Samba 4.21 lançado com LDAP TLS/SASL Channel Binding e outras melhorias

A nova versão do Samba 4.21 traz melhorias significativas em segurança, desempenho e usabilidade, reforçando sua posição como uma solução robusta para gerenciamento de redes e arquivos. Entre as principais atualizações, destaca-se o fortalecimento das configurações de usuários e grupos, o suporte aprimorado para bindings TLS/SASL em conexões LDAP, e a reintrodução de suporte a TLS para o Winbindd. Além disso, a integração do LDB diretamente no Samba simplifica o processo de manutenção e atualização, ao mesmo tempo em que novas funcionalidades, como a rotação automática de senhas em contas que exigem smartcards, aumentam a segurança em ambientes corporativos. Esta versão reflete o compromisso contínuo do Samba em oferecer uma infraestrutura de rede segura, eficiente e fácil de gerenciar.

Proteção de Configurações de Usuários e Grupos

A partir desta versão do Samba, as configurações de “valid users”, “invalid users”, “read list” e “write list” foram reforçadas. Agora, se um nome de usuário ou grupo nessas opções não puder ser resolvido devido a um erro de comunicação com um controlador de domínio, o Samba registrará um erro e a conexão será encerrada. Isso evita comportamentos inesperados e inseguros. Usuários e grupos inexistentes continuam sendo ignorados.

Suporte a Binding de Canal TLS/SASL para LDAP

O Samba agora suporta binding de canal TLS/SASL para conexões LDAP. Isso significa que conexões SASL com kerberos ou NTLMSSP sobre TLS são suportadas. Esta mudança possibilita um nível maior de segurança e permite que configurações que antes exigiam ‘allow_sasl_over_tls’ se beneficiem da configuração padrão mais segura de ‘ldap server require strong auth = yes’.

LDB Integrado ao Samba

O LDB, banco de dados LDAP-like utilizado pelo controlador de domínio do Samba, não é mais distribuído como um tarball separado. Agora, ele está integrado como uma biblioteca pública opcional. Isso simplifica o processo de lançamento de novas versões e melhora a consistência nos testes e segurança.

Remoção das Bindings de API de Módulo LDB em Python

As bindings Python para a API de módulos do LDB foram removidas. Este recurso, que nunca foi devidamente atualizado, estava quebrado e não era mais utilizado, sendo agora eliminado para reduzir a complexidade e potencial de falhas.

Mudanças no Tratamento de Unicode pelo LDB

A função ldb_set_utf8_fns() foi substituída por ldb_set_utf8_functions() para melhorar o desempenho e a robustez no tratamento de comparações de strings e casefolding no LDB. Isso oferece uma maneira mais direta e eficiente de gerenciar essas operações.

Bibliotecas Públicas do Samba Tornadas Privadas

Algumas bibliotecas C públicas do Samba, anteriormente mantidas por razões históricas ou para suporte ao OpenChange, foram tornadas privadas. Esta mudança visa reduzir a superfície de manutenção e é parte de um esforço para simplificar o código base do Samba.

Reintrodução de Suporte a TLS em Conexões LDAP no Winbindd

O suporte a TLS em conexões LDAP no Winbindd e no comando ‘net ads’ foi reintroduzido. Agora, a funcionalidade foi ajustada para suportar bindings de canal corretos, utilizando a implementação baseada em GnuTLS, garantindo maior consistência e segurança.

Nova Opção de Configuração de Nome de Host DNS

Foi adicionada uma nova opção para configurar o nome de host DNS ao registrar domínios através do comando ‘net ads dns register’. Essa mudança automatiza e corrige o registro de DNS, eliminando a necessidade de entradas manuais e garantindo maior precisão.

Rotação de Senhas em Contas com Requerimento de Smartcard

Agora, o Samba AD rotaciona senhas de contas que exigem smartcard para login, em conformidade com o comportamento do Windows em domínios no nível funcional de 2016. Esta funcionalidade garante maior segurança ao expirar e rotacionar senhas de fallback.

Configuração Personalizada de “veto files” e “hide files”

As opções “veto files” e “hide files” podem ser aplicadas individualmente por usuário ou grupo. Isso permite um controle mais granular sobre quais arquivos são ocultados ou vetados para determinados usuários ou grupos, aumentando a flexibilidade e segurança.

https://www.phoronix.com/news/Samba-4.21-Released
https://www.samba.org/samba/history/samba-4.21.0.html