È stato rilasciato Samba 4.17.0, che ha proseguito lo sviluppo della serie Samba 4 con una piena implementazione del controller di dominio e del servizio Active Directory, compatibile con l'implementazione di Windows 2008 e in grado di supportare tutte le versioni di Windows client supportate da Microsoft, incluso Windows 11. Samba 4 è un prodotto server multifunzionale, che offre anche implementazioni di server di file, servizio di stampa e server di identificazione (winbind).
Modifiche principali in Samba 4.17:
- È stata effettuata un'ottimizzazione per eliminare regressioni nelle prestazioni dei server SMB sovraccarichi, emerse a causa dell'aggiunta di protezioni contro vulnerabilità che manipolano collegamenti simbolici. Tra le ottimizzazioni effettuate si segnala la riduzione delle chiamate di sistema durante il controllo del nome della directory e l'assenza di eventi wakeup durante la gestione di operazioni in concorrenza, che portano a ritardi.
- È ora possibile compilare Samba senza supporto per il protocollo SMB1 in smbd. Per disattivare SMB1, nel file di script di configurazione è stata implementata l'opzione "—without-smb1-server" (questo influisce solo su smbd, mentre il supporto SMB1 rimane nelle librerie client).
- Con l'uso di MIT Kerberos 1.20 è stata implementata la possibilità di contrastare l'attacco "Bronze Bit" (CVE-2020-17049), grazie alla trasmissione di informazioni aggiuntive tra i componenti KDC e KDB. Nel KDC predefinito basato su Heimdal Kerberos, il problema è stato risolto nel 2021.
- Durante la compilazione con MIT Kerberos 1.20, nel controller di dominio basato su Samba è stato implementato il supporto per le estensioni Kerberos S4U2Self e S4U2Proxy, e è stata aggiunta la possibilità di delega limitata basata su risorse (RBCD, Resource Based Constrained Delegation). Per gestire RBCD, ai comandi della "samba-tool delegation" sono state aggiunte le sottocomandi ‘add-principal’ e ‘del-principal’. Nel KDC predefinito basato su Heimdal Kerberos, la modalità RBCD non è ancora supportata.
- Nel servizio DNS integrato è stata fornita la possibilità di modificare la porta di rete che riceve le richieste (ad esempio, per eseguire un altro server DNS sulla stessa macchina, deviando determinate richieste a Samba).
- Nel componente CTDB, responsabile del funzionamento delle configurazioni di cluster, sono stati abbassati i requisiti per la sintassi del file ctdb.tunables. Compilando Samba con le opzioni «—with-cluster-support» e «—systemd-install-services», è stata garantita l'installazione del servizio systemd per CTDB. È stata interrotta la fornitura dello script ctdbd_wrapper: il processo ctdbd ora viene avviato direttamente dal servizio systemd o dallo script di inizializzazione.
- È stata implementata l'impostazione ‘nt hash store = never’ che vieta la memorizzazione di hash delle password degli utenti Active Directory senza sale. Nella prossima versione, l'impostazione ‘nt hash store’ sarà impostata su 'auto' di default, in cui il modo 'never' sarà applicato nel caso in cui sia presente l'impostazione ‘ntlm auth = disabled’.
- È stato proposto un wrapper per accedere all'API della libreria smbconf dal codice scritto in Python.
- Nel programma smbstatus è stata implementata la possibilità di visualizzare le informazioni nel formato JSON (attivabile con l'opzione «—json»).
- Nel controller di dominio è stato implementato il supporto per il gruppo di sicurezza «Utenti protetti», introdotto in Windows Server 2012 R2, che non consente l'uso di tipi di crittografia non sicuri (per gli utenti nel gruppo, è disabilitato il supporto per l'autenticazione NTLM, Kerberos TGTs basati su RC4, delega limitata e illimitata).
- È stato interrotto il supporto per il sistema di memorizzazione delle password e il metodo di autenticazione basato su LanMan (l'impostazione «lanman auth = yes» ora non ha effetto).
Fonte: opennet.ru
