Po 6 mesiacoch vývoja bol predstavený release Samba 4.24.0, ktorý pokračuje v rozvoji vetvy Samba 4 s plnou implementáciou riadiaceho uzlu a aktívneho adresára, kompatibilného s implementáciou Windows Server a schopného obsluhovať všetky podporované verzie Windows klientov, vrátane Windows 11. Samba 4 je multifunkčný serverový produkt, poskytujúci tiež implementáciu súborového servera, služby tlače a servera identifikácie (winbind). Kód projektu je napísaný v jazyku C a šíri sa pod licenciou GPLv3.
Kľúčové zmeny v Samba 4.24:
- Bol pridaný nový VFS modul vfs_aio_ratelimit pre obmedzenie intenzity (rate-limit) operácií asynchrónneho vstupu/výstupu (AIO). Obmedzenia môžu byť zadané v bajtoch za sekundu alebo v operáciách za sekundu. Pri prekročení stanoveného limitu modul začína vkladať umelé oneskorenia do asynchrónnych operácií na udržanie stanoveného hornej hranice.
- Do VFS modulu vfs_ceph_new bola pridaná podpora RPC protokolu Keybridge a režimu FSCrypt pre šifrovanie údajov a názvov súborov v súborovom systéme CephFS. Možné je zapnúť šifrovanie na úrovni jednotlivých adresárov.
- Do VFS modulu vfs_streams_xattr, ktorý umožňuje ukladať alternatívne sady údajov NTFS (NTFS alternate data stream) v rozšírených atribútoch súborov (xattr) v Linuxe, bola pridaná konfigurácia „streams_xattr:max xattrs per stream“, ktorá určuje prípustný počet xattr používaných na ukladanie údajov. V Linuxe je veľkosť xattr obmedzená na 65536 bajtov, ale FS XFS umožňuje priradiť k jednému súboru viac ako jeden xattr, čo umožňuje použiť niekoľko xattr na ukladanie až 1 MB alternatívnych údajov.
- Bola implementovaná podpora auditu informácií súvisiacich s autentifikáciou. Pridané boli ladicí triedy „dsdb_password_audit“ a „dsdb_password_json_audit“ na zaznamenávanie do logu zmien atribútov aktívneho adresára: altSecurityIdentities, dNSHostName, msDS-AdditionalDnsHostName, msDS-KeyCredentialLink a servicePrincipalName.
- Bola pridaná podpora vonkajších systémov správy hesiel Microsoft Entra ID a Keycloak, ktoré pri zmene hesla používajú operáciu resetovania hesla (SSPR, password reset) bez odosielania starého hesla do riadiaceho uzla. doményAby sa dodržali politiky týkajúce sa platnosti hesiel, pri obnove hesla sa prenášajú dodatočné parametre („hints o politike hesiel“), ktoré umožňujú spracovať operáciu ako bežnú zmenu hesla. Teraz Samba zohľadňuje takéto parametre pri aplikácii súvisiacich s heslami, lokálnych politík.
- Bola pridaná podpora mechanizmu autentifikácie Kerberos PKINIT KeyTrust, ktorá umožňuje na doménových radičoch založených na Sambe a Heimdal KDC používať metódu „Windows Hello for Business Key-Trust logons“ na aplikáciu mechanizmu autentifikácie PKINIT so self-signed kľúčmi. Do nástroja samba-tool bola pridaná príkaz „user|computer keytrust“ na pridanie a zobrazenie verejného kľúča. Informácie o verejnom kľúči sa ukladajú do účtu pomocou atribútu msDS-KeyCredentialLink.
- Do doménových radičov založených na Sambe a Heimdal KDC bola pridaná podpora rozšírenia protokolu Kerberos PKINIT pre mapovanie kľúčov („Windows Strong and Flexible key mappings“), ktoré sa používa pri autentifikácii pomocou verejných kľúčov. Predvolene sa povoluje len presné zodpovedanie certifikátov („strong certificate binding enforcement = full“), ale je možné aj flexibilné zodpovedanie („strong certificate binding enforcement = compatibility“), ktoré povoľuje certifikáty novšie než účet používateľa. Údaje o mapovaní certifikátov pre účet sa ukladajú do atribútu altSecurityIdentities.
- Bola pridaná podpora rozšírenia protokolu „Kerberos PKINIT SID“, ktoré umožňuje pri autentifikácii používať certifikáty s identifikátorom Object SID. Pre podpisovanie certifikátov bol do nástroja samba-tool pridaný príkaz „user|computer generate-csr“.
- V implementácii KDC (Key Distribution Center) je predvolene zaručené vrátenie štruktúry PAC (Privilege Attribute Certificate), ktorá obsahuje údaje o oprávneniach používateľa, bez ohľadu na to, či je pole PA-PAC-REQUEST uvedené v požiadavke klienta. Na vrátenie starej funkcionality je k dispozícii nastavenie „kdc always generate pac = no“.
- Do KDC bola pridaná konfigurácia „kdc require canonicalization“, pri nastavení na „yes“ klient musí požadovať vykonanie kanonizácie používateľského mena pri prístupe k serveru autentifikácii (AS_REQ). Ak kanonizácia nie je požadovaná, server vráti chybu „používateľ nie je známy“. V sieťach s používateľmi používajúcimi operačný systém Windows by aktivácia nového nastavenia nemala spôsobiť problémy, pretože Windows klienti predvolene vždy žiadajú o kanonizáciu.
Povinná kanonizácia chráni pred útokmi typu „dollar ticket“, ktoré manipulujú s rôznymi spôsobmi zadávania používateľských mien (napríklad „user“ a „user$“) a ich spracovaním v kanonizovanej a bežnej podobe. Podstatou útoku je to, že útočník mohol vytvoriť v AD účet počítača s názvom „root$“ a využiť ho na získanie mandátu (ticket) od KDC, posielajúc v požiadavke používateľské meno „root“ namiesto „root$“. Keď KDC nenájde používateľa „root“, spracoval by požiadavku v kontexte používateľa „root$“ a vydal mandát, ktorý by mohol byť použitý na prihlásenie sa ako používateľ root cez SSH alebo NFS na Linux server s SSSD.
- Do KDC bol pridaný obchádzací variant ochrany proti útokom „dollar ticket“ pre konfigurácie s vypnutými povinnými požiadavkami na kanonizáciu mien („kdc require canonicalization = no“, štandardne nastavené). Ak klient nie je vyžaduje kanonizáciu a kontrolované meno nie je nájdené, server vykonáva dodatočnú kontrolu pridaním znaku „$“ k menu. S novým nastavením „kdc name match implicit dollar without canonicalization = no“ je možné toto správanie vypnúť a vykonávať iba presné kontroly (v kontexte vyššie uvedeného útoku, server nebude kontrolovať meno „root$“ pri požiadavke „root“).
- V Heimdal KDC je štandardne povolené posielanie kanonizovaných mien (sAMAccountName z PAC) službám Kerberos namiesto pôvodnej hodnoty cname. Na vrátenie predchádzajúceho správania je k dispozícii nastavenie „krb5 acceptor report canonical client name = no.“
- Pre kompletnú ochranu proti útokom „dollar ticket“ sa odporúča nastaviť: strong certificate binding enforcement full, kdc always include pac yes, kdc require canonicalization yes.
- Pre zablokovanie zraniteľnosti CVE-2026-20833 bol spôsob šifrovania domény v nastaveniach KDC štandardne zmenený na AES (nastavenie „kdc default domain supported enctypes“ je nastavené na „aes128-cts-hmac-sha1-96 aes256-cts-hmac-sha1-96“).
Zdroj: opennet.ru
