Презентирано издание Samba 4.17.0, което продължава развитието на клона Samba 4 с пълна реализация на контролера на домейна и услугата Active Directory, съвместими с реализацията Windows 2008 и способни да обслужват всички поддържани версии на Windows клиентите от Microsoft, включително Windows 11. Samba 4 е многофункционален сървърен продукт, предоставящ също и реализация на файлов сървър, печатна услуга и сървър за идентификация (winbind).
Основни промени в Samba 4.17:
- Работа е проведена по отстраняване на регресии в производителността на натоварените SMB сървъри, които са се появили в резултат на добавянето на защита срещу уязвимости, манипулиращи символични линкове. От извършените оптимизации се споменава намаляване на системните повиквания при проверка на името на директорията и ненасочване на wakeup събития при обработка на конкуриращи операции, водещи до закъснения.
- Предоставена е възможност за компилиране на Samba без поддръжка на протокола SMB1 в smbd. За деактивиране на SMB1 в скрипта за компилиране configure е реализирана опция «—without-smb1-server» (влияе само на smbd, поддръжката на SMB1 остава в клиентските библиотеки).
- При използване на MIT Kerberos 1.20 е реализирана възможност за противодействие на атаката «Bronze Bit» (CVE-2020-17049), благодарение на предаването на допълнителна информация между компонентите KDC и KDB. В използвания по подразбиране KDC на базата Heimdal Kerberos проблемът беше решен през 2021 година.
- При компилиране с MIT Kerberos 1.20 в контролера домейн на базата Samba е реализирана поддръжка на Kerberos разширения S4U2Self и S4U2Proxy, а също така е добавена възможност за ограничена делегация, основана на ресурси (RBCD, Resource Based Constrained Delegation). За управление на RBCD в командата «samba-tool delegation» са добавени подкоманди ‘add-principal’ и ‘del-principal’. В прилагания по подразбиране KDC на базата Heimdal Kerberos режим RBCD все още не се поддържа.
- В интегрираната DNS услуга е предоставена възможност за промяна на мрежовия порт, приемащ заявки (например, за стартиране на друг DNS сървър на същата система, който пренасочва определени заявки към Samba).
- В компонента CTDB, отговарящ за работа на клъстерни конфигурации, са снижени изискванията към синтаксиса на файла ctdb.tunables. При компилиране на Samba с опциите «—with-cluster-support» и «—systemd-install-services» е осигурена инсталацията на systemd услугата за CTDB. Доставката на скрипта ctdbd_wrapper е прекратена — процесът ctdbd сега се стартира директно от systemd услугата или от инициализационен скрипт.
- Реализирана е настройка ‘nt hash store = never’, забраняваща съхранението на «голи» (без сол) хешове на паролите на потребителите в Active Directory. В следващата версия настройката ‘nt hash store’ по подразбиране ще бъде зададена на «auto», при който режим «never» ще се прилага в случай на наличие на настройката ‘ntlm auth = disabled’.
- Предложена е обвивка за достъп до API на библиотеката smbconf от код на Python.
- В програмата smbstatus е реализирана възможността за извеждане на информация във формат JSON (включва се с опцията «—json»).
- В домейн контролера е реализирана поддръжка на защитената група «Protected Users», появила се в Windows Server 2012 R2, която не допуска използване на ненадеждни типове криптиране (за потребителите в групата се деактивира поддръжката на NTLM удостоверяване, Kerberos TGTs, базирани на RC4, ограничено и неограничено делегиране).
- Поддръжката на хранилището на пароли и метода на удостоверяване, базирани на LanMan, е прекратена (настройката «lanman auth = yes» вече няма значение).
Източник: opennet.ru
