Bol predstavený release Samba 4.17.0, ktorý pokračuje vo vývoji vetvy Samba 4 s plnou implementáciou doménového kontroléra a služby Active Directory, kompatibilnej s implementáciou Windows 2008 a schopnej obsluhovať všetky podporované verzie Windows klientov od Microsoftu, vrátane Windows 11. Samba 4 je multifunkčný serverový produkt, ktorý poskytuje aj implementáciu súborového servera, služby tlače a servera identifikácie (winbind).
Kľúčové zmeny v Samba 4.17:
- Bola vykonaná práca na odstránení regresií v výkonnosti preťažených SMB serverov, ktoré sa objavili v dôsledku pridania ochrany pred zraniteľnosťami manipulujúcimi so symbolickými odkazmi. Z vykonaných optimalizácií sa spomína zníženie systémových volaní pri overovaní názvu adresára a nepoužívanie wakeup udalostí pri spracúvaní konkurenčných operácií, čo spôsobovalo oneskorenia.
- Bola poskytnutá možnosť zostaviť Samba bez podpory protokolu SMB1 v smbd. Na vypnutie SMB1 v zostavovacom skripte configure je implementovaná možnosť „—without-smb1-server“ (ovplyvňuje iba smbd, podpora SMB1 zostáva v klientskych knižniciach).
- Pri použití MIT Kerberos 1.20 bola implementovaná možnosť odolávať útoku „Bronze Bit“ (CVE-2020-17049), vďaka prenášaniu dodatočných informácií medzi komponentmi KDC a KDB. Problém v použitom predvolenom KDC založenom na Heimdal Kerberos bol vyriešený v roku 2021.
- Pri zostavovaní s MIT Kerberos 1.20 v kontroléri domény na základe Samba bola implementovaná podpora Kerberos rozšírení S4U2Self a S4U2Proxy, a tiež bola pridaná možnosť obmedzeného delegovania, založeného na zdrojoch (RBCD, Resource Based Constrained Delegation). Na správu RBCD boli do príkazu „samba-tool delegation“ pridané podpríkazy „add-principal“ a „del-principal“. V použitom predvolenom KDC založenom na Heimdal Kerberos zatiaľ režim RBCD nie je podporovaný.
- V zabudovanej DNS službe bola poskytnutá možnosť zmeny sieťového portu, ktorý prijíma požiadavky (napríklad na spustenie iného DNS servera na tej istej sústave, ktorý preposiela určité požiadavky na Samba).
- V komponente CTDB, ktorá zodpovedá za fungovanie klastrových konfigurácií, boli znížené požiadavky na syntaktiku súboru ctdb.tunables. Pri zostavovaní Samba s možnosťami „—with-cluster-support“ a „—systemd-install-services“ je zabezpečená inštalácia služby systemd pre CTDB. Dodávka skriptu ctdbd_wrapper bola ukončená – proces ctdbd sa teraz spúšťa priamo zo služby systemd alebo zo skriptu inicializácie.
- Implementovaná konfigurácia ‘nt hash store = never’ zakazujúca uchovávanie „holých“ (bez soli) hashov hesiel používateľov Active Directory. V nasledujúcej verzii bude predvolená hodnota nastavenia ‘nt hash store’ nastavená na „auto“, pri ktorej sa režim „never“ použije v prípade existencie nastavenia ‘ntlm auth = disabled’.
- Navrhnutá obálka na prístup k API knihovny smbconf z kódu v jazyku Python.
- V programe smbstatus bola implementovaná možnosť výstupu informácií v formáte JSON (aktivuje sa voľbou „—json“).
- V doménovom ovládači bola implementovaná podpora skupiny zabezpečenia „Chránení používatelia“, ktorá sa objavila vo Windows Server 2012 R2 a zakazuje používanie nespoľahlivých typov šifrovania (pre používateľov v skupine sa zakazuje podpora autentifikácie NTLM, Kerberos TGTs založených na RC4, obmedzeného a neobmedzeného delegovania).
- Podpora úložiska hesiel a metódy autentifikácie na báze LanMan bola ukončená (nastavenie „lanman auth = yes“ teraz nemá význam).
Zdroj: opennet.ru
