Nakon 6 mjeseci razvoja, predstavljen je izdanak Samba 4.24.0, koji nastavlja razvoj grane Samba 4 s potpunom implementacijom kontrolera domene i Active Directory servisa, koji je kompatibilan s implementacijom Windows Servera i sposoban je opslužiti sve podržane verzije Windows klijenata, uključujući Windows 11. Samba 4 je višenamjenski serverski proizvod koji također pruža implementaciju datotečnog poslužitelja, uslugu ispisa i identifikacijski poslužitelj (winbind). Kod projekta napisan je na jeziku C i distribuira se pod GPLv3 licencom.
Ključne promjene u Samba 4.24:
- Dodan je novi VFS modul vfs_aio_ratelimit za ograničavanje intenziteta (rate-limit) operacija asinkronog ulaza/izlaza (AIO). Ograničenja mogu biti postavljena u bajtovima u sekundi ili u operacijama u sekundi. Kada se prekorači zadan limit, modul počinje umetati umjetna kašnjenja u asinkrone operacije kako bi održao zadani maksimum.
- U VFS modul vfs_ceph_new dodana je podrška za RPC protokol Keybridge i FSCrypt način za šifriranje podataka i imena datoteka u datotečnom sustavu CephFS. Šifriranje na razini pojedinih mapa može se uključiti.
- U VFS modul vfs_streams_xattr, koji omogućava spremanje alternativnih setova podataka NTFS (NTFS alternate data stream) u proširenim atributima datoteka (xattr) u Linuxu, dodana je konfiguracija 'streams_xattr:max xattrs per stream', koja određuje dopušteni broj xattr-a primjenjenih za pohranu podataka. U Linuxu je veličina xattr ograničena na 65536 bajtova, ali datotečni sustav XFS omogućava vezivanje više od jednog xattr-a na jednu datoteku, što omogućava korištenje više xattr-a za pohranu do 1 MB alternativnih podataka.
- Implementirana je podrška za reviziju informacija povezanih s autentifikacijom. Dodani su debuggerski razredi 'dsdb_password_audit' i 'dsdb_password_json_audit' za odražavanje u dnevniku promjena atributa Active Directory: altSecurityIdentities, dNSHostName, msDS-AdditionalDnsHostName, msDS-KeyCredentialLink i servicePrincipalName.
- Dodana je podrška za vanjske sustave upravljanja lozinkama Microsoft Entra ID i Keycloak, koji koriste operaciju resetiranja lozinke (SSPR, password reset) bez slanja stare lozinke kontroleru. domenu. Da bismo ispoštovali politike koje kontrolišu trajanje lozinki, prilikom resetovanja lozinke prenose se dodatni parametri («password policy hints»), omogućavajući da se operacija obrađuje kao uobičajena promena lozinke. Sada Samba uzima u obzir slične parametre prilikom primene lokalnih politika vezanih za lozinke.
- Dodana je podrška za mehanizam autentifikacije Kerberos PKINIT KeyTrust, koji omogućava kontrolerima domena na bazi Sambe i Heimdal KDC-a korišćenje metode «Windows Hello for Business Key-Trust logons» za implementaciju PKINIT mehanizma sa samopotpisanim ključevima. U alatku samba-tool dodata je komanda «user|computer keytrust» za dodavanje i pregled otvorenog ključa. Informacije o otvorenom ključe se čuvaju u nalogu pomoću atributa msDS-KeyCredentialLink.
- Kontrolerima domena na bazi Sambe i Heimdal KDC-a dodana je podrška za ekstenziju Kerberos PKINIT protokola za mapiranje ključeva («Windows Strong and Flexible key mappings»), koji se koristi prilikom autentifikacije putem otvorenih ključeva. Po defaultu se dozvoljava samo tačno uparivanje sertifikata («strong certificate binding enforcement = full»), ali je moguće i fleksibilno uparivanje («strong certificate binding enforcement = compatibility»), koje dozvoljava sertifikate novije od korisničkog naloga. Podaci o mapiranju sertifikata za nalog se čuvaju u atributu altSecurityIdentities.
- Dodana je podrška za ekstenziju «Kerberos PKINIT SID» protokola, koja omogućava korišćenje sertifikata sa identifikatorom Object SID tokom autentifikacije. Za potpisivanje sertifikata u alatku samba-tool dodata je komanda «user|computer generate-csr».
- U implementaciji KDC-a (Key Distribution Center) po defaultu je omogućeno vraćanje strukture PAC (Privilege Attribute Certificate), koja sadrži podatke o ovlašćenjima korisnika, bez obzira na to da li je polje PA-PAC-REQUEST navedeno u zahtevu klijenta. Za vraćanje starog ponašanja predviđena je opcija «kdc always generate pac = no».
- U KDC-u dodana je opcija «kdc require canonicalization», pri čemu, kada je postavljena na «yes», klijent je obavezan da zatraži kanonizaciju korisničkog imena prilikom pristupa poslužitelju autentifikaciji (AS_REQ). Ako kanonizacija nije zahtevana, server će vratiti grešku «korisnik nepoznat». U mrežama sa korisnicima koji koriste operativni sistem Windows, aktivacija nove opcije ne bi trebala da izazove probleme, pošto Windows klijenti po defaultu uvek traže kanonizaciju.
Obvezna kanonizacija omogućuje zaštitu od "dolar tiket" napada, koji manipuliraju s tim da se imena korisnika mogu unositi na različite načine ("user" i "user$") i na različite načine obrađivati u kanoniziranom i običnom prikazu. Suština napada je u tome što bi napadač, na primjer, mogao kreirati u AD računalo pod nazivom "root$" i koristiti ga za dobivanje mandata (ticket) od KDC-a, lažno navodeći ime korisnika "root" umjesto "root$". KDC ne pronašavši korisnika "root", obradio bi zahtjev u kontekstu korisnika "root$" i izdao mandat koji se može koristiti za prijavu kao root preko SSH ili NFS na Linux server s SSSD-om.
- U KDC-u je dodana alternativa za zaštitu od "dolar tiket" napada za konfiguracije s isključenim obaveznim zahtjevima za kanonizaciju imena ("kdc require canonicalization = no", primjenjuje se prema zadanim postavkama). Prema zadanim postavkama, ako klijent ne zatraži kanonizaciju i provjeravano ime nije pronađeno, server izvršava dodatnu provjeru pridružujući znak "$" imenu. Uz novu postavku "kdc name match implicit dollar without canonicalization = no" ovo ponašanje se može isključiti i izvoditi samo točne provjere (u kontekstu ranije navedene napade server neće provjeravati ime "root$" prilikom zahtjeva "root").
- U Heimdal KDC-u je prema zadanim postavkama uključena slanje samo kanoniziranih imena (sAMAccountName iz PAC-a) uslugama Kerberos umjesto izvorne vrijednosti cname. Za vraćanje starog ponašanja dostupan je postavka "krb5 acceptor report canonical client name = no".
- Za potpunu zaštitu od napada "dolar tiket" preporučuje se postaviti sljedeće postavke: strong certificate binding enforcement full, kdc always include pac yes, kdc require canonicalization yes.
- Za blokiranje ranjivosti CVE-2026-20833, metoda šifriranja domene u postavkama KDC-a prema zadanim postavkama promijenjena je na AES (postavka "kdc default domain supported enctypes" postavljena je na "aes128-cts-hmac-sha1-96 aes256-cts-hmac-sha1-96").
Izvor: opennet.ru
