O mount.cifs (SMB) é seguro com `seal` e `sec=ntlmssp`?

Question

Estou usando o csi-driver-smbdriver do Kubernetes para montar volumes SMB. Tudo funciona bem, mas agora estou lendo que o modo de segurança padrão é sec=ntlmssp. Estou preocupado, pelo que li online, que isso seja inseguro.

Também estou usando a sealopção,qual

Request encryption at the SMB layer. The encryption algorithm used is AES-128-CCM. Requires SMB3 or above (see vers).

Mas o NTLMSSP também é criptografado? Ou isso ocorre antes do início do protocolo SMB?

A alternativa parece ser usar Kerberos. Não estou familiarizado com o Kerberos, mas parece que a máquina precisa estar associada a um domínio? Isso não é uma opção, o volume só deve ser montado com nome de usuário/senha.