Predstavuje sa vydanie Samba 4.17.0, ktoré pokračuje vo vývoji vetvy Samba 4 s plnohodnotnou implementáciou doménového radiča a služby Active Directory, ktorá je kompatibilná s implementáciou Windows 2008 a je schopná obslúžiť všetky verzie Klienti Windows podporovaní spoločnosťou Microsoft, vrátane Windows 11. Samba 4 je multifunkčný serverový produkt, ktorý tiež poskytuje implementáciu súborového servera, tlačovej služby a servera identity (winbind).
Kľúčové zmeny v Sambe 4.17:
- Проведена работа по устранению регрессий в производительности нагруженных SMB-серверов, появившихся в результате добавления защиты от уязвимостей, манипулирующих символическими ссылками. Из проведённых оптимизаций упоминается сокращение системных вызовов при проверке имени каталога и не использование wakeup-событий при обработке конкурирующих операций, приводящих к задержкам.
- Предоставлена возможность сборки Samba без поддержки протокола SMB1 в smbd. Для отключения SMB1 в сборочном скрипте configure реализована опция «—without-smb1-server» (влияет только на smbd, в клиентских библиотеках поддержка SMB1 сохраняется).
- При использовании MIT Kerberos 1.20 реализована возможность противодействия атаке «Bronze Bit» (CVE-2020-17049), благодаря передаче дополнительной информации между компонентами KDC и KDB. В используемом по умолчанию KDC на базе Heimdal Kerberos проблема была устранена в 2021 году.
- При сборке с MIT Kerberos 1.20 в контроллере домена на базе Samba реализована поддержка Kerberos-расширений S4U2Self и S4U2Proxy, а также добавлена возможность ограниченного делегирования, основанного на ресурсах (RBCD, Resource Based Constrained Delegation). Для управления RBCDВ в команду «samba-tool delegation» добавлены подкоманды ‘add-principal’ и ‘del-principal’. В применяемом по умолчанию KDC на базе Heimdal Kerberos режим RBCD пока не поддерживается.
- Во встроенном DNS-сервисе предоставлена возможность изменения сетевого порта, принимающего запросы (например, для запуска на той же системе другого DNS-сервера, перенаправляющего определённые запросы к Samba).
- В компоненте CTDB, отвечающем за работу кластерных конфигураций, снижены требования к синтаксису файла ctdb.tunables. При сборке Samba с опциями «—with-cluster-support» и «—systemd-install-services» обеспечена установка сервиса systemd для CTDB. Прекращена поставка скрипта ctdbd_wrapper — процесс ctdbd теперь запускается напрямую из сервиса systemd или из скрипта инициализации.
- Реализована настройка ‘nt hash store = never’ запрещающая хранение «голых» (без соли) хэшей паролей пользователей Active Directory. В следующей версии настройка ‘nt hash store’ по умолчанию будет выставлена в значение «auto», при котором режим «never» будет применяться в случае наличия настройки ‘ntlm auth = disabled’.
- Предложена обвязка для обращения к API библиотеки smbconf из кода на языке Python.
- В программе smbstatus реализована возможность вывода информации в формате JSON (включается опцией «—json»).
- В контроллере домена реализована поддержка группы безопасности «Защищенные пользователи», появившейся в Windows Server 2012 R2 и не допускающей использование ненадёжных типов шифрования (для пользователей в группе отключается поддержка аутентификации NTLM, Kerberos TGTs на базе RC4, ограниченного и неограниченного делегирования).
- Прекращена поддержка хранилища паролей и метода аутентификации на базе LanMan (настройка «lanman auth = yes» теперь не имеет значения).
Zdroj: opennet.ru