Objavljen je Samba 4.17.0, koji je nastavio razvoj serije Samba 4 s potpunom implementacijom kontrolera domene i Active Directory usluge, kompatibilne s implementacijom Windows 2008 i sposobne za podršku svim verzijama Windows klijenata koje Microsoft podržava, uključujući Windows 11. Samba 4 je multifunkcionalni serverski proizvod koji također pruža implementaciju datotečnog poslužitelja, usluge ispisa i poslužitelja identiteta (winbind).
Ključne promjene u Samba 4.17:
- Poduzeti su koraci za otklanjanje regresija u performansama opterećenih SMB poslužitelja, koje su nastale kao rezultat dodavanja zaštite od ranjivosti koja manipulira simboličkim linkovima. Među provedenim optimizacijama ističe se smanjenje sistemskih poziva prilikom provjere imena direktorija i ne korištenje wakeup događaja pri obradi konkurentnih operacija, što dovodi do zakašnjenja.
- Omogućena je izgradnja Sambe bez podrške za SMB1 protokol u smbd. Za isključivanje SMB1 u build skripti configure implementirana je opcija „--without-smb1-server“ (utječe samo na smbd, u klijentskim bibliotekama podrška za SMB1 ostaje).
- Prilikom korištenja MIT Kerberos 1.20 implementirana je mogućnost suprotstavljanja napadu „Bronze Bit“ (CVE-2020-17049), zahvaljujući prijenosu dodatnih informacija između komponenti KDC i KDB. U zadanom KDC-u temeljenom na Heimdal Kerberos problem je riješen 2021. godine.
- Prilikom izgradnje s MIT Kerberos 1.20 u kontroleru domenu temeljenom na Sambi implementirana je podrška za Kerberos proširenja S4U2Self i S4U2Proxy, kao i dodana mogućnost ograničenog delegiranja temeljenog na resursima (RBCD, Resource Based Constrained Delegation). Za upravljanje RBCD-om u komandni alat „samba-tool delegation“ dodane su podkomande ‘add-principal’ i ‘del-principal’. U zadanom KDC-u temeljenom na Heimdal Kerberos trenutno nije podržan RBCD mod.
- U ugrađenoj DNS usluzi omogućena je promjena mrežne portne koji prihvaća zahtjeve (na primjer, za pokretanje drugog DNS poslužitelja na istom sustavu, koji preusmjerava određene zahtjeve prema Sambi).
- U komponenti CTDB, odgovornom za rad klasterskih konfiguracija, smanjeni su zahtjevi za sintaksu datoteke ctdb.tunables. Prilikom izrade Samb-e s opcijama "--with-cluster-support" i "--systemd-install-services" osigurana je instalacija systemd usluge za CTDB. Pružanje skripte ctdbd_wrapper je prekinuto — proces ctdbd sada se pokreće izravno iz systemd usluge ili iz inicijalizacijske skripte.
- Implementirana je postavka ‘nt hash store = never’ koja zabranjuje pohranu "golog" (bez soli) heša lozinki korisnika Active Directory-a. U sljedećoj verziji, postavka ‘nt hash store’ po defaultu će biti postavljena na vrijednost «auto», pri čemu će se način «never» primijeniti u slučaju da je postavljena postavka ‘ntlm auth = disabled’.
- Predložena je omotnica za pristup API-ju knjižnice smbconf iz koda napisanog u Pythonu.
- U programu smbstatus implementirana je mogućnost izvoza informacija u JSON formatu (aktivira se opcijom «--json»).
- U kontroleru domene implementirana je podrška za sigurnosnu grupu «Zaštićeni korisnici», koja se pojavila u Windows Server 2012 R2 i ne dopušta korištenje nesigurnih tipova šifriranja (za korisnike u grupi isključena je podrška za NTLM autentifikaciju, Kerberos TGTs baziran na RC4, ograničeno i neograničeno delegiranje).
- Prekinuta je podrška za spremište lozinki i metodu autentifikacije temeljenu na LanManu (postavka «lanman auth = yes» sada nema značaj).
Izvor: opennet.ru
