Vydanie Samba 4.20.0

Po 6 mesiacoch vývoja bol predstavený release Samba 4.20.0, ktorý pokračuje v rozvoji vetvy Samba 4 s plnohodnotnou realizáciou kontroléra domény a služby Active Directory, kompatibilnej s implementáciou Windows 2008 a schopnej obsluhovať všetky podporované verzie Windows klientov, vrátane Windows 11. Samba 4 je multifunkčný serverový produkt, ktorý poskytuje aj realizáciu súborového servera, služby tlače a servera identifikácie (winbind).

Kľúčové zmeny v Samba 4.20:

• Predvolene je zapnutá kompilácia novej utility «wspsearch» s implementáciou experimentálneho klienta pre protokol WSP (Windows Search Protocol). Utility umožňuje posielať vyhľadávacie dotazy na Windows server, na ktorom beží služba WSP.
• V tíme «smbcacls» bola implementovaná podpora zapisovania zoznamov riadenia prístupu DACL do súboru a obnovenia DACL zo súboru. Údaje sú uložené vo formáte podporovanom Windows utilitou ‘icacls.exe’, čo zabezpečuje prenosnosť súborov so zachovanými DACL (Discretionary Access Control List).
• Do utilitiy «samba-tool» boli pridané rozšírenia pre centralizované politiky prístupu Active Directory (Claims), politiky autentifikácie (Authentication Policies) a kontajnery politík (Authentication Silos). Samba-tool môže byť teraz použitý na prepojenie používateľa s tvrdeniami (claims) na ďalšie použitie v pravidlách, ktoré určujú prístup v rámci politiky autentifikácie.

  Okrem toho môže byť utilita samba-tool teraz použitá na vytváranie a správu politík autentifikácie, ako aj na vytváranie a správu kontajnerov politík. Napríklad pomocou samba-tool je možné určiť, odkiaľ a kam sa môže pripojiť používateľ, ak je povolené používať NTLM, a v ktorých službách môže byť používateľ autentifikovaný.
• V realizovanom na báze Samba kontroléri domény Active Directory bola pridaná podpora politík autentifikácie (Authentication Policies) a kontajnerov politík (Authentication Silos), vytvorených cez utilitu samba-tool alebo importovaných z konfigurácií Microsoft AD. Možnosť je dostupná iba na systémoch s funkčnou úrovňou Active Directory minimálne 2012_R2 («ad dc functional level = 2016» v smb.conf).
• Do nástroja samba-tool bola pridaná funkčnosť podporujúca klientské ovládanie spravovaných účtov gMSA (Group Managed Service Account), ktoré používajú automaticky aktualizované heslá. Príkazy na správu hesiel v nástroji samba-tool, ktoré sa predtým dali používať iba s lokálnou databázou sam.ldb, teraz môžu byť použité aj na externé. serveru pri autentifikovanom prístupe, pomocou možnosti "-H ldap://$DCNAME. Medzi podporované operácie patrí: "samba-tool user getpassword" na čítanie aktuálneho a predchádzajúceho hesla gMSA; "samba-tool user get-kerberos-ticket" na zápis Kerberos TGT (Ticket Granting Ticket) do lokálneho cache účtov.
• Bola pridaná podpora podmienených záznamov kontroly prístupu (Conditional ACE), ktoré umožňujú povoľovať alebo blokovať prístup v závislosti od dodatočných podmienok — ak sa podmienený výraz nespustil, ACE sa ignoruje, inak sa aplikuje ako bežný ACE. Podmienené kontroly sa môžu aplikovať aj na atribúty chráneného objektu, opísané atribútmi systémových zdrojov (Resource Attribute ACE).
• Do implementácie clustra ctdb bola pridaná možnosť poskytovať službu MS-SWN (Service Witness Protocol), pomocou ktorej môžu klienti sledovať svoje SMB pripojenia k uzlom clustra. Napríklad, klient pripojený k uzlu „A“ môže požiadať uzol „B“, aby poslal upozornenie, ak uzol „A“ nebude dostupný. Na správu služby bol navrhnutý súbor príkazov „net witness [list|client-move|share-move|force-unregister|force-response]“, ktoré umožňujú administrátorovi clustra prezerať zaregistrovaných klientov a požadovať presun pripojenia na iné uzly clustra.
• Pre konfigurácie s MIT Kerberos5, fungujúce v úlohe ovládacieho prvku domény Active Directory, je teraz potrebná minimálne verzia MIT Krb5 1.21, ktorá obsahuje dodatočnú ochranu proti zraniteľnosti CVE-2022-37967.
• Pri zostavovaní s importovaným Heimdal Kerberos už nie je potrebné inštalovať Perl modul JSON, miesto ktorého sa používa vstavaný Perl5 modul JSON::PP.
• Vo príkazoch „samba-tool user getpassword“ a „samba-tool user syncpasswords“, používaných na určenie a synchronizáciu hesla, sa zmenila výstup pri použití parametra ";rounds=" s atribútmi virtualCryptSHA256 a virtualCryptSHA512 (napríklad, ‘—attributes="virtualCryptSHA256;rounds=50000"‘). Bolo: virtualCryptSHA256: {CRYPT}$5$rounds=2561$hXem.M9onhM9Vuix$dFdSBwF Stalo: virtualCryptSHA256;rounds=2561:{CRYPT}$5$rounds=2561$hXem.M9onhM9Vuix$dFdSBwF
• Vo vykonávaní MS-WKST (Remote Protocol Workstation Service) bola zastavená podpora výstupu zoznamu pripojených používateľov na základe obsahu súboru /var/run/utmp, ktorý uchováva údaje o používateľoch aktuálne pracujúcich v systéme. Podpora utmp bola ukončená kvôli zraniteľnosti vo formáte týkajúcej sa problému roku 2038.

Zdroj: opennet.ru