De release van Samba 4.17.0 is gepresenteerd, waarmee de Samba 4 tak verder wordt ontwikkeld met een volledige implementatie van de domeincontroller en de Active Directory-service, compatibel met de Windows 2008 implementatie en in staat om alle ondersteunde Microsoft-versies van Windows-clients te bedienen, inclusief Windows 11. Samba 4 is een multifunctioneel serverproduct dat ook een bestandsserver, afdrukdienst en identificatieserver (winbind) biedt.
Belangrijke wijzigingen in Samba 4.17:
- Er is gewerkt aan het verhelpen van regressies in de prestaties van belaste SMB-servers, die zijn ontstaan door de toevoeging van bescherming tegen kwetsbaarheden die symbolische links manipuleren. Onder de uitgevoerde optimalisaties valt het verminderen van systeemaanroepen bij de controle van de mapnaam en het niet gebruiken van wakeup-gebeurtenissen bij het verwerken van concurrerende bewerkingen, die tot vertragingen leiden.
- Er is een mogelijkheid geboden om Samba te bouwen zonder ondersteuning voor het SMB1-protocol in smbd. Om SMB1 uit te schakelen in de buildscriptconfigure is de optie "—without-smb1-server" geïmplementeerd (dit heeft alleen invloed op smbd, de ondersteuning voor SMB1 blijft behouden in de clientbibliotheken).
- Bij het gebruik van MIT Kerberos 1.20 is de mogelijkheid geïmplementeerd om de "Bronze Bit"-aanval (CVE-2020-17049) tegen te gaan, dankzij de overdracht van aanvullende informatie tussen de KDC- en KDB-componenten. Het probleem werd in 2021 opgelost in de standaard gebruikte KDC op basis van Heimdal Kerberos.
- Bij de bouw met MIT Kerberos 1.20 in de controller domein is ondersteuning voor Kerberos-extensies S4U2Self en S4U2Proxy toegevoegd, evenals de mogelijkheid voor beperkte delegatie, gebaseerd op middelen (RBCD, Resource Based Constrained Delegation). Voor het beheer van RBCD zijn in het commando "samba-tool delegation" de subcommando's 'add-principal' en 'del-principal' toegevoegd. In de standaard gebruikte KDC op basis van Heimdal Kerberos wordt de RBCD-modus momenteel nog niet ondersteund.
- In de ingebouwde DNS-service is de mogelijkheid toegevoegd om de netwerkpoort te wijzigen die verzoeken accepteert (bijvoorbeeld om een andere DNS-server op hetzelfde systeem te draaien die bepaalde verzoeken naar Samba doorstuurt).
- In het CTDB-component, verantwoordelijk voor clusterconfiguraties, zijn de vereisten voor de syntaxis van het bestand ctdb.tunables verlaagd. Bij het bouwen van Samba met de opties "--with-cluster-support" en "--systemd-install-services" is de installatie van de systemd-service voor CTDB gewaarborgd. De levering van het script ctdbd_wrapper is gestopt — het ctdbd-proces wordt nu rechtstreeks vanuit de systemd-service of vanuit het initialisatiescript gestart.
- Een instelling ‘nt hash store = never’ is geïmplementeerd, die het opslaan van 'nude' (zonder salt) wachtwoordhashes van gebruikers in Active Directory verbiedt. In de volgende versie wordt de instelling ‘nt hash store’ standaard ingesteld op ‘auto’, waarbij de modus ‘never’ wordt toegepast als de instelling ‘ntlm auth = disabled’ aanwezig is.
- Er is een wrapper aangeboden voor toegang tot de API van de smbconf-bibliotheek vanuit Python-code.
- In het smbstatus-programma is de mogelijkheid toegevoegd om informatie in JSON-indeling weer te geven (in te schakelen met de optie "--json").
- In de domeincontroller is ondersteuning geïmplementeerd voor de beveiligen gebruikersgroep, die is verschenen in Windows Server 2012 R2 en het gebruik van onbetrouwbare versleutelingsmethoden verbiedt (voor gebruikers in de groep is ondersteuning voor NTLM-authenticatie uitgeschakeld, alsook de Kerberos TGT's op basis van RC4, en beperkte en onbeperkte delegatie).
- De ondersteuning voor de wachtwoordopslag en de authenticatiemethode op basis van LanMan is stopgezet (de instelling ‘lanman auth = yes’ is nu irrelevant).
Bron: opennet.ru
