Κυκλοφόρησε η έκδοση 4.17.0 του Samba, συνεχίζοντας την ανάπτυξη του κλάδου Samba 4 με μια πλήρη υλοποίηση ενός ελεγκτή τομέα και μιας υπηρεσίας Active Directory συμβατής με την υλοποίηση. Windows 2008 και ικανό να χειριστεί όλες τις εκδόσεις που υποστηρίζονται από τη Microsoft Windows-πελάτες, συμπεριλαμβανομένων Windows 11. Το Samba 4 είναι ένα πολυλειτουργικό προϊόν διακομιστή που παρέχει επίσης διακομιστή αρχείων, υπηρεσία εκτύπωσης και διακομιστή ελέγχου ταυτότητας (winbind).
Βασικές αλλαγές στο Samba 4.17:
- Έχει γίνει εργασία για την εξάλειψη των παλινδρομήσεων στην απόδοση των φορτωμένων διακομιστών SMB που εμφανίστηκαν ως αποτέλεσμα της προσθήκης προστασίας από τρωτά σημεία που χειραγωγούν συμβολικούς συνδέσμους. Μεταξύ των βελτιστοποιήσεων που πραγματοποιήθηκαν, αναφέρεται ότι οι κλήσεις συστήματος μειώνονται κατά τον έλεγχο του ονόματος του καταλόγου και τα συμβάντα αφύπνισης δεν χρησιμοποιούνται κατά την επεξεργασία ανταγωνιστικών λειτουργιών που οδηγούν σε καθυστερήσεις.
- Παρέχεται η δυνατότητα δημιουργίας Samba χωρίς υποστήριξη πρωτοκόλλου SMB1 στο smbd. Για να απενεργοποιήσετε το SMB1, η επιλογή "--without-smb1-server" υλοποιείται στο σενάριο δημιουργίας ρυθμίσεων (επηρεάζει μόνο το smbd, η υποστήριξη SMB1 διατηρείται στις βιβλιοθήκες-πελάτες).
- Κατά τη χρήση του MIT Kerberos 1.20, υλοποιήθηκε ένας μετριασμός για την επίθεση Bronze Bit (CVE-2020-17049) μέσω της διαβίβασης πρόσθετων πληροφοριών μεταξύ των στοιχείων KDC και KDB. Το πρόβλημα διορθώθηκε στο προεπιλεγμένο KDC που βασίζεται στο Heimdal Kerberos το 2021.
- Κατά την κατασκευή με το MIT Kerberos 1.20 στον ελεγκτή τομέα Η υποστήριξη για τις επεκτάσεις S4U2Self και S4U2Proxy Kerberos έχει υλοποιηθεί χρησιμοποιώντας το Samba, καθώς και την περιορισμένη ανάθεση βάσει πόρων (RBCD). Για τη διαχείριση του RBCD, οι υποεντολές 'add-principal' και 'del-principal' έχουν προστεθεί στην εντολή "samba-tool delegation". Το RBCD δεν υποστηρίζεται ακόμη στο προεπιλεγμένο KDC που βασίζεται στο Heimdal Kerberos.
- Η ενσωματωμένη υπηρεσία DNS παρέχει τη δυνατότητα αλλαγής της θύρας δικτύου που δέχεται αιτήματα (για παράδειγμα, για την εκτέλεση ενός άλλου διακομιστή DNS στο ίδιο σύστημα που προωθεί συγκεκριμένα αιτήματα στο Samba).
- Στο στοιχείο CTDB που είναι υπεύθυνο για τις διαμορφώσεις συμπλέγματος, οι απαιτήσεις για τη σύνταξη του αρχείου ctdb.tunables έχουν χαλαρώσει. Κατά τη δημιουργία του Samba με τις επιλογές "--with-cluster-support" και "--systemd-install-services", εγκαθίσταται η υπηρεσία systemd για το CTDB. Το σενάριο ctdbd_wrapper έχει διακοπεί — η διεργασία ctdbd ξεκινά πλέον απευθείας από την υπηρεσία systemd ή από το σενάριο αρχικοποίησης.
- Έχει εφαρμοστεί η ρύθμιση 'nt hash store = never', η οποία απαγορεύει την αποθήκευση "γυμνών" (χωρίς salt) hashes κωδικών πρόσβασης χρηστών του Active Directory. Στην επόμενη έκδοση, η ρύθμιση 'nt hash store' θα οριστεί σε "auto" από προεπιλογή, οπότε θα εφαρμοστεί η λειτουργία "never" εάν υπάρχει η ρύθμιση 'ntlm auth = disabled'.
- Προτείνεται μια σύνδεση για την πρόσβαση στο API της βιβλιοθήκης smbconf από κώδικα Python.
- Το πρόγραμμα smbstatus έχει τη δυνατότητα να εξάγει πληροφορίες σε μορφή JSON (ενεργοποιείται από την επιλογή "--json").
- Ο ελεγκτής τομέα υποστηρίζει πλέον την ομάδα ασφαλείας Προστατευμένων Χρηστών, η οποία εισήχθη το Windows Server 2012 R2 και δεν επιτρέπει τη χρήση ασθενών τύπων κρυπτογράφησης (η υποστήριξη για έλεγχο ταυτότητας NTLM, Kerberos TGT που βασίζονται σε RC4, περιορισμένη και μη περιορισμένη ανάθεση είναι απενεργοποιημένη για τους χρήστες της ομάδας).
- Η υποστήριξη για την αποθήκευση κωδικών πρόσβασης και τη μέθοδο ελέγχου ταυτότητας που βασίζεται στο LanMan έχει διακοπεί (η ρύθμιση "lanman auth = yes" είναι πλέον άσχετη).
Πηγή: opennet.ru
