Cambiar el nivel de cifrado para el uso compartido de archivos en Windows

El uso compartido de archivos en Windows permite compartir archivos e impresoras en una red local. Windows usa cifrado de 128 bits para el intercambio local por defecto, pero puedes cambiar el nivel de cifrado si algún dispositivo requiere 40 o 56 bits.

Por qué reducir o aumentar el cifrado

128 bits es el estándar y es el más seguro de los citados aquí. Sin embargo, dispositivos antiguos (impresoras en red antiguas, equipos con sistemas operativos obsoletos o appliances heredados) a veces solo admiten cifrados DES de 40 o 56 bits. Si necesitas interoperabilidad con esos dispositivos, tendrás que bajar el nivel de cifrado.

Nota rápida: 128 bits es significativamente más seguro. Reducir el cifrado aumenta el riesgo de interceptación. Solo bajes el cifrado si es necesario y solo en redes de confianza.

Cambiar el cifrado desde Configuración avanzada de uso compartido

Sigue estos pasos en Windows 10 u 11:

1. Abre el menú Inicio y escribe advanced sharing settings o busca uso compartido en la aplicación Configuración.
2. Haz clic en Administrar configuración avanzada de uso compartido en los resultados. Esto abre el Panel de control en la sección correspondiente.
3. En la ventana del Panel de control, expande la sección Todas las redes para ver más opciones.

4. Localiza la sección Conexiones para compartir archivos y cambia el nivel de cifrado: el valor recomendado es 128 bits; selecciona 40 o 56 bits si el dispositivo remoto lo exige.
5. Guarda los cambios y cierra el Panel de control.

Consejo: Después de hacer el cambio, prueba la conexión desde el dispositivo antiguo para confirmar que ya puede acceder a las carpetas compartidas.

Importante: Reducir el cifrado deja las transferencias más expuestas. Considera segmentar la red (VLAN) o restringir el acceso solo a máquinas de confianza.

Cambiar el cifrado usando el Editor del Registro

Si la opción no está disponible en la Configuración avanzada o necesitas forzar el cambio, puedes editar el Registro. Hazlo con cuidado.

Antes de empezar: realiza una copia de seguridad del Registro. Si no lo haces, podrías dejar el sistema inestable.

SOP rápido para copia de seguridad del Registro:

• Abre el Editor del Registro (regedit) como administrador.
• Selecciona Equipo en la parte superior izquierda.
• En el menú Archivo, elige Exportar y guarda un .reg con fecha en un lugar seguro.

Pasos para cambiar el cifrado:

1. Abre el menú Inicio, escribe registry o regedit y ejecuta Editor del Registro.
2. Navega hasta la clave:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\MSV1_0

3. Con MSV1_0 seleccionado, en el panel derecho busca el valor DWORD NtlmMinClientSec y haz doble clic.

4. Cambia los datos del valor de 20000000 (valor por defecto para 128 bits) a 0 para permitir cifrados de 40/56 bits. Pulsa Aceptar.
5. Repite el mismo cambio para NtlmMinServerSec: cambia 20000000 a 0.
6. Cierra el Editor del Registro y reinicia el equipo si es necesario.

Para revertir al cifrado de 128 bits, vuelve a esos valores y cambia 0 por 20000000.

Cuándo esta técnica puede fallar

• El dispositivo remoto usa protocolos distintos a NTLM (por ejemplo, solo SMBv1 sin compatibilidad NTLM) y no negocia el cifrado esperado.
• Políticas de grupo (GPO) en dominios corporativos fuerzan valores que sobrescriben los cambios locales.
• Protección antivirus/endpoint o reglas de firewall bloquean cambios en el Registro o el tráfico SMB.

Si ocurre alguno de estos casos, consulta con el administrador de red o revisa GPOs en el controlador de dominio.

Alternativas y mitigaciones

• Actualizar el firmware o sistema operativo del dispositivo antiguo para admitir 128 bits.
• Usar un gateway o puente que haga la traducción de protocolos y mantenga seguridad en la red principal.
• Crear una red separada (VLAN) para dispositivos antiguos y limitar su acceso a recursos críticos.

Lista de verificación por rol

Administrador de red:

• Hacer copia de seguridad de las políticas de dominio y del Registro.
• Documentar cambios y equipos afectados.
• Probar con cuentas limitadas antes de aplicar globalmente.

Usuario doméstico o técnico en sitio:

• Verificar versión del dispositivo antiguo.
• Probar compartir desde un PC con el nuevo ajuste antes de desplegar.
• Restaurar valores si aparecen problemas.

Prueba rápida y criterios de aceptación

• El dispositivo antiguo puede listar y abrir archivos en la carpeta compartida.
• No hay errores persistentes en el Visor de eventos relacionados con autenticación NTLM.
• Después de revertir a 128 bits, los dispositivos modernos siguen conectándose correctamente.

Mini-metodología para decidir la acción correcta

1. Identifica el dispositivo y la versión del sistema que requiere el cifrado antiguo.
2. Intenta actualizar su firmware/OS. Si es viable, actualiza y mantén 128 bits.
3. Si no es viable, decide entre bajar el cifrado localmente o aislar el dispositivo en una VLAN.
4. Implementa cambios con copia de seguridad y verifica la conexión.

Caja de hechos clave

• Nivel por defecto en Windows: 128 bits.
• Valores del Registro relevantes: NtlmMinClientSec y NtlmMinServerSec.
• Valor por defecto para 128 bits: 20000000. Para permitir 40/56 bits: 0.

Glosario rápido

• NTLM: Protocolo de autenticación usado históricamente en Windows.
• SMB: Protocolo de compartición de archivos en redes Windows.
• DWORD: Tipo de valor en el Registro de Windows (32 bits).

Riesgos y mitigaciones

Riesgo: Exposición de datos en la LAN al bajar cifrado. Mitigación: Limitar acceso por firewall, usar VLANs y credenciales fuertes.

Riesgo: Cambios en el Registro que provoquen inestabilidad. Mitigación: Exportar copia del Registro y probar en una máquina no crítica.

Resumen

Si necesitas interoperar con hardware antiguo, puedes bajar el cifrado de 128 a 40/56 bits desde Configuración avanzada de uso compartido o mediante el Editor del Registro cambiando NtlmMinClientSec y NtlmMinServerSec a 0. Siempre realiza una copia de seguridad del Registro, documenta los cambios y considera alternativas más seguras como actualizar el dispositivo o aislarlo en una red separada.

Nota: Mantén la seguridad: reduce el cifrado solo mientras sea necesario y en entornos controlados.