Byl uveden nový release Samba 4.17.0, který pokračuje v rozvoji větve Samba 4 s plnohodnotnou implementací doménového kontroleru a služby Active Directory, kompatibilní s implementací Windows 2008 a schopné obsluhovat všechny podporované verze Windows klientů od Microsoftu, včetně Windows 11. Samba 4 je multifunkční serverový produkt, který rovněž poskytuje implementaci souborového serveru, služby tisku a serveru identifikace (winbind).
Klíčové změny v Samba 4.17:
- Byla provedena práce na odstranění regresí v výkonu zatížených SMB serverů, které vznikly v důsledku zavedení ochrany před zranitelnostmi manipulujícími se symbolickými odkazy. Mezi provedené optimalizace patří snížení systémových volání při kontrole názvu adresáře a nepoužití wakeup událostí při zpracování konkurenčních operací, vedoucích k zpožděním.
- Byla poskytnuta možnost sestavení Samba bez podpory protokolu SMB1 ve smbd. Pro deaktivaci SMB1 v sestavovacím skriptu configure byla implementována volba „—without-smb1-server“ (má vliv pouze na smbd, v klientských knihovnách podpora SMB1 zůstává).
- Při použití MIT Kerberos 1.20 byla implementována možnost protiopatření proti útoku „Bronze Bit“ (CVE-2020-17049), díky předání dodatečných informací mezi komponentami KDC a KDB. Ve výchozím KDC založeném na Heimdal Kerberos byla problém vyřešen v roce 2021.
- Při sestavování s MIT Kerberos 1.20 v kontroleru domény na bázi Samba byla implementována podpora Kerberos rozšíření S4U2Self a S4U2Proxy a byla přidána možnost omezeného delegování na základě zdrojů (RBCD, Resource Based Constrained Delegation). Pro správu RBCD byly do příkazu „samba-tool delegation“ přidány podpříkazy ‘add-principal’ a ‘del-principal’. Ve výchozím KDC na bázi Heimdal Kerberos režim RBCD zatím není podporován.
- Ve vestavěné DNS službě byla poskytnuta možnost změny síťového portu, který přijímá dotazy (například pro spuštění jiného DNS serveru na stejné soustavě, který přesměrovává určité dotazy k Samba).
- V komponentě CTDB, zodpovědné za fungování clusterových konfigurací, byly sníženy požadavky na syntaxi souboru ctdb.tunables. Při sestavování Samba s možnostmi „—with-cluster-support“ a „—systemd-install-services“ je zajištěna instalace služby systemd pro CTDB. Bylo ukončeno dodávání skriptu ctdbd_wrapper — proces ctdbd nyní běží přímo ze služby systemd nebo ze spouštěcího skriptu.
- Byla implementována konfigurace ‘nt hash store = never’, která zakazuje ukládání „holých“ (bez soli) hašů hesel uživatelů Active Directory. V následující verzi bude výchozí hodnota konfigurace ‘nt hash store’ nastavena na „auto“, u které bude režim „never“ aplikován v případě, že je nastavena konfigurace ‘ntlm auth = disabled’.
- Byl navržen obal pro přístup k API knihovny smbconf z kódu v jazyce Python.
- V programu smbstatus byla implementována možnost výstupu informací ve formátu JSON (aktivuje se možností „—json“).
- V ovladači domény byla implementována podpora skupiny zabezpečení „Ochránění uživatelé“, která se objevila ve Windows Server 2012 R2 a zakazuje používání nespolehlivých typů šifrování (pro uživatele ve skupině je zakázána podpora autentizace NTLM, Kerberos TGTs založených na RC4, omezené a neomezené delegace).
- Byla ukončena podpora úložiště hesel a metody autentizace založené na LanMan (nastavení „lanman auth = yes“ nyní nemá význam).
Zdroj: opennet.ru
