Samba 4.17.0 väljaanne

Avaldatud on Samba 4.17.0, mis jätkab Samba 4 haru arengut, pakkudes täieõiguslikku domeenikontrolleri ja Active Directory teenust, mis on kooskõlas Windows 2008 rakendusega ja suudab teenindada kõiki toetatavaid Microsofti Windows klientide versioone, sealhulgas Windows 11. Samba 4 on mitmeotstarbeline serveritoot, mis pakub ka failiserveri, prinditeenuse ja identiteedi serveri (winbind) rakendust.

Samba 4.17 olulised muudatused:

• Tööd on tehtud, et kõrvaldada tagasiüleminekud koormatud SMB serverite jõudluses, mis tekkisid haavatavuste vastu kaitse lisamise tõttu, mis manipuleerivad sümboolsete linkidega. Teostatavad optimeerimised hõlmasid süsteemi kõnede vähendamist katalooge kontrollides ja ärkamise sündmuste mitte kasutamist konkurentsi operatsioonide töötlemisel, mis põhjustas viivitusi.
• On loodud võimalus koguda Samba ilma SMB1 protokolli toeta smbd-s. SMB1 keelamiseks on configure skriptis rakendatud valik "—without-smb1-server" (see mõjutab ainult smbd-d, klientide teekides jääb SMB1 tugi alles).
• MIT Kerberos 1.20 kasutamisel on rakendatud kaitse "Bronze Bit" (CVE-2020-17049) rünnaku vastu, edastades täiendavat teavet KDC ja KDB komponentide vahel. Vaikimisi kasutatavas KDC-s, mis põhineb Heimdal Kerberosel, on probleem lahendatud 2021. aastal.
• MIT Kerberos 1.20 koosseisus on domeenikontrolleris domeeni Samba põhistruktuuris on rakendatud Kerberos laiendusi S4U2Self ja S4U2Proxy, samuti on lisatud võimalus piiratud delegeerimiseks, mis põhineb ressurssidel (RBCD, Resource Based Constrained Delegation). RBCD haldamiseks on käsku "samba-tool delegation" lisatud alamhäired 'add-principal' ja 'del-principal'. Vaikimisi kasutatavas KDC-s, mis põhineb Heimdal Kerberosel, RBCD režiim veel ei toeta.
• Sisseehitatud DNS teenuses on antud võimalus muuta võrguporta, mis võtab vastu päringud (näiteks, et käivitada teisel süsteemil teine DNS-server, mis suunab teatud päringud Samba poole).
• CTDB komponendis, mis vastutab klastrite konfiguratsiooni eest, on vähendatud syntax nõudeid faili ctdb.tunables jaoks. Samba kogumisega valikute "—with-cluster-support" ja "—systemd-install-services" korral on võimalik süsteemi teenuse systemd paigaldamine CTDB-le. ctbd_wrapper’i skripti tarnimine lõpetati — ctdbd protsess käivitatakse nüüd otse teenusest systemd või initsialiseerimise skriptist.
• On rakendatud seadistus 'nt hash store = never', mis keelab „alasti” (ilma soolata) Active Directory kasutajate paroolide hashide säilitamise. Järgmises versioonis seadistus 'nt hash store' vaikimisi seatakse väärtusele 'auto', kus režiim 'never' rakendatakse juhul, kui on seadistatud 'ntlm auth = disabled'.
• On pakutud mähist API kasutamiseks smbconf teegi kaudu Python koodis.
• Programmis smbstatus on võime teavet väljundada JSON formaadis (aktiveeritakse valikuga "—json").
• Domeenikontrolleris on rakendatud turvagrupp 'Kaitstud kasutajad', mis ilmus Windows Server 2012 R2-s ja keelab usaldamatute krüpteerimistüüpide kasutamise (kui kasutajad grupis, siis lülitatakse välja NTLM-i autentimise tugi ja Kerberos TGT-d, mis põhinevad RC4-l, piiratud ja piiramatu delegeerimine).
• LanMan-protokolli alusel paroolide ladustamise ja autentimise toetamine lõpetati (seade 'lanman auth = yes' ei oma enam tähtsust).
  
  Allikas: opennet.ru