Дата публикации:Wed, 14 Sep 2022 17:53:08 +0300
Представлен релиз Samba 4.17.0, продолживший развитие ветки Samba 4 с полноценной реализацией контроллера домена и сервиса Active Directory, совместимого с реализацией Windows 2008 и способного обслуживать все поддерживаемые Microsoft версии Windows-клиентов, в том числе Windows 11. Samba 4 является многофункциональным серверным продуктом, предоставляющим также реализацию файлового сервера, сервиса печати и сервера идентификации (winbind).
Ключевые изменения в Samba 4.17:
- Проведена работа по устранению регрессий в производительности нагруженных SMB-серверов, появившихся в результате добавления защиты от уязвимостей, манипулирующих символическими ссылками. Из проведённых оптимизаций упоминается сокращение системных вызовов при проверке имени каталога и не использование wakeup-событий при обработке конкурирующих операций, приводящих к задержкам.
Предоставлена возможность сборки Samba без поддержки протокола SMB1 в smbd. Для отключения SMB1 в сборочном скрипте configure реализована опция "--without-smb1-server" (влияет только на smbd, в клиентских библиотеках поддержка SMB1 сохраняется).
При использовании MIT Kerberos 1.20 реализована возможность противодействия атаке "Bronze Bit" (CVE-2020-17049), благодаря передаче дополнительной информации между компонентами KDC и KDB. В используемом по умолчанию KDC на базе Heimdal Kerberos проблема была устранена в 2021 году.
При сборке с MIT Kerberos 1.20 в контроллере домена на базе Samba реализована поддержка Kerberos-расширений S4U2Self и S4U2Proxy, а также добавлена возможность ограниченного делегирования, основанного на ресурсах (RBCD, Resource Based Constrained Delegation). Для управления RBCDВ в команду "samba-tool delegation" добавлены подкоманды 'add-principal' и 'del-principal'. В применяемом по умолчанию KDC на базе Heimdal Kerberos режим RBCD пока не поддерживается.
Во встроенном DNS-сервисе предоставлена возможность изменения сетевого порта, принимающего запросы (например, для запуска на той же системе другого DNS-сервера, перенаправляющего определённые запросы к Samba).
В компоненте CTDB, отвечающем за работу кластерных конфигураций, снижены требования к синтаксису файла ctdb.tunables. При сборке Samba с опциями "--with-cluster-support" и "--systemd-install-services" обеспечена установка сервиса systemd для CTDB. Прекращена поставка скрипта ctdbd_wrapper - процесс ctdbd теперь запускается напрямую из сервиса
systemd или из скрипта инициализации.
Реализована настройка 'nt hash store = never' запрещающая хранение "голых" (без соли) хэшей паролей пользователей Active Directory. В следующей версии настройка 'nt hash store' по умолчанию будет выставлена в значение "auto", при котором режим "never" будет применяться в случае наличия настройки 'ntlm auth = disabled'.
Предложена обвязка для обращения к API библиотеки smbconf из кода на языке Python.
В программе smbstatus реализована возможность вывода информации в формате JSON (включается опцией "--json").
В контроллере домена реализована поддержка группы безопасности "Защищенные пользователи", появившейся в Windows Server 2012 R2 и не допускающей использование ненадёжных типов шифрования (для пользователей в группе отключается поддержка аутентификации NTLM, Kerberos TGTs на базе RC4, ограниченного и неограниченного делегирования).
Прекращена поддержка хранилища паролей и метода аутентификации на базе LanMan (настройка "lanman auth = yes" теперь не имеет значения).
Ссылка на оригинал: https://www.opennet.ru/opennews/art.shtml?num=57782