സാംബ 4.17.0 ന്റെ റിലീസ് അവതരിപ്പിച്ചു, ഇത് ഒരു ഡൊമെയ്ൻ കൺട്രോളറും ആക്റ്റീവ് ഡയറക്‌ടറി സേവനവും പൂർണ്ണമായി നടപ്പിലാക്കിക്കൊണ്ട് സാംബ 4 ബ്രാഞ്ചിന്റെ വികസനം തുടർന്നു, ഇത് വിൻഡോസ് 2008 നടപ്പിലാക്കുന്നതിന് അനുയോജ്യവും വിൻഡോസ് ക്ലയന്റുകളുടെ എല്ലാ പതിപ്പുകൾക്കും സേവനം നൽകാൻ പ്രാപ്തിയുള്ളതുമാണ്. Windows 11 ഉൾപ്പെടെ Microsoft പിന്തുണയ്‌ക്കുന്നു. Samba 4 ഒരു മൾട്ടിഫങ്ഷണൽ സെർവർ ഉൽപ്പന്നമാണ്, ഇത് ഒരു ഫയൽ സെർവർ, ഒരു പ്രിന്റ് സേവനം, ഒരു ഐഡന്റിറ്റി സെർവർ (winbind) എന്നിവയുടെ നടപ്പാക്കലും നൽകുന്നു.
സാംബ 4.17-ലെ പ്രധാന മാറ്റങ്ങൾ:
- Проведена работа по устранению регрессий в производительности нагруженных SMB-серверов, появившихся в результате добавления защиты от уязвимостей, манипулирующих символическими ссылками. Из проведённых оптимизаций упоминается сокращение системных вызовов при проверке имени каталога и не использование wakeup-событий при обработке конкурирующих операций, приводящих к задержкам.
- Предоставлена возможность сборки Samba без поддержки протокола SMB1 в smbd. Для отключения SMB1 в сборочном скрипте configure реализована опция «—without-smb1-server» (влияет только на smbd, в клиентских библиотеках поддержка SMB1 сохраняется).
- При использовании MIT Kerberos 1.20 реализована возможность противодействия атаке «Bronze Bit» (CVE-2020-17049), благодаря передаче дополнительной информации между компонентами KDC и KDB. В используемом по умолчанию KDC на базе Heimdal Kerberos проблема была устранена в 2021 году.
- При сборке с MIT Kerberos 1.20 в контроллере домена на базе Samba реализована поддержка Kerberos-расширений S4U2Self и S4U2Proxy, а также добавлена возможность ограниченного делегирования, основанного на ресурсах (RBCD, Resource Based Constrained Delegation). Для управления RBCDВ в команду «samba-tool delegation» добавлены подкоманды ‘add-principal’ и ‘del-principal’. В применяемом по умолчанию KDC на базе Heimdal Kerberos режим RBCD пока не поддерживается.
- Во встроенном DNS-сервисе предоставлена возможность изменения сетевого порта, принимающего запросы (например, для запуска на той же системе другого DNS-сервера, перенаправляющего определённые запросы к Samba).
- В компоненте CTDB, отвечающем за работу кластерных конфигураций, снижены требования к синтаксису файла ctdb.tunables. При сборке Samba с опциями «—with-cluster-support» и «—systemd-install-services» обеспечена установка сервиса systemd для CTDB. Прекращена поставка скрипта ctdbd_wrapper — процесс ctdbd теперь запускается напрямую из сервиса systemd или из скрипта инициализации.
- Реализована настройка ‘nt hash store = never’ запрещающая хранение «голых» (без соли) хэшей паролей пользователей Active Directory. В следующей версии настройка ‘nt hash store’ по умолчанию будет выставлена в значение «auto», при котором режим «never» будет применяться в случае наличия настройки ‘ntlm auth = disabled’.
- Предложена обвязка для обращения к API библиотеки smbconf из кода на языке Python.
- В программе smbstatus реализована возможность вывода информации в формате JSON (включается опцией «—json»).
- В контроллере домена реализована поддержка группы безопасности «Защищенные пользователи», появившейся в Windows Server 2012 R2 и не допускающей использование ненадёжных типов шифрования (для пользователей в группе отключается поддержка аутентификации NTLM, Kerberos TGTs на базе RC4, ограниченного и неограниченного делегирования).
- Прекращена поддержка хранилища паролей и метода аутентификации на базе LanMan (настройка «lanman auth = yes» теперь не имеет значения).
അവലംബം: opennet.ru