Samba 4.24.0 väljaanne

Pärast 6-kuulist arendustööd on välja antud Samba 4.24.0, mis jätkab Samba 4 haru arendust ning sisaldab täielikku domeenikontrolleri ja Active Directory teenuse rakendust, mis on ühilduv Windows Serveri rakendusega ja suudab teenindada kõiki toetatud Microsofti Windowsi klientide versioone, sealhulgas Windows 11. Samba 4 on mitmeotstarbeline serveritoot, mis pakub ka faili serveri, printimisteenuse ja identifitseerimissea (winbind). Projekti kood on kirjutatud C keeles ja jagatakse GPLv3 litsentsi alusel.

Samba 4.24 peamised muudatused:

• Uus VFS moodul vfs_aio_ratelimit, mis piirab asünkroonsete sisend-/väljundoperatsioonide (AIO) intensiivsust (rate-limit). Piirangud võivad olla määratud baitides sekundis või operatsioonides sekundis. Kui määratud piiri ületatakse, hakkab moodul sisestama kunstlikke viivitusi asünkroonsetesse operatsioonidesse, et hoida määratud ülemist piiri.
• VFS moodulisse vfs_ceph_new on lisatud RPC-protokolli Keybridge ja FSCrypt režiimi tugi, et krüpteerida andmeid ja failide nimesid CephFS failisüsteemis. Krüptimise lubamine on võimalik individuaalsete kataloogide tasandil.
• VFS moodulisse vfs_streams_xattr, mis võimaldab salvestada NTFS alternatiivseid andmevooge (NTFS alternate data stream) failide laiendatud atribuutides (xattr) Linuxis, on lisatud seadistus „streams_xattr:max xattrs per stream“, mis määratleb lubatud xattride arvu andmete salvestamiseks. Linuxis on xattri suurus piiratud 65536 baitiga, kuid failisüsteem XFS võimaldab siduda rohkem kui ühe xattri ühe failiga, mis võimaldab kasutada mitmeid xattr'e kuni 1 MB alternatiivsete andmete salvestamiseks.
• On rakendatud toe seiret, mis on seotud autentimisega. Logisse on lisatud tõrkeklassid „dsdb_password_audit“ ja „dsdb_password_json_audit“ Active Directory atribuutide muutuste logimiseks: altSecurityIdentities, dNSHostName, msDS-AdditionalDnsHostName, msDS-KeyCredentialLink ja servicePrincipalName.
• On lisatud tugi välistele paroolihalduse süsteemidele Microsoft Entra ID ja Keycloak, mis kasutavad parooli muutmise korral parooli lähtestamise operatsiooni (SSPR, password reset) ilma vana parooli edastamiseta kontrollerile. domeen. Paroolide kehtivuse kontrollimise poliitikate järgimiseks edastatakse parooli lähtestamisel täiendavad parameetrid ("parooli poliitika vihjed"), mis võimaldavad toimingut käsitleda nagu tavalist parooli vahetust. Nüüd arvestab Samba selliste parameetritega paroolidega seotud kohalikku poliitikat rakendades.
• Lisatud toetus Kerberos PKINIT KeyTrust autentimismehhanismile, mis võimaldab Samba ja Heimdal KDC põhised domeenikontrollerid kasutada "Windows Hello for Business Key-Trust logins" meetodit PKINIT autentimise mehhanismi rakendamiseks iseallkirjastatud võtmete abil. Avatud võtme lisamiseks ja vaatamiseks samba-tool utiliiti on lisatud käsk "user|computer keytrust". Teave avatud võtme kohta salvestatakse kontole atribuutide msDS-KeyCredentialLink kaudu.
• Samba ja Heimdal KDC põhistes domeenikontrollerites on lisatud Kerberos PKINIT protokolli laienduse tugi võtmete kaardistamiseks ("Windows Strong and Flexible key mappings"), mida kasutatakse avatud võtmete autentimise ajal. Vaikimisi on lubatud ainult täpne sertifikaatide sidumine ("strong certificate binding enforcement = full"), kuid on võimalik ka paindlik sidumine ("strong certificate binding enforcement = compatibility"), mis lubab kasutaja konto vanusest nooremaid sertifikaate. Teave sertifikaatide kaardistamise kohta salvestatakse konto atribuudis altSecurityIdentities.
• Lisatud tugi "Kerberos PKINIT SID" protokolli laiendusele, mis võimaldab sertifikaatide autentimisel kasutada objekti SID identifikaatorit. Sertifikaatide allkirjastamiseks on samba-tool utiliiti lisatud käsk "user|computer generate-csr".
• KDC (Key Distribution Center) teostuses tagatakse vaikimisi PAC (Privilege Attribute Certificate) struktuuri tagastamine, mis sisaldab kasutaja õigusi, sõltumata sellest, kas PA-PAC-REQUEST väli on kliendi päringus määratud. Vana käitumise tagamiseks on ette nähtud seadistus "kdc always generate pac = no".
• KDC-sse on lisatud seadistus "kdc require canonicalization", mille seadistamisel väärtusele "yes" peab klient nõudma kasutajanime kanoniseerimist, kui pöördub autentimise (AS_REQ) poole. Kui kanoniseerimist ei nõuta, tagastab server vea "kasutaja tundmatu". Windowsi operatsioonisüsteemi kasutajatega võrgu võrgus ei tohiks uue seadistuse aktiveerimine probleeme tekitada, kuna Windowsi kliendid nõuavad vaikimisi alati kanoniseerimist. serveri tuvastamine (AS_REQ). Kui kanoniseerimist ei ole küsitud, tagastab server tõrke "kasutaja tundmatu". Windowsi operatsioonisüsteemi kasutavate kasutajatega võrkudes ei tohiks uue seade aktiveerimine probleeme tekitada, kuna Windowsi kliendid pärivad kanoniseerimist vaikimisi alati.

  Kohustuslik kanoniseerimine kaitseb "dollar ticket" rünnakute eest, mis manipuleerivad sellega, et kasutajanimesid saab määrata erinevalt ("user" ja "user$") ning neid töödeldakse kanoniseeritud ja tavalises vormis erinevalt. Rünnaku sisu on see, et ründaja võib näiteks luua AD-s arvutikonto nimega "root$" ja kasutada seda KDC-lt mandaadi (ticket) saamiseks, edastades päringus kasutajanime "root" asemel "root$". KDC, leides, et kasutajat "root" ei ole, töötleb päringut kasutaja "root$" kontekstis ja väljastab mandaadi, mida saab kasutada root-kasutajana SSH või NFS kaudu Linuxi serverisse SSSD-ga ühendamiseks.
• KDC-s on lisatud alternatiivne kaitse "dollar ticket" rünnakute vastu konfiguratsioonides, kus kohustuslikud kanoniseerimise päringud on välja lülitatud ("kdc require canonicalization = no", kehtib vaikimisi). Vaikimisi, kui klient ei ole kanoniseerimist palunud ja kontrollitavat nime ei leita, teeb server täiendava kontrolli, lisades nimele sümboli "$". Uue seadistusega "kdc name match implicit dollar without canonicalization = no" saab selle käitumise välja lülitada ja teha ainult täpseid kontrolle (üleval nimetatud rünnaku kontekstis ei kontrolli server nime "root$" päringu "root" puhul).
• Heimdal KDC-s on vaikimisi lubatud Kerberose teenustele ainult kanoniseeritud nimede (sAMAccountName PAC-ist) saatmine algse cname väärtuse asemel. Vanema käitumise taastamiseks on ette nähtud seadistus "krb5 acceptor report canonical client name = no".
• Dollari pileti rünnakute täielikuks kaitsmiseks soovitatakse seada järgmised seadistused: strong certificate binding enforcement full, kdc always include pac yes, kdc require canonicalization yes.
• CVE-2026-20833 haavatavuse blokeerimiseks on KDC seadistustes vaikimisi muudetud domeeni krüpteerimise meetodiks AES (seadistus "kdc default domain supported enctypes" on seatud "aes128-cts-hmac-sha1-96 aes256-cts-hmac-sha1-96").

Allikas: opennet.ru