Väljaanne Samba 4.17.0

Samba 4.17.0 on esitatud, jätkates Samba 4 arendust, tuues kaasa täispika domeeni kontrollere ja Active Directory teenuse rakenduse, mis on ühilduv Windows 2008 rakenduse ning suudab toetada kõiki Microsofti toetatud Windows kliendi versioone, sealhulgas Windows 11. Samba 4 on multifunktsionaalne serveritoode, pakkudes samuti failiserveri, printimisteenuse ja identiteediserveri (winbind) rakendust.

Samba 4.17 peamised muudatused:

• SMB-serverite koormuse sooritusvõime regressioonide kõrvaldamiseks on tehtud tööd, mis tekkisid sümboolsete linkide haavatavuste kaitse lisamisest. Tehtud optimeerimise seas on välja toodud süsteemikutsungite vähendamine katalooge kontrollides ja wakeup-sündmuste mittekasutamine konkurseerivate operatsioonide töötlemisel, mis põhjustavad viivitusi.
• Samba kogumist on võimalik teostada ilma SMB1 protokolli toeta smbd. SMB1 keelamiseks on kogumisskripti configure lisatud valik „—without-smb1-server“ (mõjutab ainult smbd, klientraamatukogudes jääb SMB1 tugi alles).
• MIT Kerberos 1.20 kasutamisel on rakendatud kaitset „Bronze Bit” rünnete (CVE-2020-17049) vastu, edastades täiendavat teavet KDC ja KDB komponentide vahel. Kasutatavas vaikimisi KDC-s, mis põhineb Heimdal Kerberose, oli probleem 2021. aastal kõrvaldatud.
• MIT Kerberos 1.20-ga kogumisel on domeen Samba põhine kontrollimisse on rakendatud Kerberose laiendused S4U2Self ja S4U2Proxy, samuti on lisatud piiratud delegeerimise võimalus, mis põhineb ressurssidel (RBCD, Resource Based Constrained Delegation). RBCD haldamiseks on „samba-tool delegation” käsule lisatud alammenüüd „add-principal” ja „del-principal”. Kasutatavas vaikimisi KDC-s, mis põhineb Heimdal Kerberose, ei toetata RBCD režiimi veel.
• Sisseehitatud DNS-teenuses on pakutud võimalus muuta võrguporti, mis vastab päringutele (näiteks teise DNS-serveri käivitamiseks samas süsteemis, mis suunab teatud päringud Samba poole).
• CTDB komponendis, mis vastutab klastri konfiguratsioonide töö eest, on vähendatud nõuded faili ctdb.tunables süntaksile. Samba kokkupanekul valikutega „—with-cluster-support” ja „—systemd-install-services” on tagatud systemd teenuse paigaldamine CTDB jaoks. Lõpetatud on ctdbd_wrapper skripti tarnimine — ctdbd protsess käivitatakse nüüd otse systemd teenusest või initsialiseerimisskripti kaudu.
• Rakendatud on seade ‘nt hash store = never’, mis keelab „alasti” (ilma soolata) Active Directory kasutajate paroolihäkkide hoidmise. Järgmises versioonis seatakse ‘nt hash store’ vaikimisi väärtuseks „auto”, kusjuures režiim „never” rakendub, kui seade ‘ntlm auth = disabled’ on olemas.
• Pakutud on mähis API-le smbconf teegist Pythonis koodi kirjutamiseks.
• Programmis smbstatus on lisatud võimalus väljundi genereerimiseks JSON-formaadis (sisse lülitatakse valikuga „—json”).
• Domeinikontrolleris on toetatud „Kaitstud kasutajad” turvagruppi, mis ilmus Windows Server 2012 R2-s ja ei luba kasutada ebausaldusväärseid krüpteerimistüüpe (kasutajatele grupis keelatakse NTLM autentimise ja RC4 põhiste Kerberos TGT-de toetamine, piiratud ja piiramata delegeerimine).
• LanMan põhine password store ja autentimismeetodi tugi on lõpetatud (seade „lanman auth = yes” ei oma enam tähendust).
  
  Allikas: opennet.ru