SMB-Port - und Erklärung der Ports 445 und 139

SMB, die Abkürzung für den englischen Begriff „Server Message Block", ist ein universelles Protokoll. Es stellt innerhalb eines Computernetzwerks unterschiedliche Dienste bereit, etwa Druck- und Dateidienste.

Das Protokoll hat eine lange Historie und weist in den Ur-Versionen Sicherheitsprobleme auf. Deshalb sollte der SMB-Port nie aus dem Internet erreichbar sein.

Die beiden relevanten Ports auf einen Blick:

• Port 139 wird von der älteren NetBIOS-Variante genutzt.
• Port 445 wird ab SMB 1.0 verwendet und kommt ohne NetBIOS-Adapter aus.

Entstehung des SMB-Ports und Versionen

Der Server Message Block ist so alt, dass es schon vor der Entwicklung der bekannten TCP/IP-Transportvermittlung eine Version für den Vorgänger NetBIOS gab. Mit der Verbreitung von TCP/IP wurde immer ein Adapter benötigt, weil SMB nur auf den NetBIOS-Betrieb ausgelegt war.

Im Jahr 2000 entwickelte Microsoft die erste Version von SMB 1.0, ausgeliefert mit Windows Desktop und Windows Server. Sie kam ohne NetBIOS-Adapter aus, was die Kommunikation schneller machte. Für die ältere Variante wird der SMB-Port 139 verwendet, ab Version 1.0 der Port 445.

Die weitere Entwicklung in Kürze:

• SMB 2.0 kam mit Windows Vista.
• SMB 3.0 ist die aktuelle Version.
• Samba ist die freie, parallel entwickelte Implementierung.

Samba ist anders als die Microsoft-Variante plattformübergreifend, also auch unter Linux einsetzbar. Damit lässt sich zum Beispiel von einem Linux-Desktop auf eine SMB-Freigabe eines Windows-Servers zugreifen und umgekehrt.

SMB-Port als Sicherheitslücke

2017 kam es zum weitverbreiteten Angriff der Schadsoftware WannaCry. Sie nutzte eine Sicherheitslücke in SMB 1.0, um sich innerhalb eines Windows-Netzwerks weiter zu verbreiten.

Microsoft hat alle gängigen Betriebssysteme mit einem Patch versorgt, und ab Windows 10 (1709) wird SMB 1.0 nicht mehr mitinstalliert.

Zwei Punkte bleiben trotzdem kritisch:

• Altgeräte im Netz: Bei älterer Hardware wie Netzwerkfestplatten gibt es teilweise keine neuere Version und keine Aktualisierung des Herstellers. Dann hilft nur eine Neuanschaffung.
• Neuere Versionen sind nicht garantiert sicher: Auch in SMB 2.0 oder 3.0 können Sicherheitslücken stecken.

Sensible Datenfreigaben über den SMB-Port gehören deshalb nicht ins Internet. Ein eigenes VPN ist die bessere Lösung.

VPN als Lösung

Wer eine Fritz!Box besitzt, kann darüber einen verschlüsselten VPN-Zugang im eigenen Netzwerk aufbauen. Dabei kommen verschiedene kryptographische Algorithmen zum Einsatz.

Einmal im VPN angemeldet, lässt sich auf das gesamte Heim- oder Unternehmensnetzwerk zugreifen, das die Fritz!Box erreicht. Dazu zählt auch ein Server mit einer SMB-Freigabe.

Ohne Fritz!Box tut es ein günstiger Einplatinencomputer wie ein Raspberry Pi. Mit etwas technischem Verständnis lässt er sich zu einem VPN-Zugangspunkt umbauen. Er dient dann als eine Art Vermittler und stellt die Verbindung zum SMB-Server über das Internet her.

Die folgende Darstellung zeigt das vereinfacht: Ein Smartphone möchte Fotos vom Heimserver abrufen. Der Router hat den SMB-Port nicht geöffnet, Angriffe aus dem Internet auf den Server sind damit nicht möglich.

Welche SMB-Version läuft auf Port 445 in meinem Netz?

Der letzte Schritt ist herauszufinden, welches Gerät im Netzwerk welche SMB-Version unterstützt. Dafür eignet sich die Netzwerkanalyse-App „nmap". Wer den Umgang mit der Konsole nicht gewohnt ist, nutzt unter Windows die grafische Oberfläche „zenmap".

Der Befehl dafür lautet:

nmap -p 445 --script smb-protocols [IP-Adresse]

Das folgende Bild zeigt beispielhaft eine Anfrage an eine FritzBox 7590.

Fazit

SMB ist ein starkes Protokoll für die Datenübertragung und dient in fast jedem Windows-Netzwerk der Datenübermittlung zwischen Computern. Drei Punkte sollten Sie beachten:

1. Aktuelle Updates installieren, denn die Vergangenheit hat Sicherheitslücken aufgezeigt.
2. Die Ports 445 und 139 niemals ins Internet freischalten.
3. Zugriff von außen ausschließlich über ein VPN erlauben.