Dopo 6 mesi di sviluppo è stata rilasciata la versione Samba 4.24.0, che continua lo sviluppo della serie Samba 4 con una piena implementazione del controller di dominio e del servizio Active Directory, compatibile con l'implementazione di Windows Server e in grado di supportare tutte le versioni dei client Windows supportati, incluso Windows 11. Samba 4 è un prodotto server multifunzionale che fornisce anche l'implementazione di un file server, servizio di stampa e server di identificazione (winbind). Il codice del progetto è scritto in linguaggio C ed è distribuito sotto licenza GPLv3.
Modifiche principali in Samba 4.24:
- Aggiunto un nuovo modulo VFS vfs_aio_ratelimit per limitare l'intensità (rate-limit) delle operazioni di input/output asincrono (AIO). I limiti possono essere impostati in byte al secondo o in operazioni al secondo. Superato il limite stabilito, il modulo inizia a inserire ritardi artificiali nelle operazioni asincrone per mantenere il tetto massimo stabilito.
- Nel modulo VFS vfs_ceph_new è stata aggiunta la supporto al protocollo RPC Keybridge e alla modalità FSCrypt per la crittografia dei dati e dei nomi dei file nel file system CephFS. È possibile abilitare la crittografia a livello di singole cartelle.
- Nel modulo VFS vfs_streams_xattr, che permette di salvare i flussi di dati alternativi NTFS (NTFS alternate data stream) negli attributi estesi dei file (xattr) su Linux, è stata aggiunta l'impostazione "streams_xattr:max xattrs per stream", che definisce il numero massimo di xattr utilizzabili per la memorizzazione dei dati. Su Linux, la dimensione di xattr è limitata a 65536 byte, ma il file system XFS consente di associare più di un xattr a un singolo file, il che permette di utilizzare più xattr per memorizzare fino a 1 MB di dati alternativi.
- È stato implementato il supporto per l'audit delle informazioni relative all'autenticazione. Sono state aggiunte classi di debug "dsdb_password_audit" e "dsdb_password_json_audit" per registrare nel log le modifiche degli attributi di Active Directory: altSecurityIdentities, dNSHostName, msDS-AdditionalDnsHostName, msDS-KeyCredentialLink e servicePrincipalName.
- Aggiunto il supporto per sistemi di gestione password esterni Microsoft Entra ID e Keycloak, che utilizzano per la modifica della password l'operazione di ripristino password (SSPR, password reset) senza trasmettere la vecchia password al controller. Per rispettare le politiche che controllano la scadenza delle password, durante il ripristino della password vengono trasmessi parametri aggiuntivi («password policy hints»), che consentono di gestire l'operazione come una normale modifica della password. Ora Samba tiene conto di tali parametri nell'applicazione delle politiche locali relative alle password. di dominio. Per conformarsi alle politiche che controllano la scadenza delle password, durante il reset della password vengono passati parametri aggiuntivi ("password policy hints"), che consentono di trattare l'operazione come un normale cambio di password. Ora Samba tiene conto di tali parametri nell'applicazione delle politiche locali relative alle password.
- È stato aggiunto il supporto per il meccanismo di autenticazione Kerberos PKINIT KeyTrust, che consente ai controller di dominio basati su Samba e Heimdal KDC di utilizzare il metodo "Windows Hello for Business Key-Trust logons" per applicare il meccanismo di autenticazione PKINIT con chiavi autofirmate. È stata aggiunta al comando della utility samba-tool l'opzione "user|computer keytrust" per aggiungere e visualizzare la chiave pubblica. Le informazioni sulla chiave pubblica vengono salvate nell'account tramite l'attributo msDS-KeyCredentialLink.
- Nei controller di dominio basati su Samba e Heimdal KDC è stato aggiunto il supporto per l'estensione del protocollo Kerberos PKINIT per il mapping delle chiavi ("Windows Strong and Flexible key mappings"), utilizzato durante l'autenticazione con chiavi pubbliche. Per impostazione predefinita, è consentita solo la corrispondenza esatta dei certificati ("strong certificate binding enforcement = full"), ma è possibile anche una corrispondenza flessibile ("strong certificate binding enforcement = compatibility"), che consente certificati più recenti rispetto all'account utente. I dati sul mapping dei certificati per l'account vengono salvati nell'attributo altSecurityIdentities.
- È stata aggiunta la supporto per l'estensione del protocollo "Kerberos PKINIT SID", che consente di utilizzare certificati con identificatore Object SID durante l'autenticazione. Per firmare i certificati è stata aggiunta l'opzione "user|computer generate-csr" nella utility samba-tool.
- Nella realizzazione del KDC (Key Distribution Center) è garantito, per impostazione predefinita, il ritorno della struttura PAC (Privilege Attribute Certificate) contenente i dati sui diritti dell'utente, indipendentemente dal fatto che il campo PA-PAC-REQUEST sia specificato nella richiesta del client. Per ripristinare il comportamento precedente è disponibile l'impostazione "kdc always generate pac = no".
- Nel KDC è stata aggiunta l'impostazione "kdc require canonicalization", che richiede al client di richiedere la canonizzazione del nome utente quando si accede all'autenticazione (AS_REQ). Se la canonizzazione non è richiesta, il server restituirà un errore "utente sconosciuto". Nelle reti con utenti che utilizzano Windows, l'attivazione della nuova impostazione non dovrebbe causare problemi, poiché i client Windows per impostazione predefinita richiedono sempre la canonizzazione. server La canonizzazione obbligatoria consente di difendersi dagli attacchi di tipo "dollar ticket", che manipolano il fatto che i nomi degli utenti possono essere definiti in modo diverso ("user" e "user$") e trattati in modi differenti nella rappresentazione canonizzata e in quella normale. L'essenza dell'attacco è che un aggressore, ad esempio, potrebbe creare un account computer in AD con il nome "root$" e utilizzarlo per ottenere dal KDC un ticket, inviando nella richiesta il nome utente "root" invece di "root$". Non trovando l'utente "root", il KDC elaborerebbe la richiesta nel contesto dell'utente "root$" e rilascierebbe un ticket utilizzabile per la connessione come utente root tramite SSH o NFS a un server Linux con SSSD.
Nel KDC è stata aggiunta un'opzione alternativa di protezione contro gli attacchi "dollar ticket" per configurazioni con richieste di canonizzazione dei nomi disabilitate ("kdc require canonicalization = no", applicata per impostazione predefinita). Per impostazione predefinita, se il client non ha richiesto la canonizzazione e il nome verificato non viene trovato, il server esegue un controllo aggiuntivo allegando il simbolo "$" al nome. Con la nuova impostazione "kdc name match implicit dollar without canonicalization = no" è possibile disattivare questo comportamento ed eseguire solo controlli esatti (nel contesto dell'attacco menzionato, il server non verificherà il nome "root$" nella richiesta "root").
- Nel KDC è stata aggiunta un'opzione alternativa di protezione contro gli attacchi 'dollar ticket' per le configurazioni con le richieste di canonizzazione dei nomi disattivate ('kdc require canonicalization = no', applicato per impostazione predefinita). Di default, se il cliente non ha richiesto la canonizzazione e il nome controllato non è stato trovato, il server esegue un ulteriore controllo, aggiungendo il simbolo '$' al nome. Con la nuova impostazione 'kdc name match implicit dollar without canonicalization = no' è possibile disattivare questo comportamento ed effettuare solo controlli esatti (nel contesto dell'attacco sopra menzionato, il server non verificherà il nome 'root$' con la richiesta 'root').
- Nel KDC di Heimdal è abilitato per impostazione predefinita l'invio solo di nomi canonizzati ai servizi Kerberos (sAMAccountName da PAC) invece del valore originale cname. Per ripristinare il comportamento precedente è disponibile l'impostazione "krb5 acceptor report canonical client name = no".
- Per una protezione efficace dagli attacchi «dollar ticket», si raccomanda di impostare le seguenti configurazioni: enforcement della forte vincolazione dei certificati full kdc include sempre pac yes kdc richiede la canonicalizzazione yes
- Per bloccare la vulnerabilità CVE-2026-20833, il metodo di crittografia del dominio nelle impostazioni KDC di default è stato cambiato in AES (l'impostazione «kdc default domain supported enctypes» è stata impostata su «aes128-cts-hmac-sha1-96 aes256-cts-hmac-sha1-96»).
Fonte: opennet.ru
