Come attivare o disattivare il requisito di crittografia del client SMB in Windows 11

SMB, acronimo di Server Message Block, è un protocollo fondamentale usato dai sistemi Windows per condividere file, stampanti e porte seriali in rete. In sostanza, è un protocollo client-server: tu (il client) richiedi l’accesso a file o ad altre risorse su un server e il server risponde fornendo l’accesso richiesto.

Come puoi immaginare, questo può rappresentare una vulnerabilità di sicurezza, soprattutto negli ambienti IT gestiti. L’impostazione SMB client encryption requirement di Windows 11 (versione 24H2 o successiva) impone la crittografia per tutte le connessioni client SMB in uscita. Questa caratteristica permette agli amministratori IT di garantire che i dati sensibili siano protetti da intercettazioni e accessi non autorizzati, in particolare su reti pubbliche o non attendibili.

Per una guida visiva, guarda il nostro video: Come attivare o disattivare il requisito di crittografia del client SMB in Windows 11.

📌 Strategie di distribuzione consigliate:

Fai clic per scegliere un metodo	💻 Ideale per singoli utenti	💻💻💻 Ideale per le aziende enterprise
Metodo 1: con PowerShell	✓	✓
Metodo 2: con i Criteri di gruppo		✓
Metodo 3: con l’Editor del Registro di sistema	✓	✓
Metodo 4: esempio di file .reg	✓	✓

Come configurare il requisito di crittografia del client SMB in Windows 11

Metodo 1: con PowerShell (consigliato)

📌 Casi d’uso: ideale per distribuzioni tramite script, configurazioni manuali o amministrazione da remoto

📌 Prerequisiti:

• Devi disporre dei privilegi di amministratore.
• Serve SMB v.3.0+ sia sul client sia sul server.
• La policy di esecuzione di PowerShell deve consentire l’esecuzione di comandi e script.
• Di norma non serve riavviare, ma è buona prassi farlo dopo una modifica.
• Ti consigliamo di iscriverti a questo corso intensivo gratuito: PowerShell for IT Ninjas.

Passaggi:

1. Apri PowerShell con privilegi elevati.
2. Esegui uno dei comandi seguenti.

Per attivare la crittografia obbligatoria del client SMB:

Set-SmbClientConfiguration -RequireEncryption $true

Per disattivare la crittografia obbligatoria del client SMB:

Set-SmbClientConfiguration -RequireEncryption $false

Per verificare la configurazione attuale:

Get-SmbClientConfiguration

Cerca il campo RequireEncryption nell’output per capire se la crittografia è attualmente obbligatoria. In alternativa, puoi eseguire direttamente uno dei comandi seguenti:

Get-SmbClientConfiguration | Format-List -Property RequireEncryption

Metodo 2: con i Criteri di gruppo (distribuzione enterprise)

📌 Casi d’uso: ideale per distribuzioni su scala enterprise su più sistemi aggiunti al dominio.

📌 Prerequisiti:

• Serve una macchina aggiunta al dominio.
• È necessario l’accesso come amministratore all’Editor Criteri di gruppo.
• I sistemi devono supportare l’applicazione dei Criteri di gruppo.
• Serve anche SMB v.3.0+.

Passaggi:

1. Premi Win + R, digita gpedit.msc e premi Invio.
2. Vai su Configurazione del computer > Modelli amministrativi > Rete > Lanman Workstation.
3. Individua Encrypt all SMB client connections oppure Require Encryption (a seconda della build di Windows 11) e fai doppio clic sulla voce.
   • Impostala su Abilitato per imporre la crittografia a tutte le connessioni client.
   • Impostala su Disabilitato o Non configurato per consentire connessioni non crittografate.
4. Fai clic su OK e applica le modifiche.
5. Apri il Prompt dei comandi con privilegi elevati ed esegui gpupdate /force per rendere immediatamente effettivo il criterio. In alternativa, riavvia il computer.

Metodo 3: con l’Editor del Registro di sistema

📌 Casi d’uso: adatto a modifiche manuali, ambienti offline o ambienti senza accesso ai Criteri di gruppo.

📌 Prerequisiti:

• Devi disporre dei privilegi di amministratore.
• È preferibile avere esperienza nella modifica del registro di sistema.
• Serve SMB versione 3.0+.
• Ti consigliamo di eseguire un backup del registro di sistema prima di procedere. Configurazioni errate possono causare instabilità del sistema.

Passaggi:

1. Premi Win + R, digita regedit e premi Invio.
2. Vai alla chiave seguente: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanmanWorkstation\Parameters
3. Crea o modifica il valore DWORD (32 bit) RequireEncryption:
   • Imposta il valore su 1 per rendere obbligatoria la crittografia.
   • Imposta il valore su 0 per disattivare il requisito (impostazione predefinita).
4. Per applicare le modifiche, riavvia il computer.

Metodo 4: esempio di file .reg

📌 Casi d’uso: ideale per distribuzioni semplici in cui non servono script ma l’automazione resta utile.

📌 Prerequisiti:

• Questo metodo richiede i privilegi di amministratore.
• L’utente deve avere l’autorizzazione per unire i file .reg.
• Per applicare le modifiche serve un riavvio manuale oppure la disconnessione e riconnessione.
• Ti consigliamo di eseguire un backup del registro di sistema prima di procedere. Configurazioni errate possono causare instabilità del sistema.

Passaggi:

Per attivare la crittografia:

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanmanWorkstation\Parameters]

"RequireEncryption"=dword:00000001

Per disattivare la crittografia:

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanmanWorkstation\Parameters]

"RequireEncryption"=dword:00000000

Altri aspetti da considerare quando modifichi il requisito di crittografia SMB

• Compatibilità: attivare l’impostazione RequireEncryption significa che qualsiasi server SMB privo di supporto alla crittografia verrà rifiutato. Questo può avere conseguenze sui sistemi legacy.
• Prestazioni: la crittografia introduce un certo overhead, soprattutto negli ambienti con throughput elevato. Verifica l’impatto negli scenari critici per le prestazioni prima di distribuzioni su larga scala.
• Firma SMB: mentre la firma SMB verifica l’integrità dei dati, la crittografia protegge anche dalle intercettazioni. Attivare la crittografia rende di fatto superflua la firma. Detto questo, è importante ricordare che Windows 11 (versione 24H2) Enterprise, Pro ed Education ora richiedono per impostazione predefinita la firma SMB sia in entrata sia in uscita.
• SMB v1: questo protocollo legacy non supporta la crittografia ed è deprecato. Per motivi di sicurezza, dovrebbe essere disattivato in tutti gli ambienti moderni. (Per maggiori informazioni, consulta Come attivare o disattivare il protocollo di condivisione file SMB1 in Windows.)

⚠️ Aspetti da tenere d’occhio

Rischi	Possibili conseguenze	Come tornare indietro
Attivare la crittografia sui client quando il server non la supporta	Errori di connessione; impossibilità di accedere alle condivisioni SMB	Disattiva RequireEncryption tramite PowerShell, Criteri di gruppo o Registro di sistema di Windows.
Usare i Criteri di gruppo in ambienti con OS eterogenei	Il criterio potrebbe non essere applicato correttamente o addirittura interrompere le connessioni con i client non supportati.	Riporta l’impostazione del GPO su Non configurato o Disabilitato ed esegui gpupdate /force nel Prompt dei comandi con privilegi elevati.
Modificare il registro di sistema in modo errato	Può causare instabilità del sistema o interrompere la condivisione file	Esegui un backup del registro di sistema prima di procedere. Se il problema si presenta dopo la modifica, prova a ripristinare il backup o a reimpostare il DWORD su 0.
Imporre la crittografia su reti legacy	Può compromettere la compatibilità con NAS (Network Attached Storage) o sistemi Windows meno recenti	Valuta distribuzioni graduali o eccezioni dove necessario.

Migliora la sicurezza dei dati con la crittografia del client SMB

Imporre la crittografia del client SMB è un modo efficace per proteggere la condivisione file in rete negli ambienti Windows 11. Che tu gestisca un singolo endpoint o distribuisca policy in tutta un’azienda enterprise, rendere obbligatoria la crittografia rafforza la sicurezza dei dati e aiuta a garantire la conformità.

Argomenti correlati:

• Che cos’è SMB (Server Message Block)?
• Che cos’è la crittografia dei file?
• Come disattivare SMBv1 (Server Message Block Protocol) con PowerShell