Dopo 6 mesi di sviluppo è stato presentato il rilascio di Samba 4.24.0, che ha proseguito lo sviluppo della linea Samba 4 con un'implementazione completa del controller di dominio e del servizio Active Directory, compatibile con l'implementazione di Windows Server e in grado di gestire tutte le versioni di Windows client supportate da Microsoft, incluso Windows 11. Samba 4 è un prodotto server multifunzionale che offre anche implementazioni di server file, servizio di stampa e server di identificazione (winbind). Il codice del progetto è scritto in linguaggio C e distribuito sotto licenza GPLv3.
Modifiche chiave in Samba 4.24:
- Aggiunto un nuovo modulo VFS vfs_aio_ratelimit per limitare l'intensità (rate-limit) delle operazioni di input/output asincrono (AIO). I limiti possono essere definiti in byte al secondo o in operazioni al secondo. Quando viene superato il limite impostato, il modulo inizia a inserire ritardi artificiali nelle operazioni asincrone per mantenere la soglia massima stabilita.
- Nel modulo VFS vfs_ceph_new è stato aggiunto il supporto per il protocollo RPC Keybridge e la modalità FSCrypt per la crittografia dei dati e dei nomi dei file nel file system CephFS. È possibile attivare la crittografia a livello di singole directory.
- Nel modulo VFS vfs_streams_xattr, che consente di salvare set di dati alternativi NTFS (NTFS alternate data stream) negli attributi estesi dei file (xattr) in Linux, è stata aggiunta l'impostazione "streams_xattr:max xattrs per stream", che definisce il numero massimo di xattr applicabili per la memorizzazione dei dati. In Linux, la dimensione di xattr è limitata a 65536 byte, ma il file system XFS consente di collegare più di un xattr a un singolo file, permettendo di utilizzare più xattr per memorizzare fino a 1 MB di dati alternativi.
- Implementato il supporto per l'audit delle informazioni relative all'autenticazione. Aggiunti classi di debug "dsdb_password_audit" e "dsdb_password_json_audit" per registrare nei log le modifiche agli attributi di Active Directory: altSecurityIdentities, dNSHostName, msDS-AdditionalDnsHostName, msDS-KeyCredentialLink e servicePrincipalName.
- Aggiunto il supporto per sistemi esterni di gestione delle password Microsoft Entra ID e Keycloak, che utilizzano l'operazione di reset della password (SSPR, password reset) per la modifica della password senza la necessità di fornire la vecchia password al controller. di dominio. Per rispettare le politiche che controllano la durata delle password, durante il reset della password vengono passati parametri aggiuntivi («password policy hints»), consentendo di elaborare l'operazione come un normale cambio di password. Ora Samba considera tali parametri quando applica le politiche locali associate alle password.
- È stata aggiunta la supporto per il meccanismo di autenticazione Kerberos PKINIT KeyTrust, che consente ai controller di dominio basati su Samba e Heimdal KDC di utilizzare il metodo «Windows Hello for Business Key-Trust logons» per implementare il meccanismo di autenticazione PKINIT con chiavi autogenerate. Per aggiungere e visualizzare la chiave pubblica, è stato aggiunto il comando «user|computer keytrust» allo strumento samba-tool. Le informazioni sulla chiave pubblica vengono memorizzate nell'account utilizzando l'attributo msDS-KeyCredentialLink.
- Nei controller di dominio basati su Samba e Heimdal KDC è stato aggiunto il supporto per l'estensione del protocollo Kerberos PKINIT per la mappatura delle chiavi («Windows Strong and Flexible key mappings»), utilizzato durante l'autenticazione basata su chiavi pubbliche. Per impostazione predefinita, viene consentita solo la corrispondenza esatta dei certificati («strong certificate binding enforcement = full»), ma è possibile anche una corrispondenza flessibile («strong certificate binding enforcement = compatibility»), che accetta certificati più recenti rispetto all'account utente. I dati sulla mappatura dei certificati per l'account vengono memorizzati nell'attributo altSecurityIdentities.
- È stata aggiunta la supporto per l'estensione del protocollo «Kerberos PKINIT SID», che consente di utilizzare durante l'autenticazione certificati con identificatore Object SID. Per la firma dei certificati, è stato aggiunto il comando «user|computer generate-csr» allo strumento samba-tool.
- Nell'implementazione del KDC (Key Distribution Center) viene garantito per impostazione predefinita il ritorno della struttura PAC (Privilege Attribute Certificate), che contiene dati sui diritti dell'utente, indipendentemente dal fatto che il campo PA-PAC-REQUEST sia presente nella richiesta del client. Per ripristinare il comportamento precedente è disponibile l'impostazione «kdc always generate pac = no».
- Nel KDC è stata aggiunta l'impostazione «kdc require canonicalization», la quale, se impostata su «yes», richiede che il client richieda l'esecuzione della canonizzazione del nome utente durante l'accesso all'autenticazione (AS_REQ). Se la canonizzazione non viene richiesta, il server restituirà un errore «utente sconosciuto». Nelle reti con utenti che utilizzano sistemi operativi Windows, l'attivazione della nuova impostazione non dovrebbe causare problemi, poiché i client Windows richiedono per impostazione predefinita sempre la canonizzazione. server autenticazione (AS_REQ). Se la canonicalizzazione non è richiesta, il server restituirà un errore "utente sconosciuto". Nelle reti con utenti che utilizzano OS Windows, l'attivazione della nuova impostazione non dovrebbe causare problemi, poiché i client Windows richiedono sempre per impostazione predefinita la canonicalizzazione.
La canonizzazione obbligatoria permette di difendersi dagli attacchi di tipo "dollar ticket", che manipolano il fatto che i nomi utente possono essere impostati in modi diversi ("user" e "user$") e vengono elaborati in modo differente nella rappresentazione canonizzata e in quella normale. L'essenza dell'attacco è che un attaccante, ad esempio, potrebbe creare in AD un'account di computer con il nome "root$" e utilizzarlo per ottenere un mandato (ticket) da KDC, inviando nella richiesta il nome utente "root" invece di "root$". KDC, non trovando l'utente "root", elaborerebbe la richiesta nel contesto dell'utente "root$" e rilascierebbe un mandato, che potrebbe essere utilizzato per connettersi come utente root tramite SSH o NFS a un server Linux con SSSD.
- In KDC è stata aggiunta un'opzione di bypass per la protezione dagli attacchi "dollar ticket" per configurazioni con richieste di canonizzazione dei nomi obbligatorie disabilitate ("kdc require canonicalization = no", applicato di default). Di default, se il client non ha richiesto l'esecuzione della canonizzazione e il nome controllato non è stato trovato, il server esegue un controllo aggiuntivo, allegando il simbolo "$" al nome. Con la nuova impostazione "kdc name match implicit dollar without canonicalization = no" è possibile disabilitare questo comportamento e eseguire solo controlli esatti (nel contesto dell'attacco sopra citato, il server non controllerà il nome "root$" quando viene richiesta "root").
- Nel KDC di Heimdal, di default, viene inviata ai servizi Kerberos solo i nomi canonizzati (sAMAccountName da PAC) invece del valore originale cname. Per ripristinare il comportamento precedente è disponibile l'impostazione "krb5 acceptor report canonical client name = no".
- Per una protezione completa contro gli attacchi "dollar ticket", si raccomanda di impostare le seguenti configurazioni: strong certificate binding enforcement full kdc always include pac yes kdc require canonicalization yes
- Per bloccare la vulnerabilità CVE-2026-20833, il metodo di crittografia del dominio nelle impostazioni KDC di default è stato cambiato in AES (l'impostazione "kdc default domain supported enctypes" è stata impostata su "aes128-cts-hmac-sha1-96 aes256-cts-hmac-sha1-96").
Fonte: opennet.ru
