Dopo 6 mesi di sviluppo, è stato presentato il rilascio di Samba 4.20.0, che continua lo sviluppo della serie Samba 4 con l'implementazione completa del controller di dominio e del servizio Active Directory, compatibile con l'implementazione di Windows 2008 e in grado di supportare tutte le versioni di Windows client supportate da Microsoft, inclusa Windows 11. Samba 4 è un prodotto server multifunzionale che fornisce anche un'implementazione di server file, servizio di stampa e server di identificazione (winbind).
Modifiche chiave in Samba 4.20:
- Per impostazione predefinita, è inclusa la nuova utility 'wspsearch' con l'implementazione di un client sperimentale per il protocollo WSP (Windows Search Protocol). L'utility consente di inviare query di ricerca a un server Windows in cui è in esecuzione il servizio WSP.
- Nel comando 'smbcacls' è stata implementata la supporto per la registrazione delle liste di controllo degli accessi DACL in un file e il ripristino del DACL da un file. I dati vengono salvati in un formato supportato dall'utility di Windows 'icacls.exe', garantendo la portabilità dei file con DACL salvati (Discretionary Access Control List).
- Nell'utilità «samba-tool» sono state aggiunte estensioni per le politiche di accesso centralizzate di Active Directory (Claims), le politiche di autenticazione (Authentication Policies) e i contenitori delle politiche (Authentication Silos). Ora è possibile utilizzare samba-tool per associare un utente a delle affermazioni (claims) per un successivo utilizzo nelle regole che definiscono l'accesso nelle politiche di autenticazione.
Inoltre, l'utilità samba-tool può ora essere utilizzata per creare e gestire politiche di autenticazione, nonché per creare e gestire contenitori delle politiche. Ad esempio, utilizzando samba-tool è possibile definire da dove e dove un utente può connettersi, se l'uso di NTLM è consentito, e in quali servizi l'utente può essere autenticato.
- Nel controller basato su Samba di dominio Active Directory ha aggiunto il supporto per le politiche di autenticazione (Authentication Policies) e i contenitori delle politiche (Authentication Silos), creati tramite l'utilità samba-tool o importati dalle configurazioni di Microsoft AD. Questa funzionalità è disponibile solo su sistemi con un livello funzionale di Active Directory di almeno 2012_R2 («ad dc functional level = 2016» in smb.conf).
- Nell'utilità samba-tool è stata aggiunta la supporto lato client per gli account gestiti gMSA (Group Managed Service Account), che utilizzano password aggiornate automaticamente. I comandi di gestione della password forniti in samba-tool, che prima potevano essere utilizzati solo con il database locale sam.ldb, possono ora essere applicati anche all'accesso autenticato, utilizzando l'opzione «-H ldap://$DCNAME». server Tra le operazioni supportate: «samba-tool user getpassword» per leggere l'attuale e il precedente password gMSA; «samba-tool user get-kerberos-ticket» per scrivere il Kerberos TGT (Ticket Granting Ticket) nella cache locale degli account.
- È stata aggiunta la supporto per le voci di controllo accesso condizionali (Conditional ACE), che consentono di consentire o bloccare l'accesso in base a ulteriori condizioni: se l'espressione condizionale non viene attivata, l'ACE viene ignorato, altrimenti viene applicato come un normale ACE. I controlli condizionali possono essere applicati anche agli attributi dell'oggetto protetto, descritti dagli attributi delle risorse di sistema (Resource Attribute ACE).
- Nell'implementazione del cluster ctdb è stata aggiunta la possibilità di fornire il servizio MS-SWN (Service Witness Protocol), tramite il quale i clienti possono monitorare le proprie connessioni SMB ai nodi del cluster. Ad esempio, un cliente connesso al nodo "A" può richiedere al nodo "B" di inviare una notifica se il nodo "A" diventa non disponibile. Per gestire il servizio, è stata proposta una serie di comandi "net witness [list|client-move|share-move|force-unregister|force-response]", che consentono all'amministratore del cluster di visualizzare i clienti registrati e richiedere lo spostamento delle connessioni su altri nodi del cluster.
- Per le configurazioni con MIT Kerberos5 che operano come controller di dominio Active Directory, ora è richiesta almeno la versione MIT Krb5 1.21, che include ulteriori protezioni contro la vulnerabilità CVE-2022-37967.
- Nella compilazione con Heimdal Kerberos importato non è più necessario installare il modulo Perl JSON, poiché viene utilizzato il modulo JSON::PP incorporato in Perl5.
- Nei comandi "samba-tool user getpassword" e "samba-tool user syncpasswords", utilizzati per la definizione e la sincronizzazione della password, è stata modificata l'uscita quando si utilizza il parametro ";rounds=" con gli attributi virtualCryptSHA256 e virtualCryptSHA512 (ad esempio, ‘—attributes=»virtualCryptSHA256;rounds=50000″‘). Prima: virtualCryptSHA256: {CRYPT}$5$rounds=2561$hXem.M9onhM9Vuix$dFdSBwF Ora: virtualCryptSHA256;rounds=2561:{CRYPT}$5$rounds=2561$hXem.M9onhM9Vuix$dFdSBwF
- Nell'implementazione di MS-WKST (Workstation Service Remote Protocol) è stata interrotta la supporto all'output della lista degli utenti connessi basato sul contenuto del file /var/run/utmp, che memorizza i dati sugli utenti attualmente attivi nel sistema. Il supporto per utmp è stato interrotto a causa della vulnerabilità di questo formato al problema dell'anno 2038.
Fonte: opennet.ru
