs standard - Etablissement de listes de partages

• Membres du groupe Administrators - Etablissement de la liste des fichiers ouverts et des fichiers fermés, fermeture des connexions utilisateur, consultation du journal des services et du journal d'événements

• Les membres du groupe Administrators peuvent également définir/modifier les ACL de niveau de partage

• Membres du groupe Administrators - Etablissement de la liste des fichiers ouverts et des fichiers fermés, fermeture des connexions utilisateur, consultation du journal des services et du journal d'événements

Virus scan

Le service Virus Scan recherche des virus au niveau du système de fichiers. Lorsque vous accédez à un fichier par le biais de n'importe quel protocole, le service Virus scan commence par analyser le fichier. Si un virus est trouvé, l'accès au fichier est bloqué et il est mis en quarantaine. L'analyse est effectuée par un moteur externe que le ZFSSA contacte. Le moteur externe n'est pas inclus dans le logiciel ZFSSA.

Lorsqu'un fichier est analysé à l'aide des dernières définitions de virus, il n'est pas réanalysé jusqu'à sa nouvelle modification. L'analyse antivirus est fournie principalement pour les clients SMB qui sont susceptibles d'introduire des virus. Les clients NFS peuvent également utiliser l'analyse antivirus, mais en raison du fonctionnement du protocole NFS, un virus peut ne pas être détecté aussi rapidement qu'avec le client SMB.

Moteur temporisé pour les attaques temporelles

SMB n'implémente aucun moteur temporisé pour empêcher les attaques temporelles. Il repose sur une structure de chiffrement Solaris.

Chiffrement des données en simultané

Le service SMB utilise la version 1 du protocole SMB, qui ne prend pas en charge le chiffrement des données en simultané.