Dopo 6 mesi di sviluppo, è stata rilasciata Samba 4.20.0, che continua lo sviluppo della serie Samba 4 con un'implementazione completa del controller di dominio e del servizio Active Directory, compatibile con l'implementazione di Windows 2008 e in grado di supportare tutte le versioni client di Windows supportate da Microsoft, inclusa Windows 11. Samba 4 è un prodotto server multifunzionale che offre anche l'implementazione di un server di file, servizio di stampa e server di identificazione (winbind).
Modifiche chiave in Samba 4.20:
- Per impostazione predefinita, è inclusa la nuova utility ‘wspsearch’ con un client sperimentale per il protocollo WSP (Windows Search Protocol). L'utility consente di inviare query di ricerca a un server Windows su cui è in esecuzione il servizio WSP.
- Nel comando ‘smbcacls’ è stato implementato il supporto per la scrittura delle liste di controllo degli accessi DACL in un file e il ripristino del DACL da un file. I dati vengono salvati in un formato supportato dall'utility Windows ‘icacls.exe’, garantendo la portabilità dei file con i DACL (Discretionary Access Control List) salvati.
- L’utility ‘samba-tool’ ha ricevuto estensioni per le politiche di accesso centralizzate di Active Directory (Claims), politiche di autenticazione (Authentication Policies) e contenitori di politiche (Authentication Silos). Adesso è possibile utilizzare samba-tool per associare un utente alle affermazioni (claims) per un uso successivo nelle regole che definiscono le possibilità di accesso nell'ambito delle politiche di autenticazione.
Inoltre, l'utility samba-tool può ora essere utilizzata per creare e gestire politiche di autenticazione, nonché per creare e gestire contenitori di politiche. Ad esempio, utilizzando samba-tool, è possibile definire da dove e a dove un utente può connettersi, se è consentito l'uso di NTLM, e in quali servizi l'utente può essere autenticato.
- Nel controller basato su Samba di dominio Active Directory è stato aggiunto il supporto per le politiche di autenticazione (Authentication Policies) e i contenitori di politiche (Authentication Silos), creati tramite l'utility samba-tool o importati dalle configurazioni di Microsoft AD. Questa possibilità è disponibile solo su sistemi con un livello funzionale di Active Directory di almeno 2012_R2 (‘ad dc functional level = 2016’ in smb.conf).
- Nell'utility samba-tool è stata aggiunta la supporto client-side per gli account gMSA (Group Managed Service Account), che utilizzano password automaticamente aggiornate. I comandi di gestione della password forniti da samba-tool, che prima potevano essere utilizzati solo con il database locale sam.ldb, possono ora essere applicati anche a quelli esterni. server in accesso autenticato, utilizzando l'opzione «-H ldap://$DCNAME». Tra le operazioni supportate: «samba-tool user getpassword» per leggere la password attuale e precedente del gMSA; «samba-tool user get-kerberos-ticket» per scrivere il TGT (Ticket Granting Ticket) Kerberos nella cache locale degli account.
- È stata aggiunta la supporto per i Conditional ACE, che consentono di autorizzare o bloccare l'accesso in base a condizioni aggiuntive: se l'espressione condizionale non ha esito positivo, l'ACE viene ignorato, altrimenti viene applicato come un normale ACE. Le verifiche condizionali possono essere applicate anche agli attributi dell'oggetto protetto, descritti dagli attributi delle risorse di sistema (Resource Attribute ACE).
- Nell'implementazione del cluster ctdb è stata aggiunta la possibilità di fornire il servizio MS-SWN (Service Witness Protocol), tramite cui i client possono monitorare le loro connessioni SMB ai nodi del cluster. Ad esempio, un client connesso al nodo «A» può richiedere al nodo «B» di inviare una notifica se il nodo «A» diventa non disponibile. Per gestire il servizio è stata proposta una serie di comandi «net witness [list|client-move|share-move|force-unregister|force-response]», che consentono all'amministratore del cluster di visualizzare i client registrati e richiedere il trasferimento della connessione ad altri nodi del cluster.
- Per le configurazioni con MIT Kerberos5, che operano come controller di dominio Active Directory, ora è richiesta almeno la versione MIT Krb5 1.21, in cui è stata inclusa una protezione aggiuntiva contro la vulnerabilità CVE-2022-37967.
- Nella compilazione con Heimdal Kerberos importato non è più necessario installare il modulo Perl JSON, che è stato sostituito dal modulo JSON::PP incorporato in Perl5.
- Nai comandi «samba-tool user getpassword» e «samba-tool user syncpasswords», utilizzati per determinare e sincronizzare la password, è stata modificata l'uscita quando si utilizza il parametro «;rounds=» con gli attributi virtualCryptSHA256 e virtualCryptSHA512 (ad esempio, ‘—attributes="virtualCryptSHA256;rounds=50000"‘). Prima: virtualCryptSHA256: {CRYPT}$5$rounds=2561$hXem.M9onhM9Vuix$dFdSBwF Dopo: virtualCryptSHA256;rounds=2561:{CRYPT}$5$rounds=2561$hXem.M9onhM9Vuix$dFdSBwF
- Nell'implementazione di MS-WKST (Workstation Service Remote Protocol) è stata interrotta la supporto per la visualizzazione dell'elenco degli utenti connessi basata sul contenuto del file /var/run/utmp, che conserva i dati sugli utenti attualmente attivi nel sistema. Il supporto per utmp è stato interrotto a causa della vulnerabilità di questo formato al problema del 2038.
Fonte: opennet.ru
