Modificare il livello di crittografia per la condivisione file in Windows 10/11

Windows permette di condividere file e stampanti su una rete locale. Di default la condivisione locale usa crittografia a 128 bit, che è più sicura. Alcuni dispositivi più vecchi però richiedono livelli inferiori (56 o 40 bit). Qui trovi istruzioni sicure e alternative pratiche.

Perché potresti voler ridurre o aumentare il livello di crittografia

La crittografia a 128 bit è lo standard moderno e protegge i file durante la condivisione locale. Tuttavia:

• Alcuni dispositivi legacy supportano solo crittografie DES a 56 bit o 40 bit.
• Ridurre la crittografia può rendere possibile la condivisione con questi dispositivi, ma aumenta il rischio di intercettazione.

Termine rapido: DES è un algoritmo di crittografia più vecchio; 128 bit indica una chiave più lunga e più sicura.

Important: preferisci sempre aggiornare o sostituire dispositivi che richiedono crittografie obsolete. Limitare la condivisione a reti fidate o usare VPN può mitigare i rischi.

Fatto rapido

• Crittografia comune: 128 bit (raccomandata)
• Livelli meno sicuri: 56 bit, 40 bit (compatibilità con dispositivi più vecchi)

Modificare il livello nelle Impostazioni avanzate di condivisione

Usa questa via se preferisci l’interfaccia grafica.

1. Apri il menu Start e digita “Impostazioni di condivisione avanzate”. Se non appare, cerca “condivisione” nell’app Impostazioni.
2. Clicca su “Gestisci impostazioni di condivisione avanzate” nei risultati.
3. Si aprirà il Pannello di controllo nella pagina delle Impostazioni avanzate di condivisione. Espandi la sezione “Tutte le reti” per vedere le opzioni dettagliate.

4. Trova la sezione “Connessioni di condivisione file”. Qui puoi scegliere tra la crittografia a 128 bit (raccomandata) o l’opzione che consente 40 o 56 bit per la compatibilità con dispositivi meno recenti.
5. Seleziona l’opzione appropriata, salva le modifiche e chiudi il Pannello di controllo.

Note: questa modifica influisce solo sulle connessioni SMB locali. Alcune applicazioni o servizi potrebbero ignorare l’impostazione se gestiscono la propria crittografia.

Modificare il livello nell’Editor del Registro di sistema

Se le Impostazioni avanzate non permettono la modifica (ad esempio in alcune edizioni di Windows o policy di gruppo), puoi cambiare i valori nel Registro. Procedi con cautela.

Prima di iniziare: esegui il backup del Registro di sistema. Una procedura rapida:

1. Apri il menu Start, digita “regedit” e avvia l’Editor del Registro di sistema.
2. Nel menu File scegli “Esporta” e salva una copia completa (scegli “Tutto”) in un percorso sicuro.

Passaggi per modificare i valori:

1. Apri l’Editor del Registro di sistema (regedit).

2. Vai alla chiave:

   HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\MSV1_0

3. Seleziona MSV1_0 e nel riquadro di destra trova il DWORD NtlmMinClientSec. Fai doppio clic.

4. Cambia il dato valore da 20000000 (impostazione predefinita per 128-bit) a 0 per consentire 40/56-bit. Conferma con OK.

5. Ripeti per NtlmMinServerSec, impostando anch’esso da 20000000 a 0.

6. Chiudi regedit e riavvia il computer per applicare le modifiche.

Ripristino: per tornare a 128 bit, riporta entrambi i DWORD a 20000000 e riavvia.

Important: impostare a 0 apre la compatibilità con metodi meno sicuri. Valuta di applicare queste modifiche solo temporaneamente.

Controlli e best practice prima di abbassare la crittografia

• Identifica i dispositivi che richiedono 40/56 bit. Documenta modello, versione e ragione della compatibilità.
• Limita la condivisione alla subnet locale o a indirizzi IP specifici dove possibile.
• Utilizza account con password robuste e disabilita condivisione anonima.
• Considera l’uso di SMB signing o il tunnel tramite VPN quando colleghi reti non fidate.

Alternative alla riduzione del livello di crittografia

• Aggiornare il firmware o il software del dispositivo legacy (se disponibile) per supportare 128 bit.
• Usare un gateway o un server intermedio che svolga il ruolo di traduttore e fornisca una connessione sicura lato rete.
• Trasferire file via dispositivo di archiviazione fisico crittografato.
• Configurare una VPN tra host e dispositivo per cifrare la comunicazione sopra una crittografia obsoleta.

Quando questa procedura fallisce o è inappropriata

• Se la policy aziendale vieta modifiche al Registro o la riduzione della sicurezza.
• Se il dispositivo legacy usa un protocollo completamente diverso e non supporta SMB.
• Se l’accesso richiede autenticazione che non può essere mappata ai meccanismi di Windows.

Playbook rapido: rollback e risposta a problemi

1. Se riscontri errori di autenticazione o connessioni fallite, ripristina i valori del Registro al backup esportato.
2. Riporta NtlmMinClientSec e NtlmMinServerSec a 20000000. Riavvia il sistema.
3. Se il problema persiste, elimina temporaneamente la cache delle credenziali (Gestione credenziali) e riprova.
4. Se non risolvi, ripristina l’intero Registro dal file di esportazione creato prima delle modifiche.

Mappa decisionale (sintesi)

flowchart TD
  A[Devi condividere con dispositivo legacy?] -->|No| B[Mantieni 128 bit]
  A -->|Sì| C[Puoi aggiornare il dispositivo?]
  C -->|Sì| B
  C -->|No| D[Preferisci GUI o Registro?]
  D -->|GUI| E[Impostazioni avanzate -> Tutte le reti -> Connessioni]
  D -->|Registro| F[Modifica NtlmMinClientSec/NtlmMinServerSec]
  E --> G[Testa connessione e sicurezza]
  F --> G
  G --> H[Se problemi -> rollback Registro]

1-linea glossario

• SMB: protocollo di condivisione file di Windows; DES: algoritmo di crittografia obsoleto.

Rischi e mitigazioni (matrice qualitativa)

• Rischio: intercettazione dati
  • Mitigazione: usare VPN o limitare la condivisione alla subnet
• Rischio: compromissione di credenziali
  • Mitigazione: password forti, account dedicati
• Rischio: non conformità policy aziendale
  • Mitigazione: ottenere approvazione IT e documentare il motivo

Riepilogo

Modificare il livello di crittografia permette la compatibilità con dispositivi più vecchi ma riduce la sicurezza. Preferisci aggiornare i dispositivi o usare soluzioni di tunneling/translation. Se decidi di procedere, esegui sempre il backup del Registro, applica le modifiche in modo temporaneo e documenta la ragione tecnica.

Important: non lasciare impostazioni meno sicure abilitate più a lungo del necessario.