El bloque de mensajes del servidor ( SMB ) es un protocolo de comunicación [1] que se utiliza para compartir archivos, impresoras, puertos serie y comunicaciones diversas entre nodos de una red . En Microsoft Windows , la implementación SMB consta de dos servicios de Windows con nombres vagos : "Servidor" (ID LanmanServer:) y "Estación de trabajo" (ID:) LanmanWorkstation. [2] Utiliza protocolos NTLM o Kerberos para la autenticación de usuarios. También proporciona un mecanismo de comunicación entre procesos (IPC) autenticado.
SMB fue desarrollado originalmente en 1983 por Barry A. Feigenbaum en IBM [3] para compartir el acceso a archivos e impresoras a través de una red de sistemas que ejecutan OS/2 de IBM . En 1987, Microsoft y 3Com implementaron SMB en LAN Manager para OS/2, momento en el que SMB utilizó el servicio NetBIOS sobre el protocolo NetBIOS Frames como transporte subyacente. Posteriormente, Microsoft implementó SMB en Windows NT 3.1 y lo ha estado actualizando desde entonces, adaptándolo para que funcione con transportes subyacentes más nuevos: TCP/IP y NetBT . SMB sobre QUIC se introdujo en Windows Server 2022.
En 1996, Microsoft publicó una versión de SMB 1.0 [4] con modificaciones menores bajo el nombre de Sistema de archivos común de Internet ( CIFS / s ɪ f s / ). CIFS era compatible incluso con la encarnación más antigua de SMB, incluida la de LAN Manager . [4] Admite enlaces simbólicos, enlaces físicos y archivos de mayor tamaño, pero ninguna de las características de SMB 2.0 y posteriores. [4] [5] La propuesta de Microsoft, sin embargo, siguió siendo un borrador de Internet y nunca alcanzó el estatus de estándar. [6] Desde entonces, Microsoft ha descontinuado el apodo CIFS pero continúa desarrollando SMB y publicando especificaciones posteriores. Samba es una reimplementación de software gratuito del protocolo SMB y sus extensiones de Microsoft.
El bloque de mensajes del servidor (SMB) permite compartir archivos , compartir impresoras , explorar la red y comunicarse entre procesos (a través de canalizaciones con nombre ) a través de una red informática . SMB sirve como base para la implementación del sistema de archivos distribuido de Microsoft .
SMB depende de los protocolos TCP e IP para el transporte. Esta combinación permite compartir archivos a través de redes interconectadas complejas , incluida la Internet pública. El componente del servidor SMB utiliza el puerto TCP 445. SMB originalmente operaba en NetBIOS sobre IEEE 802.2 ( NetBIOS Frames o NBF) y sobre IPX/SPX , y más tarde en NetBIOS sobre TCP/IP (NetBT), pero desde entonces Microsoft ha dejado de utilizar estos protocolos. En NetBT, el componente del servidor utiliza tres puertos TCP o UDP : 137 (servicio de nombres NETBIOS), 138 (servicio de datagramas NETBIOS) y 139 (servicio de sesiones NETBIOS).
En Microsoft Windows, dos servicios de Windows con nombres vagos implementan SMB. El servicio "Servidor" (ID:) LanmanServeres el encargado de atender los recursos compartidos . El servicio "Estación de trabajo" (ID:) LanmanWorkstationmantiene el nombre de la computadora y ayuda a acceder a recursos compartidos en otras computadoras. [2] SMB utiliza el protocolo Kerberos para autenticar usuarios en Active Directory en redes de dominio de Windows . En redes peer-to-peer más simples, SMB utiliza el protocolo NTLM .
Windows NT 4.0 SP3 y posteriores pueden firmar digitalmente mensajes SMB para evitar algunos ataques de intermediario . [7] [8] [9] La firma SMB se puede configurar individualmente para conexiones SMB entrantes (mediante el servicio "LanmanServer") y conexiones SMB salientes (mediante el servicio "LanmanWorkstation"). La configuración predeterminada para los controladores de dominio de Windows que ejecutan Windows Server 2003 y versiones posteriores es no permitir conexiones entrantes sin firmar. [10] Como tal, las versiones anteriores de Windows que no admiten la firma SMB desde el principio (incluido Windows 9x ) no pueden conectarse a un controlador de dominio de Windows Server 2003. [8]
SMB admite el bloqueo oportunista (ver más abajo) en archivos para mejorar el rendimiento. La compatibilidad con el bloqueo oportunista ha cambiado con cada versión de Windows Server.
En el protocolo SMB, el bloqueo oportunista es un mecanismo diseñado para mejorar el rendimiento mediante el control del almacenamiento en caché de los archivos de red por parte del cliente. [11] A diferencia de los bloqueos tradicionales , los bloqueos oportunistas (OpLocks) no son estrictamente un bloqueo de archivos ni se utilizan para proporcionar exclusión mutua.
Hay cuatro tipos de cerraduras oportunistas.
El uso del protocolo SMB a menudo se ha correlacionado con un aumento significativo del tráfico de transmisión en una red. Sin embargo, el SMB en sí no utiliza transmisiones; los problemas de transmisión comúnmente asociados con SMB en realidad se originan en el protocolo de ubicación del servicio NetBIOS . [ se necesita aclaración ] De forma predeterminada, un servidor Microsoft Windows NT 4.0 utilizaba NetBIOS para anunciar y localizar servicios. NetBIOS funciona transmitiendo servicios disponibles en un host particular a intervalos regulares. Si bien esto generalmente constituye un valor predeterminado aceptable en una red con una cantidad menor de hosts, el aumento del tráfico de transmisión puede causar problemas a medida que aumenta la cantidad de hosts en la red. La implementación de una infraestructura de resolución de nombres en forma de Servicio de nombres de Internet de Windows (WINS) o Sistema de nombres de dominio (DNS) resuelve este problema. WINS era una implementación propietaria utilizada con redes Windows NT 4.0, pero generaba sus propios problemas y complejidades en el diseño y mantenimiento de una red Microsoft.
Desde el lanzamiento de Windows 2000, Microsoft ha dejado de utilizar WINS para la resolución de nombres, y ahora el DNS dinámico jerárquico está configurado como el protocolo de resolución de nombres predeterminado para todos los sistemas operativos Windows. La resolución de nombres NetBIOS (cortos) mediante DNS requiere que un cliente DNS expanda los nombres cortos, generalmente agregando un sufijo DNS específico de la conexión a sus consultas de búsqueda de DNS. WINS aún se puede configurar en los clientes como un protocolo secundario de resolución de nombres para la interoperabilidad con entornos y aplicaciones heredados de Windows. Además, los servidores DNS de Microsoft pueden reenviar solicitudes de resolución de nombres a servidores WINS heredados para admitir la integración de la resolución de nombres con entornos heredados (anteriores a Windows 2000) que no admiten DNS.
Los diseñadores de redes han descubierto que la latencia tiene un impacto significativo en el rendimiento del protocolo SMB 1.0, ya que funciona peor que otros protocolos como FTP . El monitoreo revela un alto grado de "charla" y un desprecio por la latencia de la red entre hosts. [13] Por ejemplo, una conexión VPN a través de Internet a menudo introducirá latencia en la red. Microsoft ha explicado que los problemas de rendimiento surgen principalmente porque SMB 1.0 es un protocolo de nivel de bloque en lugar de un protocolo de transmisión , que fue diseñado originalmente para LAN pequeñas ; tiene un tamaño de bloque limitado a 64 K, la firma SMB crea una sobrecarga adicional y el tamaño de la ventana TCP no está optimizado para enlaces WAN. [14] Las soluciones a este problema incluyen el protocolo SMB 2.0 actualizado, [15] Archivos sin conexión , escalado de ventanas TCP y dispositivos de optimización WAN de varios proveedores de redes que almacenan en caché y optimizan SMB 1.0 [16] y 2.0. [17]
Barry Feigenbaum diseñó originalmente SMB en IBM a principios de 1983 con el objetivo de convertir el acceso a archivos locales DOS INT 21h en un sistema de archivos en red. [3] Microsoft realizó modificaciones considerables a la versión más utilizada e incluyó soporte SMB en el sistema operativo LAN Manager que había comenzado a desarrollar para OS/2 con 3Com alrededor de 1990. [18] [19] [20] Microsoft continuó agregando características al protocolo en Windows para Trabajo en Grupo ( c. 1992 ) y en versiones posteriores de Windows. La autenticación de LAN Manager se implementó basándose en el requisito de la especificación SMB heredada original de utilizar contraseñas de "LAN Manager" de IBM, pero implementó DES de una manera defectuosa que permitió descifrar las contraseñas. [21] Posteriormente, también se agregó la autenticación Kerberos . Los protocolos de inicio de sesión de dominio de Windows utilizaron inicialmente cifrado de 40 bits fuera de los Estados Unidos , debido a restricciones de exportación sobre un cifrado más fuerte de 128 bits [22] (posteriormente levantado en 1996 cuando el presidente Bill Clinton firmó la Orden Ejecutiva 13026 [23] ).
SMB 1.0 (o SMB1) se diseñó originalmente para ejecutarse en NetBIOS Frames (NetBIOS sobre IEEE 802.2 ). Desde entonces, se ha adaptado a NetBIOS sobre IPX/SPX (NBX) y NetBIOS sobre TCP/IP (NetBT). Además, desde Windows 2000 , SMB se ejecuta en TCP utilizando el puerto TCP 445, una característica conocida como "SMB de host directo". [24] Todavía hay una capa delgada (similar al paquete de mensajes de sesión del servicio de sesión de NetBT) entre SMB y TCP. [24] Windows Server 2003 y los dispositivos NAS heredados utilizan SMB1 de forma nativa.
SMB1 es un protocolo extremadamente hablador, lo que no supone un problema en una red de área local (LAN) con baja latencia. Se vuelve muy lento en redes de área amplia (WAN), ya que el protocolo de enlace de ida y vuelta del protocolo magnifica la alta latencia inherente de dicha red. Las versiones posteriores del protocolo redujeron la gran cantidad de intercambios de apretones de manos. Un enfoque para mitigar las ineficiencias en el protocolo es utilizar productos de optimización de WAN como los proporcionados por Riverbed , Silver Peak o Cisco . Un mejor enfoque es actualizar a una versión posterior de SMB. Esto incluye actualizar tanto los dispositivos NAS como Windows Server 2003. El método más eficaz para identificar el tráfico SMB1 es con una herramienta de análisis de red, como Wireshark . Microsoft también proporciona una herramienta de auditoría en Windows Server 2016 para rastrear dispositivos que usan SMB1. [25]
Microsoft marcó SMB1 como obsoleto en junio de 2013. [26] Windows Server 2016 y Windows 10 versión 1709 no tienen SMB1 instalado de forma predeterminada. [27]
En 1996, cuando Sun Microsystems anunció WebNFS , [28] Microsoft lanzó una iniciativa para cambiar el nombre de SMB a Common Internet File System (CIFS) [3] y agregó más características, incluyendo soporte para enlaces simbólicos , enlaces duros , archivos de mayor tamaño y una Intento inicial de admitir conexiones directas a través del puerto TCP 445 sin requerir NetBIOS como transporte (un esfuerzo en gran medida experimental que requirió mayor refinamiento). Microsoft presentó algunas especificaciones parciales como borradores de Internet al IETF . [6] Estas presentaciones han expirado desde entonces.
Microsoft introdujo una nueva versión del protocolo (SMB 2.0 o SMB2) en 2006 con Windows Vista y Windows Server 2008 . [29] Aunque el protocolo es propietario, su especificación se ha publicado para permitir que otros sistemas interoperen con los sistemas operativos de Microsoft que utilizan el nuevo protocolo. [30]
SMB2 reduce la "charla" del protocolo SMB 1.0 al reducir el número de comandos y subcomandos de más de cien a sólo diecinueve. [13] Tiene mecanismos de canalización , es decir, enviar solicitudes adicionales antes de que llegue la respuesta a una solicitud anterior, mejorando así el rendimiento en enlaces de alta latencia . Agrega la capacidad de combinar múltiples acciones en una sola solicitud, lo que reduce significativamente la cantidad de viajes de ida y vuelta que el cliente necesita realizar al servidor, mejorando como resultado el rendimiento. [13] SMB1 también tiene un mecanismo de composición, conocido como AndX, para combinar múltiples acciones, pero los clientes de Microsoft rara vez usan AndX. [ cita necesaria ] También introduce la noción de "identificadores de archivos duraderos": estos permiten que una conexión a un servidor SMB sobreviva breves cortes de red, como son típicos en una red inalámbrica, sin tener que incurrir en los gastos generales de renegociar un nuevo sesión.
SMB2 incluye soporte para enlaces simbólicos . Otras mejoras incluyen el almacenamiento en caché de las propiedades de los archivos, la firma de mensajes mejorada con el algoritmo hash HMAC SHA-256 y una mejor escalabilidad al aumentar la cantidad de usuarios, recursos compartidos y archivos abiertos por servidor, entre otras. [13] El protocolo SMB1 utiliza tamaños de datos de 16 bits, lo que, entre otras cosas, limita el tamaño máximo de bloque a 64K. SMB2 utiliza campos de almacenamiento de 32 o 64 bits de ancho y 128 bits en el caso de identificadores de archivos , eliminando así las restricciones anteriores sobre el tamaño de los bloques, lo que mejora el rendimiento con transferencias de archivos grandes en redes rápidas. [13]
Los sistemas operativos Windows Vista/ Server 2008 y posteriores utilizan SMB2 cuando se comunican con otras máquinas que también pueden utilizar SMB2. SMB1 continúa utilizándose para conexiones con versiones anteriores de Windows, así como para soluciones NAS de varios proveedores . Samba 3.5 también incluye soporte experimental para SMB2. [31] Samba 3.6 es totalmente compatible con SMB2, excepto la modificación de las cuotas de usuario utilizando las herramientas de gestión de cuotas de Windows. [32]
Cuando se introdujo SMB2, trajo una serie de beneficios sobre SMB1 para los implementadores externos de protocolos SMB. SMB1, originalmente diseñado por IBM , fue sometido a ingeniería inversa y luego pasó a formar parte de una amplia variedad de sistemas operativos distintos de Windows, como Xenix , OS/2 y VMS ( Pathworks ). X/Open lo estandarizó parcialmente; Microsoft había presentado borradores de Internet que describen SMB2 al IETF , en parte en respuesta a la estandarización formal del IETF de la versión 4 del Network File System en diciembre de 2000 como IETF RFC 3010; [33] sin embargo, esos borradores de Internet relacionados con las PYMES expiraron sin lograr ninguna aprobación de seguimiento de estándares del IETF ni ningún otro respaldo del IETF. (Consulte http://ubiqx.org/cifs/Intro.html para obtener detalles históricos). SMB2 también supone una ruptura relativamente clara con el pasado. El código SMB1 de Microsoft tiene que funcionar con una gran variedad de clientes y servidores SMB. SMB1 presenta muchas versiones de información para comandos (seleccionando qué estructura devolver para una solicitud en particular) porque características como la compatibilidad con Unicode se adaptaron posteriormente. SMB2 implica pruebas de compatibilidad significativamente reducidas para los implementadores del protocolo. El código SMB2 tiene una complejidad considerablemente menor ya que existe mucha menos variabilidad (por ejemplo, las rutas de código que no son Unicode se vuelven redundantes ya que SMB2 requiere soporte Unicode).
Apple migró a SMB2 (desde su propio Apple Filing Protocol , ahora heredado) comenzando con OS X 10.9 "Mavericks" . [34] Sin embargo, esta transición estuvo plagada de problemas de compatibilidad. [35] [36] El soporte no predeterminado para SMB2 apareció de hecho en OS X 10.7, cuando Apple abandonó Samba en favor de su propia implementación SMB llamada SMBX. [34] Apple cambió a su propia implementación SMBX después de que Samba adoptara GPLv3 . [37] [38] MacOS también ha sido compatible con el sistema de archivos de red (NFS) IETF durante muchos años (y continúa haciéndolo a partir de 2021).
El sistema de archivos del cliente CIFS del kernel de Linux tiene soporte SMB2 desde la versión 3.7. [39]
SMB 2.1, introducido con Windows 7 y Server 2008 R2, introdujo mejoras menores en el rendimiento con un nuevo mecanismo de bloqueo oportunista. [40]
SMB 3.0 (anteriormente llamado SMB 2.2) [41] se introdujo con Windows 8 [41] y Windows Server 2012 . [41] Trajo varios cambios significativos destinados a agregar funcionalidad y mejorar el rendimiento de SMB2, [42] especialmente en los centros de datos virtualizados :
También introduce varias mejoras de seguridad, como cifrado de extremo a extremo y un nuevo algoritmo de firma basado en AES . [47] [48]
SMB 3.0.2 (conocido como 3.02 en ese momento) se introdujo con Windows 8.1 y Windows Server 2012 R2; [49] [50] en esas versiones y en versiones posteriores, la versión 1 anterior de SMB se puede desactivar opcionalmente para aumentar la seguridad. [51] [52]
SMB 3.1.1 se introdujo con Windows 10 y Windows Server 2016 . [53] Esta versión admite el cifrado AES-128 GCM además del cifrado AES-128 CCM agregado en SMB3 e implementa una verificación de integridad de autenticación previa mediante hash SHA-512 . SMB 3.1.1 también hace obligatoria la negociación segura al conectarse a clientes que utilizan versiones SMB que la admiten. [54]
Las especificaciones para SMB son propietarias e inicialmente se cerraron, lo que obligó a otros proveedores y proyectos a aplicar ingeniería inversa al protocolo para interoperar con él. El protocolo SMB 1.0 finalmente se publicó algún tiempo después de que se le aplicara ingeniería inversa, mientras que el protocolo SMB 2.0 estuvo disponible en el Centro de desarrolladores de especificaciones abiertas de Microsoft desde el principio. [55]
En 1991, Andrew Tridgell inició el desarrollo de Samba, una reimplementación de software libre (mediante ingeniería inversa ) del protocolo de red SMB/CIFS para sistemas tipo Unix , inicialmente para implementar un servidor SMB que permitiera a los clientes de PC ejecutar DEC Pathworks. cliente para acceder a archivos en máquinas SunOS . [3] [56] Debido a la importancia del protocolo SMB al interactuar con la plataforma generalizada Microsoft Windows , Samba se convirtió en una implementación de software libre popular de un cliente y servidor SMB compatible para permitir sistemas operativos que no son Windows, como los tipo Unix. sistemas operativos, para interoperar con Windows.
A partir de la versión 3 (2003), Samba proporciona servicios de archivos e impresión para clientes de Microsoft Windows y puede integrarse con un dominio de servidor Windows NT 4.0 , ya sea como controlador de dominio primario (PDC) o como miembro de dominio. Las instalaciones de Samba4 pueden actuar como un controlador de dominio de Active Directory o un servidor miembro, en los niveles funcionales de dominio y bosque de Windows 2008. [57]
Los administradores de paquetes en distribuciones de Linux pueden buscar el paquete cifs-utils . El paquete es de los mantenedores de Samba.
NSMB (Netsmb y SMBFS) es una familia de implementaciones de clientes SMB en el kernel en sistemas operativos BSD. Boris Popov contribuyó por primera vez a FreeBSD 4.4 y ahora se encuentra en una amplia gama de otros sistemas BSD, incluidos NetBSD y macOS . [58] Las implementaciones han divergido significativamente desde entonces. [59]
La versión macOS de NSMB se destaca por su esquema ahora común de representación de enlaces simbólicos. Este formato "Minshall-French" muestra enlaces simbólicos como archivos de texto con una .symlinkextensión y un Xsym\nnúmero mágico, siempre de 1067 bytes de longitud. Este formato también se utiliza para almacenar enlaces simbólicos en servidores SMB nativos o sistemas de archivos no compatibles. Samba admite este formato con una mfsymlinkopción. [60] Docker en Windows también parece usarlo. [ cita necesaria ]
NQ es una familia de implementaciones de servidores y clientes portátiles para PYMES desarrolladas por Visuality Systems, una empresa con sede en Israel fundada en 1998 por Sam Widerman, ex director ejecutivo de Siemens Data Communications. La familia NQ comprende una pila SMB integrada (escrita en C), un cliente SMB Pure Java y una implementación de servidor SMB de almacenamiento. Todas las soluciones son compatibles con el último dialecto SMB 3.1.1. NQ para Linux, NQ para WinCE, iOS, Android, VxWorks y otros sistemas operativos en tiempo real son compatibles con la solución NQ configurable.
MoSMB es una implementación SMB patentada para Linux y otros sistemas similares a Unix , desarrollada por Ryussi Technologies. Solo es compatible con SMB 2.x y SMB 3.x. [61]
Fusion File Share de Tuxera es una implementación de servidor SMB patentada desarrollada por Tuxera que puede ejecutarse en el kernel o en el espacio del usuario . [62] Es compatible con SMB 3.1.1 y todas las versiones anteriores, además de funciones SMB avanzadas como disponibilidad continua (controles persistentes), escalabilidad horizontal, RDMA (SMB Direct), SMB multicanal, compresión transparente y instantáneas .
Asimismo, desarrolló una implementación CIFS/SMB (versiones 1.0, 2.0, 2.1 y NFS 3.0) en 2009 que proporcionó una plataforma multiprotocolo con reconocimiento de identidad para el acceso de red a archivos utilizados en productos de almacenamiento OEM creados en dispositivos basados en Linux/Unix. La plataforma podría usarse para dispositivos tradicionales NAS, Cloud Gateway y Cloud Caching para proporcionar acceso seguro a archivos a través de una red. Asimismo fue comprada por EMC Isilon en 2012.
CIFSD es una implementación de servidor CIFS/SMB en el kernel de código abierto para el kernel de Linux. Tiene las siguientes ventajas sobre las implementaciones en el espacio de usuario: proporciona un mejor rendimiento y facilita la implementación de algunas funciones como SMB Direct. Es compatible con SMB 3.1.1 y versiones anteriores.
A lo largo de los años, ha habido muchas vulnerabilidades de seguridad en la implementación por parte de Microsoft del protocolo o componentes en los que se basa directamente. [63] [64] Las vulnerabilidades de seguridad de otros proveedores radican principalmente en la falta de soporte para protocolos de autenticación más nuevos como NTLMv2 y Kerberos en favor de protocolos como NTLMv1, LanMan o contraseñas de texto sin formato . El seguimiento de ataques en tiempo real [65] muestra que SMB es uno de los principales vectores de ataque para intentos de intrusión, [66] por ejemplo, el ataque a Sony Pictures de 2014 , [67] y el ataque de ransomware WannaCry de 2017. [68] En 2020, Se revelaron dos vulnerabilidades de alta gravedad de SMB y se denominaron SMBGhost (CVE-2020-0796) y SMBleed (CVE-2020-1206), que cuando se encadenan juntas pueden proporcionar privilegios RCE (ejecución remota de código) al atacante. [69]
Este artículo aborda la [...] firma de mensajes del Bloque de mensajes del servidor (SMB).
Este mecanismo de seguridad en el protocolo SMB ayuda a evitar problemas como la manipulación de paquetes y ataques de "intermediario". [...] firma SMB está disponible en todas las versiones actualmente compatibles de Windows, pero sólo está habilitada de forma predeterminada en los controladores de dominio. Esto se recomienda para controladores de dominio porque SMB es el protocolo utilizado por los clientes para descargar información de políticas de grupo. La firma SMB proporciona una manera de garantizar que el cliente reciba una Política de grupo genuina.
De forma predeterminada, se requiere la firma SMB para las sesiones SMB entrantes en controladores de dominio basados en Windows Server 2003.