Издаване на Samba 4.17.0

Представен е релизът Samba 4.17.0, който продължава развитието на клоновете на Samba 4 с пълна реализация на контролера на домейна и услугата Active Directory, съвместима с реализацията на Windows 2008 и способна да обслужва всички поддържани версии на Windows-клиенти от Microsoft, включително Windows 11. Samba 4 е многофункционален сървърен продукт, предлагащ също така реализирана файлова услуга, услуга за печат и сървър за идентификация (winbind).

Ключови промени в Samba 4.17:

• Извършена е работа по отстраняване на регресията в производителността на натоварените SMB-сървъри, появила се в резултат на добавянето на защита от уязвимости, манипулиращи символични линкове. От извършените оптимизации се споменава намаляване на системните извиквания при проверка на името на каталога и невъзможността за използване на wakeup-събития при обработка на конкурентни операции, водещи до забавяния.
• Възможността за компилиране на Samba без поддръжка на протокол SMB1 в smbd е предоставена. За деактивиране на SMB1 в скрипта за компилация configure е реализирана опцията "--without-smb1-server" (влияе само на smbd, поддръжката на SMB1 в клиентските библиотеки остава).
• С използването на MIT Kerberos 1.20 е реализирана възможността за защита от атаката "Bronze Bit" (CVE-2020-17049), благодарение на предаването на допълнителна информация между компонентите KDC и KDB. Проблемът с използвания по подразбиране KDC на базата на Heimdal Kerberos беше решен през 2021 година.
• При компилация с MIT Kerberos 1.20 в контролера домейн На базата на Samba е реализирана поддръжка на Kerberos разширенията S4U2Self и S4U2Proxy, а също така е добавена възможност за ограничена делегация, основана на ресурсите (RBCD, Resource Based Constrained Delegation). За управлението на RBCD в командата "samba-tool delegation" са добавени подкомандите ‘add-principal’ и ‘del-principal’. В прилагания по подразбиране KDC на базата на Heimdal Kerberos режимът RBCD все още не се поддържа.
• В вградената DNS-услуга е предоставена възможност за промяна на мрежовия порт, приемащ заявки (например, за стартиране на друг DNS-сървър на същата система, който пренасочва определени заявки към Samba).
• В компонента CTDB, отговорен за работа с клъстерни конфигурации, са намалени изискванията към синтаксиса на файла ctdb.tunables. При компилиране на Samba с опциите "--with-cluster-support" и "--systemd-install-services" е осигурена инсталация на системния сервиз systemd за CTDB. Доставката на скрипта ctdbd_wrapper е преустановена — процесът ctdbd сега се стартира директно от сервиза systemd или от скрипта за инициализация.
• Реализирана е настройка ‘nt hash store = never’, която забранява съхранението на "голи" (без сол) хешове на паролите на потребителите в Active Directory. В следващата версия настройката ‘nt hash store’ ще бъде по подразбиране настроена на "auto", при което режимът "never" ще се прилага при наличие на настройка ‘ntlm auth = disabled’.
• Предложена е обвивка за достъп до API на библиотеката smbconf от код на Python.
• В програмата smbstatus е внедрена възможност за извеждане на информация в JSON формат (включва се с опцията "--json").
• В контролната точка на домейна е реализирана поддръжка на групата за сигурност „Защитени потребители“, която се появи в Windows Server 2012 R2 и не допуска използването на ненадеждни типове криптиране (за потребителите в групата е деактивирана поддръжката на аутентификация NTLM, Kerberos TGTs на базата на RC4, ограничена и неограничена делегация).
• Поддръжката на хранилището на пароли и метода на аутентификация на базата на LanMan е прекратена (настройката „lanman auth = yes“ вече няма значение).
  
  Източник: opennet.ru