Windowsでファイル共有の暗号化レベルを変更する方法
概要
Windowsのファイル共有（SMBを利用したローカル共有）は既定で128ビット暗号化を要求します。多くの現行機器はこれで問題ありませんが、古いプリンターや組み込み機器では40ビットや56ビットの古い暗号方式（DESベース）しかサポートしていないことがあります。互換性のために暗号化レベルを下げる方法を、コントロールパネル（共有の詳細設定）とレジストリエディターの両方で説明します。
重要: 暗号化を下げると通信の安全性が低下します。可能なら代替方法（機器の更新、プロトコル変換、VPN経由での転送）を検討してください。
主な用語（1行定義）
- NTLM: Windowsで使われる認証プロトコルの一つ。
- DES: 古い暗号方式。40/56ビットはDES系の互換モードを指します。
- SMB: ファイル共有プロトコル（Server Message Block）。
目次
- 共有の詳細設定で暗号化レベルを変更する方法
- レジストリで暗号化レベルを変更する手順（上級）
- ロール別チェックリストと検証方法
- いつ変更してはいけないか・代替手段
- よくある質問
共有の詳細設定で暗号化レベルを変更する方法
この方法はGUIで行えます。まずはコントロールパネルの「共有の詳細設定」から設定します。
手順:
- Windowsの検索ボックスに「詳細な共有の設定」と入力し、結果の「共有の詳細設定の管理」をクリックします。日本語Windowsでは「共有の詳細設定の管理」と表示されます。
- コントロールパネルの「共有の詳細設定」が開きます。ページ内で「すべてのネットワーク」（All Networks）セクションを展開します。
- 「ファイル共有の接続」（File sharing connections）までスクロールします。
- 既定の「128ビット暗号化を使用してファイル共有を保護する（推奨）」から、互換性が必要な場合は「40または56ビット暗号化を使用する」に変更します。
- [変更の保存]をクリックしてコントロールパネルを閉じます。
結果: 古い機器が要求する40/56ビットの暗号化でファイル共有が可能になります。
注意: 上記オプションがグレーアウトしている場合は、グループポリシーやドメインポリシー、あるいは管理者権限によって上書きされている可能性があります。その場合は次のレジストリ手順が必要です。
レジストリエディターで暗号化レベルを変更する手順（上級者向け）
レジストリで直接設定することで、詳細な制御やポリシーによる制限を回避できる場合があります。必ず事前にレジストリのバックアップを作成してください。
重要: レジストリの編集を間違えるとOSが不安定になります。バックアップを取ってから実行してください。
手順:
- Windows検索に「レジストリ」と入力し、「レジストリエディター」を開きます。
- 次のキーに移動します（パスは正確に入力してください）:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\MSV1_0- 右側ペインで次のDWORD値を探します:
- NtlmMinClientSec
- NtlmMinServerSec
それぞれの値をダブルクリックします。既定値が 20000000（128ビット用の既定値）になっている場合、互換性のために 0 に変更します。変更後、[OK]を押します。
レジストリエディターを閉じます。
注意: 値を0にすると、NTLMの最低セキュリティ要求を下げるため、古い暗号方式での接続を許可します。必要がなくなったら、同じ手順で値を 20000000 に戻してください。
反映: 一部の環境ではサインアウト・再起動、または関連サービスの再起動が必要になることがあります。
変更後の検証とテストケース
- 基本テスト: 古い機器から共有フォルダーに接続して、読み書きができるか確認します。
- ログ確認: Windowsイベントログ（セキュリティ/システム）に接続関連のエラーが出ていないか確認します。
- ネットワーク解析（上級）: Wiresharkなどでトラフィックをキャプチャし、暗号ネゴシエーションの違いを確認することで、実際に古い暗号で接続されているかを検証できます。
検収基準（例）:
- 互換対象機器からファイルの読み書きが可能であること。
- 共有元のWindowsマシンで該当するイベントによるエラーが発生していないこと。
ロール別チェックリスト
管理者:
- レジストリのバックアップを取得したか。
- 変更の影響範囲（他のクライアント/サーバー）を評価したか。
- 変更後の検証手順を実施したか。
エンドユーザー:
- 古い機器でログインしてテストを行ったか。
- 問題がある場合、IT管理者に連絡したか。
いつ変更してはいけないか、代替手段
- セキュリティ要件で128ビット以上が必須の場合は変更しないでください。
- ドメインポリシーで制限されている環境では、管理者に相談してください。
代替手段:
- 古い機器を更新または交換する。
- 中継サーバー（プロトコル変換）経由でファイルを共有する。
- 機器が対応する別プロトコル（FTP、SFTP、HTTP）の導入を検討する。
セキュリティ上のヒント:
- 必要な期間だけ一時的に暗号化を下げ、作業完了後に元に戻す。
- 暗号化を下げた場合はネットワークを分離するか、VLANやファイアウォールでアクセスを制限する。
よくある質問
Q: 暗号化を下げても必ず古い機器が動きますか？ A: いいえ。暗号化以外のプロトコル互換性（SMBバージョン、認証方式）やハードウェアの制限が原因で接続できないこともあります。
Q: 暗号化を下げるとどのくらい危険ですか？ A: 古い暗号方式は既知の脆弱性を含むことが多く、盗聴や中間者攻撃に対して脆弱になります。リスクはネットワーク構成やアクセス制御によります。
Q: レジストリで値を変更したら元に戻せますか？ A: はい。NtlmMinClientSecとNtlmMinServerSecの値を 20000000 に戻せば、既定の128ビット要求に戻ります。
要約
- 既定ではWindowsは128ビット暗号を要求しますが、互換性のために40/56ビットへ変更できます。
- GUIは「共有の詳細設定」から変更できます。より細かい制御はレジストリ（MSV1_0キー）のNtlmMinClientSec/NtlmMinServerSecで行います。
- レジストリ編集と暗号化レベルの低下はセキュリティリスクを伴います。変更は最小限にし、完了後は元に戻すことを推奨します。
重要: 可能な限り機器を更新し、古い暗号に頼らない運用を目指してください。
