Izdaja Samba 4.17.0

Izdan je Samba 4.17.0, koja nastavlja razvoj Samba 4 sa potpunom implementacijom kontrolera domena i usluge Active Directory, kompatibilne sa Windows 2008 i sposobne za podršku svih verzija Windows klijenata koje Microsoft podržava, uključujući Windows 11. Samba 4 je multifunkcionalni serverski proizvod koji takođe pruža implementaciju fajl servera, usluga za štampanje i servera identifikacije (winbind).

Ključne promene u Samba 4.17:

• Obavljen je rad na otklanjanju regresija u performansama opterećenih SMB servera, koje su se pojavile kao rezultat dodavanja zaštite od ranjivosti koje manipulišu simboličkim linkovima. Od sprovedenih optimizacija beleži se smanjenje sistemskih poziva prilikom provere imena direktorijuma i ne korišćenje wakeup događaja prilikom obrade konkurentnih operacija, što dovodi do kašnjenja.
• Omogućena je kompilacija Sambe bez podrške za SMB1 u smbd. Za isključivanje SMB1 u skriptu za konfigurisanje implementirana je opcija "—without-smb1-server" (uticaje samo na smbd, podrška za SMB1 ostaje u klijentskim bibliotekama).
• Prilikom korišćenja MIT Kerberos 1.20 omogućena je zaštita od napada "Bronze Bit" (CVE-2020-17049), zahvaljujući prenosa dodatnih informacija između komponenti KDC i KDB. U korišćenom podrazumevanom KDC-u zasnovanom na Heimdal Kerberos, problem je rešen 2021. godine.
• Prilikom kompilacije sa MIT Kerberos 1.20 u kontroleru domene na bazi Sambe implementirana je podrška za Kerberos ekstenzije S4U2Self i S4U2Proxy, a takođe je dodata mogućnost ograničenog delegiranja zasnovanog na resursima (RBCD, Resource Based Constrained Delegation). Za upravljanje RBCD-om dodate su podkomande "add-principal" i "del-principal" u komandi "samba-tool delegation". U korišćenom podrazumevanom KDC-u zasnovanom na Heimdal Kerberos, RBCD režim još uvek nije podržan.
• U ugrađenoj DNS usluzi omogućena je promena mrežnog porta koji prima zahteve (na primer, za pokretanje druge DNS usluge na istoj sistem koji preusmerava određene zahteve ka Sambi).
• V komponenti CTDB, ki odgovarja za delovanje grozdnih konfiguracij, so zmanjšane zahteve za sintakso datoteke ctdb.tunables. Pri sestavljanju Sambe z možnostma „—with-cluster-support“ in „—systemd-install-services“ je zagotovljena namestitev storitve systemd za CTDB. Dobava skripte ctdbd_wrapper je prenehana — postopek ctdbd se zdaj zažene neposredno iz storitve systemd ali iz inicializacijske skripte.
• Izvedena je nastavitev ‘nt hash store = never’, ki prepoveduje shranjevanje „goli“ (brez soli) hashev uporabniških gesel Active Directory. V naslednji različici bo nastavitev ‘nt hash store’ privzeto nastavljena na vrednost „auto“, pri čemer se bo način „never“ uporabljal v primeru nastavitve ‘ntlm auth = disabled’.
• Predlagana je obdelava za dostop do API knjižnice smbconf iz kode v programskem jeziku Python.
• V programu smbstatus je omogočena možnost izpisa informacij v formatu JSON (vklopi se z možnostjo „—json“).
• V kontrolerju domene je podprta skupina varnosti „Zaščiteni uporabniki“, ki se je pojavila v Windows Server 2012 R2 in ne dovoljuje uporabe nezanesljivih vrst šifriranja (za uporabnike v skupini je izklopljena podpora za avtentikacijo NTLM, Kerberos TGTs na osnovi RC4, omejeno in neomejeno delegiranje).
• Podpora za skladišče gesel in metodo avtentikacije na osnovi LanMan je prenehana (nastavitev „lanman auth = yes“ zdaj nima pomena).
  
  Izvor: opennet.ru