Após 6 meses de desenvolvimento, foi lançado o Samba 4.24.0, que deu continuidade ao desenvolvimento da linha Samba 4, com uma implementação completa do controlador de domínio e do serviço Active Directory, compatível com a implementação do Windows Server e capaz de atender todas as versões suportadas dos clientes Windows, inclusive o Windows 11. O Samba 4 é um produto de servidor multifuncional, que também oferece implementação de servidor de arquivos, serviço de impressão e servidor de identificação (winbind). O código do projeto é escrito em C e é distribuído sob a licença GPLv3.
Mudanças principais no Samba 4.24:
- Adicionado um novo módulo VFS vfs_aio_ratelimit para limitar a intensidade (rate-limit) de operações de entrada/saída assíncrona (AIO). As restrições podem ser definidas em bytes por segundo ou em operações por segundo. Quando o limite definido é excedido, o módulo começa a inserir atrasos artificiais nas operações assíncronas para manter o limite superior especificado.
- No módulo VFS vfs_ceph_new, foi adicionado suporte ao protocolo RPC Keybridge e ao modo FSCrypt para criptografar dados e nomes de arquivos no sistema de arquivos CephFS. A criptografia pode ser ativada em nível de diretórios individuais.
- No módulo VFS vfs_streams_xattr, que permite armazenar conjuntos de dados alternativos NTFS (NTFS alternate data stream) em atributos estendidos de arquivos (xattr) no Linux, foi adicionada a configuração "streams_xattr:max xattrs per stream", que define o número permitido de xattr usados para armazenar dados. No Linux, o tamanho de xattr é limitado a 65536 bytes, mas o sistema de arquivos XFS permite vincular mais de um xattr a um único arquivo, o que permite usar vários xattr para armazenar até 1 MB de dados alternativos.
- Implementado suporte a auditoria de informações relacionadas à autenticação. Adicionados os tipos de depuração "dsdb_password_audit" e "dsdb_password_json_audit" para registrar no log as alterações dos atributos do Active Directory: altSecurityIdentities, dNSHostName, msDS-AdditionalDnsHostName, msDS-KeyCredentialLink e servicePrincipalName.
- Adicionado suporte a sistemas externos de gerenciamento de senhas Microsoft Entra ID e Keycloak, que utilizam a operação de redefinição de senha (SSPR, password reset) ao alterar a senha sem transmitir a senha antiga para o controlador. de domínio. Para cumprir as políticas que controlam a validade das senhas, ao redefinir a senha, parâmetros adicionais («dicas de política de senha») são enviados, permitindo que a operação seja tratada como uma mudança comum de senha. Agora, o Samba considera esses parâmetros ao aplicar políticas locais relacionadas a senhas.
- Adicionada a suporte ao mecanismo de autenticação Kerberos PKINIT KeyTrust, que permite que os controladores de domínio baseados no Samba e Heimdal KDC utilizem o método «Windows Hello for Business Key-Trust logons» para aplicar o mecanismo de autenticação PKINIT com chaves autoassinadas. Para adicionar e visualizar a chave pública na ferramenta samba-tool, foi adicionada o comando «user|computer keytrust». As informações sobre a chave pública são salvas na conta através do atributo msDS-KeyCredentialLink.
- Implementação de suporte ao mapeamento de chaves na extensão do protocolo Kerberos PKINIT nos controladores de domínio baseados no Samba e Heimdal KDC («Windows Strong and Flexible key mappings»), utilizado durante a autenticação com chaves públicas. Por padrão, apenas a correspondência exata de certificados é permitida («strong certificate binding enforcement = full»), mas também é possível o mapeamento flexível («strong certificate binding enforcement = compatibility»), que aceita certificados mais novos que a conta de usuário. Os dados sobre o mapeamento de certificados para a conta são salvos no atributo altSecurityIdentities.
- Adicionada a suporte à extensão do protocolo «Kerberos PKINIT SID», permitindo o uso de certificados com o identificador de objeto SID na autenticação. Para a assinatura de certificados na ferramenta samba-tool, foi adicionado o comando «user|computer generate-csr».
- Na implementação do KDC (Key Distribution Center), por padrão, é garantido o retorno da estrutura PAC (Privilege Attribute Certificate), que contém dados sobre as permissões do usuário, independentemente de o campo PA-PAC-REQUEST estar presente na solicitação do cliente. Para reverter o comportamento antigo, há uma configuração «kdc always generate pac = no».
- No KDC, foi adicionada a configuração «kdc require canonicalization», que, quando definida como «yes», obriga o cliente a solicitar a canonização do nome do usuário ao se conectar à servidor autenticação (AS_REQ). Se a canonização não for solicitada, o servidor retornará um erro «usuário desconhecido». Em redes com usuários que utilizam o sistema operacional Windows, a ativação da nova configuração não deve causar problemas, uma vez que os clientes Windows sempre solicitam a canonização por padrão.
A canonização obrigatória protege contra ataques do tipo "dollar ticket", manipulando o fato de que os nomes de usuário podem ser definidos de maneira diferente ("user" e "user$") e processados de maneira diferente na representação canonizada e na normal. A essência do ataque é que um invasor, por exemplo, poderia criar uma conta de computador no AD com o nome "root$" e usá-la para obter um mandado (ticket) do KDC, enviando no pedido o nome de usuário "root" em vez de "root$". O KDC, não encontrando o usuário "root", processaria a solicitação no contexto do usuário "root$" e emitiria um mandado que poderia ser usado para conectar como usuário root via SSH ou NFS a um servidor Linux com SSSD.
- No KDC, foi adicionado um recurso alternativo de proteção contra ataques "dollar ticket" para configurações com solicitações de canonização de nomes obrigatórias desligadas ("kdc require canonicalization = no", padrão). Por padrão, se o cliente não solicitou a canonização e o nome verificado não foi encontrado, o servidor realiza uma verificação adicional, anexando o símbolo "$" ao nome. Com a nova configuração "kdc name match implicit dollar without canonicalization = no", é possível desativar esse comportamento e realizar apenas verificações exatas (no contexto do ataque mencionado, o servidor não verificará o nome "root$" ao receber a solicitação "root").
- No Heimdal KDC, por padrão, são enviados aos serviços Kerberos apenas nomes canonizados (sAMAccountName do PAC) em vez do valor original cname. Para retornar ao comportamento anterior, existe a configuração "krb5 acceptor report canonical client name = no".
- Para proteção completa contra ataques "dollar ticket", recomenda-se configurar as opções: strong certificate binding enforcement full, kdc always include pac yes, kdc require canonicalization yes.
- Para bloquear a vulnerabilidade CVE-2026-20833, o método de criptografia do domínio nas configurações do KDC foi alterado por padrão para AES (a configuração "kdc default domain supported enctypes" foi definida como "aes128-cts-hmac-sha1-96 aes256-cts-hmac-sha1-96").
Fonte: opennet.ru
