Bemutatásra került a Samba 4.17.0 verzió, amely folytatta a Samba 4 ág fejlesztését, a teljes körű domain controller és Active Directory szolgáltatás megvalósításával, amely kompatibilis a Windows 2008-as verzióval, és képes kezelni minden támogatott Microsoft Windows-ügyfél verziót, beleértve a Windows 11-et is. A Samba 4 egy multifunkcionális szervertermék, amely fájlszerver, nyomtatószolgáltatás és azonosítási szerver (winbind) megvalósítását is biztosítja.
A Samba 4.17 kulcsfontosságú változásai:
- Munkát végeztek a túlterhelt SMB szerverek teljesítményének visszaeséseinek kiküszöbölésén, amelyek a szimbolikus linkek manipulációját megcélzó sebezhetőségek elleni védelem hozzáadásából adódtak. A végrehajtott optimalizálások között említjük a rendszerhívások csökkentését a könyvtárnév ellenőrzése során és a wakeup események elkerülését a versengő műveletek feldolgozása során, amelyek késlekedést okoztak.
- Lehetőség van a Samba összeállítására az SMB1 protokoll támogatása nélkül az smbd alkalmazásban. Az SMB1 letiltására az '—without-smb1-server' opció került bevezetésre a configure összeállító szkriptben (ez csak az smbd-t érinti, az ügyfél könyvtárakban az SMB1 támogatása megmarad).
- Az MIT Kerberos 1.20 használata esetén megvalósításra került a 'Bronze Bit' támadás (CVE-2020-17049) elleni védekezés, a KDC és KDB közötti további információk átküldésének köszönhetően. Az alapértelmezett Heimdal Kerberos alapú KDC-nél a probléma 2021-ben került javításra.
- MIT Kerberos 1.20 használata esetén a vezérlőben domain a Samba alapú Kerberos kiterjesztések (S4U2Self és S4U2Proxy) támogatása megvalósult, valamint bevezetésre került a forráson alapuló korlátozott delegálás (RBCD, Resource Based Constrained Delegation). Az RBCD kezelésére a 'samba-tool delegation' parancsba az 'add-principal' és 'del-principal' alsóbbi parancsok kerültek hozzáadásra. Az alapértelmezett Heimdal Kerberos alapú KDC-nél az RBCD üzemmód még nem támogatott.
- A beépített DNS szolgáltatás lehetőséget biztosít a hálózati port megváltoztatására, amely a kéréseket fogadja (például lehetővé teszi, hogy ugyanazon a rendszeren egy másik DNS-szervert futtassunk, amely bizonyos kéréseket a Samba felé irányít).
- A CTDB component responsible for managing cluster configurations has reduced the syntax requirements for the ctdb.tunables file. When building Samba with the options ‘—with-cluster-support’ and ‘—systemd-install-services’, the installation of the systemd service for CTDB is ensured. The ctdbd_wrapper script is no longer supplied — the ctdbd process is now started directly from the systemd service or from the initialization script.
- The configuration ‘nt hash store = never’ is implemented, prohibiting the storage of ‘naked’ (unsalted) password hashes for Active Directory users. In the next version, the ‘nt hash store’ setting will default to ‘auto’, where the ‘never’ mode will apply if ‘ntlm auth = disabled’ is set.
- A wrapper for accessing the SMBConf library API from Python code has been proposed.
- The smbstatus program has been enhanced to output information in JSON format (enabled with the ‘—json’ option).
- Support for the ‘Protected Users’ security group has been implemented in the domain controller, introduced in Windows Server 2012 R2, which does not allow the use of insecure encryption types (authentication NTLM is disabled for users in the group, along with Kerberos TGTs based on RC4, limited and unrestricted delegation).
- Support for the password storage and authentication method based on LanMan has been discontinued (the setting ‘lanman auth = yes’ is now deprecated).
Forrás: opennet.ru
