Sortie de Samba 4.17.0

La version Samba 4.17.0 a été présentée, poursuivant le développement de la branche Samba 4 avec une mise en œuvre complète d'un contrôleur de domaine et du service Active Directory, compatible avec l'implémentation Windows 2008 et capable de prendre en charge toutes les versions de clients Windows prises en charge par Microsoft, y compris Windows 11. Samba 4 est un produit serveur multifonctionnel, offrant également une mise en œuvre de serveur de fichiers, de service d'impression et de serveur d'identification (winbind).

Changements clés dans Samba 4.17 :

• Des efforts ont été déployés pour résoudre les régressions de performance des serveurs SMB sous forte charge, apparues à la suite de l'ajout de protections contre les vulnérabilités manipulant les liens symboliques. Parmi les optimisations réalisées, on mentionne la réduction des appels système lors de la vérification du nom de répertoire et l'absence d'événements de réveil lors du traitement d'opérations concurrentes, entraînant des retards.
• Il est désormais possible de compiler Samba sans prise en charge du protocole SMB1 dans smbd. Pour désactiver SMB1, l'option « --without-smb1-server » a été mise en œuvre dans le script de configuration (cela n'affecte que smbd, le support SMB1 restant dans les bibliothèques clientes).
• Avec MIT Kerberos 1.20, il est désormais possible de contrer l'attaque « Bronze Bit » (CVE-2020-17049), grâce à la transmission d'informations supplémentaires entre les composants KDC et KDB. Dans le KDC par défaut basé sur Heimdal Kerberos, le problème a été résolu en 2021.
• Lors de la compilation avec MIT Kerberos 1.20, le contrôleur de domaine basé sur Samba prend en charge les extensions Kerberos S4U2Self et S4U2Proxy, et une possibilité de délégation contrainte basée sur les ressources (RBCD, Resource Based Constrained Delegation) a été ajoutée. Pour gérer RBCD, des sous-commandes ‘add-principal’ et ‘del-principal’ ont été ajoutées à la commande « samba-tool delegation ». Dans le KDC par défaut basé sur Heimdal Kerberos, le mode RBCD n'est pas encore pris en charge.
• Dans le service DNS intégré, il est désormais possible de modifier le port réseau acceptant les requêtes (par exemple, pour exécuter un autre serveur DNS sur le même système, redirigeant certaines requêtes vers Samba).
• Dans le composant CTDB, qui gère le fonctionnement des configurations de cluster, les exigences de syntaxe du fichier ctdb.tunables ont été assouplies. Lors de la compilation de Samba avec les options «—with-cluster-support» et «—systemd-install-services», l'installation du service systemd pour CTDB est assurée. La distribution du script ctdbd_wrapper a été arrêtée — le processus ctdbd est désormais lancé directement depuis le service systemd ou depuis un script d'initialisation.
• La configuration ‘nt hash store = never’ a été réalisée, interdisant le stockage de hachages de mots de passe utilisateurs Active Directory « nus » (sans sel). Dans la prochaine version, la configuration ‘nt hash store’ sera par défaut définie sur la valeur « auto », où le mode « never » sera appliqué en cas de configuration ‘ntlm auth = disabled’.
• Une liaison pour accéder à l'API de la bibliothèque smbconf depuis du code en Python a été proposée.
• Le programme smbstatus a été mis à jour pour permettre l'affichage des informations au format JSON (activé par l'option «—json»).
• Le contrôleur de domaine prend en charge le groupe de sécurité « Utilisateurs protégés », introduit dans Windows Server 2012 R2, qui empêche l'utilisation de types de chiffrement non fiables (pour les utilisateurs du groupe, le support de l'authentification NTLM, les TGT Kerberos basés sur RC4, ainsi que la délégation limitée et illimitée sont désactivés).
• Le support du stockage de mots de passe et de la méthode d'authentification basée sur LanMan a été interrompu (la configuration « lanman auth = yes » n'a désormais plus d'importance).
  
  Source : opennet.ru