Pēc 6 mēnešu izstrādes ir izlaists Samba 4.24.0, turpinot Samba 4 attīstību ar pilnīgu domēna kontroliera un Active Directory pakalpojuma īstenošanu, kas ir saderīga ar Windows Server īstenojumu un spēj apkalpot visus atbalstītos Microsoft Windows klientu versijas, tostarp Windows 11. Samba 4 ir daudzfunkcionāls servera produkts, kas nodrošina arī failu servera, drukāšanas pakalpojumu un identifikācijas servera (winbind) īstenošanu. Projekta kods ir uzrakstīts C valodā un tiek izplatīts saskaņā ar GPLv3 licenci.
Galvenie Samba 4.24 izmaiņu punkti:
- Tika pievienots jauns VFS modulis vfs_aio_ratelimit, kas ierobežo asinkronā ievades/izvades (AIO) operāciju intensitāti (rate-limit). Ierobežojumi var tikt noteikti bitos sekundē vai operācijās sekundē. Pārsniedzot noteikto limitu, modulis sāk ievietot mākslīgas kavēšanās asinkronajās operācijās, lai saglabātu noteikto augšējo robežu.
- VFS modulī vfs_ceph_new tika pievienota atbalsts RPC protokolam Keybridge un FSCrypt režīmam datu un failu nosaukumu šifrēšanai CephFS failu sistēmā. Iespējama šifrēšanas ieslēgšana pa atsevišķiem katalogiem.
- VFS modulī vfs_streams_xattr, kas ļauj saglabāt alternatīvās NTFS datu plūsmas (NTFS alternate data stream) paplašinātajos failu atribūtos (xattr) Linux, tika pievienota iestatījums „streams_xattr:max xattrs per stream”, kas nosaka pieļaujamo xattr skaitu, ko izmanto datu glabāšanai. Linux xattr izmērs ir ierobežots līdz 65536 baiti, taču XFS FS ļauj piesaistīt vairākus xattr vienam failam, kas ļauj izmantot vairākus xattr, lai saglabātu līdz 1 MB alternatīvu datu.
- Ieviesis atbalstu informācijas auditam, kas saistīts ar autentifikāciju. Tika pievienotas atkļūdošanas klases „dsdb_password_audit” un „dsdb_password_json_audit” lietas izmaiņu žurnālam, kas attiecas uz Active Directory atribūtu izmaiņām: altSecurityIdentities, dNSHostName, msDS-AdditionalDnsHostName, msDS-KeyCredentialLink un servicePrincipalName.
- Tika pievienots atbalsts ārējām paroles pārvaldības sistēmām Microsoft Entra ID un Keycloak, kas izmanto paroles atiestatīšanas operāciju (SSPR, password reset), nemainot veco paroli kontrolierī domēns. Lai ievērotu politiku, kas kontrolē paroli darbības laiku, atkārtoti iestatot paroli, tiek nodoti papildu parametri («password policy hints»), kas ļauj apstrādāt operāciju kā parastas paroles maiņu. Tagad Samba ņem vērā šādus parametrus, piemērojot ar parolēm saistītās lokālās politikas.
- Pievienota atbalsts Kerberos PKINIT KeyTrust autentifikācijas mehānismam, kas ļauj Samba un Heimdal KDC bāzes domēna kontrolieros izmantot metodi «Windows Hello for Business Key-Trust logons», lai izmantotu PKINIT autentifikāciju ar pašparakstītiem atslēgām. Lai pievienotu un apskatītu publisko atslēgu, samba-tool rīkā pievienota komanda «user|computer keytrust». Informācija par publisko atslēgu tiek saglabāta kontā, izmantojot atribūtu msDS-KeyCredentialLink.
- Samba un Heimdal KDC bāzes domēna kontrolieros pievienots atbalsts Kerberos PKINIT protokola paplašinājumam atslēgu kartēšanai («Windows Strong and Flexible key mappings»), ko izmanto autentifikācijai ar publiskajām atslēgām. Noklusējuma iestatījumā ir atļauta tikai precīza sertifikātu atbilstība («strong certificate binding enforcement = full»), taču ir iespējama arī elastīga atbilstība («strong certificate binding enforcement = compatibility»), kas pieļauj sertifikātus, kas ir jaunāki par lietotāja kontu. Informācija par sertifikātu kartēšanu tiek saglabāta kontā, izmantojot atribūtu altSecurityIdentities.
- Pievienots atbalsts «Kerberos PKINIT SID» protokola paplašinājumam, kas ļauj izmantot autentifikācijā sertifikātus ar Object SID identifikatoru. Lai parakstītu sertifikātus, samba-tool rīkā pievienota komanda «user|computer generate-csr».
- KDC (Key Distribution Center) ieviešanā noklusējuma iestatījumos nodrošināta PAC (Privilege Attribute Certificate) struktūras atgriešana, kas satur informāciju par lietotāja pilnvarām, neatkarīgi no tā, vai PA-PAC-REQUEST lauks ir norādīts klienta pieprasījumā. Lai atgrieztu iepriekšējo uzvedību, pieejams iestatījums «kdc always generate pac = no».
- KDC pievienots iestatījums «kdc require canonicalization», ja tas tiek iestatīts uz «yes», klientam jāpieprasa lietotāja vārda kanonizācija, pieprasot autentifikāciju (AS_REQ). Ja kanonizācija netiek pieprasīta, serveris atgriezīs kļūdu «lietotājs nav zināms». Tīklos ar lietotājiem, kuri izmanto Windows OS, jaunā iestatījuma aktivizēšanai nevajadzētu izraisīt problēmas, jo Windows klienti noklusējuma iestatījumos vienmēr pieprasa kanonizāciju. serverim Samba un Heimdal KDC balstītajos domēna kontrolieros ir ievērojams jauninājums, kas ļauj izmantot jauno Kerberos PKINIT KeyTrust autentifikācijas mehānismu.
Obligātā kanonizācija ļauj aizsargāties pret "dollar ticket" uzbrukumiem, kas manipulē ar to, ka lietotāju vārdi var tikt noteikti dažādi ("user" un "user$") un atšķirīgi apstrādāti kanonizētā un parastā versijā. Uzbrukuma būtība ir tāda, ka uzbrucējs, piemēram, varēja izveidot AD datora kontu ar nosaukumu "root$" un izmantot to, lai iegūtu KDC mandātu (ticket), ievadot pieprasījumā lietotāja vārdu "root" vietā "root$". KDC, neatrodot lietotāju "root", apstrādātu pieprasījumu lietotāja "root$" kontekstā un izsniegtu mandātu, ko var izmantot pieslēgšanai kā lietotājam root caur SSH vai NFS uz Linux servera ar SSSD.
- KDC ir pievienots apietošs variants aizsardzībai pret "dollar ticket" uzbrukumiem konfigurācijās ar izslēgtām obligātām kanonizācijas pieprasījumiem ("kdc require canonicalization = no", tiek pielietots pēc noklusējuma). Pēc noklusējuma, ja klients nav pieprasījis kanonizāciju un pārbaudāms nosaukums nav atrasts, serveris veic papildu pārbaudi, pievienojot simbolu "$" nosaukumam. Ar jauno iestatījumu "kdc name match implicit dollar without canonicalization = no" varat izslēgt šo uzvedību un veikt tikai precīzas pārbaudes (uz iepriekšminētā uzbrukuma kontekstā, serveris nepārbaudīs nosaukumu "root$", pieprasot "root").
- Heimdal KDC pēc noklusējuma sūta Kerberos pakalpojumiem tikai kanonizētus nosaukumus (sAMAccountName no PAC) vietā, lai izmantotu sākotnējo vērtību cname. Lai atgrieztu iepriekšējo uzvedību, ir paredzēts iestatījums "krb5 acceptor report canonical client name = no".
- Lai pilnībā aizsargātu pret "dollar ticket" uzbrukumiem, ir ieteicams iestatīt šādus iestatījumus: strong certificate binding enforcement full, kdc always include pac yes, kdc require canonicalization yes.
- Lai bloķētu CVE-2026-20833 ievainojamību, domēna šifrēšanas metode KDC iestatījumos pēc noklusējuma ir mainīta uz AES (iestatījums "kdc default domain supported enctypes" ir iestatīts uz "aes128-cts-hmac-sha1-96 aes256-cts-hmac-sha1-96").
Avots: opennet.lv
