Samba 4.17.0 er blevet udgivet, hvilket fortsætter udviklingen af Samba 4 med en fuldstændig implementering af domænekontrolleren og Active Directory-tjenesten, der er kompatibel med Windows 2008-implementeringen og kan understøtte alle Microsofts understøttede versioner af Windows-klienter, herunder Windows 11. Samba 4 er et multifunktionelt serverprodukt, der også tilbyder implementering af filserver, printtjeneste og identifikationstjeneste (winbind).
Nøgleændringer i Samba 4.17:
- Arbejdet med at eliminere regressionsproblemer i ydeevnen for belastede SMB-servere, som opstod som følge af tilføjelse af beskyttelse mod sårbarheder, der manipulerer symboliske links, er blevet gennemført. Blandt de nævnte optimeringer er reducering af systemopkald ved kontrol af mappenavne og ikke-brug af wakeup-begivenheder ved håndtering af konkurrerende operationer, der fører til forsinkelser.
- Muligheden for at kompilere Samba uden understøttelse af SMB1-protokollen i smbd er blevet tilføjet. For at deaktivere SMB1 er der implementeret en indstilling "--without-smb1-server" i build-scriptet (dette påvirker kun smbd, understøttelse af SMB1 bevares i klientbibliotekerne).
- Ved brug af MIT Kerberos 1.20 er der blevet implementeret en mulighed for at modvirke "Bronze Bit"-angrebet (CVE-2020-17049) ved at overføre yderligere information mellem komponenterne KDC og KDB. Problemet i den gældende KDC baseret på Heimdal Kerberos blev løst i 2021.
- Ved bygning med MIT Kerberos 1.20 i kontrollen domænet er understøttelse af Kerberos-udvidelserne S4U2Self og S4U2Proxy blevet tilføjet til Samba, og der er også tilføjet mulighed for begrænset delegation baseret på ressourcer (RBCD, Resource Based Constrained Delegation). For at styre RBCD er der tilføjet underkommandoer 'add-principal' og 'del-principal' til kommandoen "samba-tool delegation". I den anvendte standard KDC baseret på Heimdal Kerberos understøttes RBCD endnu ikke.
- I den indbyggede DNS-tjeneste er det blevet muligt at ændre netværksporten, der modtager forespørgsler (for eksempel til at køre en anden DNS-server på samme system, der videresender bestemte forespørgsler til Samba).
- I komponenten CTDB, der er ansvarlig for klyngekonfigurationer, er kravene til syntaksen for filen ctdb.tunables blevet reduceret. Ved bygning af Samba med indstillingerne "--with-cluster-support" og "--systemd-install-services" sikres installationen af systemd-tjenesten til CTDB. Leveringen af skriptet ctdbd_wrapper er ophørt — processen ctdbd startes nu direkte fra systemd-tjenesten eller fra init-scriptet.
- Indstillingen 'nt hash store = never' er implementeret, hvilket forbyder opbevaring af "nøgne" (uden salt) hasher af brugernes Active Directory-adgangskoder. I den næste version vil indstillingen 'nt hash store' som standard være indstillet til "auto", hvor tilstanden "never" anvendes, hvis indstillingen 'ntlm auth = disabled' er til stede.
- Der er foreslået en binding til at få adgang til API'et i biblioteket smbconf fra kode skrevet i Python.
- I programmet smbstatus er der implementeret mulighed for at udskrive information i JSON-format (aktiveres ved hjælp af indstillingen "--json").
- I domænekontrolleren er der implementeret støtte til sikkerhedsgruppen "Beskyttede brugere", der blev introduceret i Windows Server 2012 R2 og som forhindrer brug af usikre krypteringsmetoder (for brugere i gruppen deaktiveres understøttelsen af NTLM-godkendelse, Kerberos TGT'er baseret på RC4, begrænset og ubegribelig delegationsfunktionalitet).
- Støtten for opbevaring af adgangskoder og autentificeringsmetoden baseret på LanMan er ophørt (indstillingen "lanman auth = yes" har nu ingen betydning).
Kilde: opennet.ru
