Обновление Samba 4.24: шаг к современной безопасности Active Directory
Вышла новая версия Samba 4.24 — популярного open-source решения для интеграции Linux/Unix систем с Windows-средами. Обновление ориентировано на корпоративные инфраструктуры и приносит важные изменения в области безопасности, управления идентификацией и взаимодействия с облачными сервисами.
Ключевое нововведение — полноценная поддержка сброса паролей через Microsoft Entra ID (ранее Azure AD), а также серьёзные улучшения в механизмах Kerberos, включая PKINIT и контроль сертификатов.
Эта версия делает Samba ещё ближе к возможностям нативного Active Directory, особенно в гибридных и облачных сценариях.
Поддержка Entra ID: сброс паролей без ограничений
Одним из главных нововведений стала поддержка Self-Service Password Reset (SSPR) через Entra ID. Ранее такие операции могли не работать корректно, так как Samba не обрабатывала специальные параметры политики.
Теперь ситуация изменилась:
- Samba распознаёт механизм policy hints
- соблюдаются локальные политики безопасности (история паролей, сложность)
- исключена возможность обхода ограничений через облачные сервисы
Это означает, что пользователи могут безопасно менять пароль через облако, а администраторы сохраняют полный контроль над политиками.
👉 Ранее такие запросы отклонялись системой, что ограничивало интеграцию с облачными идентификационными сервисами.
Усиление Kerberos: новые стандарты защиты
В Samba 4.24 значительно усилена безопасность Kerberos — ключевого протокола аутентификации.
Основные изменения:
- поддержка PKINIT (аутентификация по сертификатам)
- интеграция с Windows Hello for Business (Key Trust)
- строгие и гибкие сопоставления ключей (certificate mapping)
- поддержка SID в сертификатах
- обязательная генерация PAC в ответах KDC
- возможность принудительной канонизации запросов
Эти улучшения направлены на защиту от современных атак, включая:
- подмену учетных записей
- атаки с использованием Kerberos-билетов
- обход аутентификации через слабые сертификаты
Например, новая опция kdc require canonicalization предотвращает атаки, при которых злоумышленник может выдавать себя за другого пользователя.
PKINIT и Key Trust: переход к безпарольной аутентификации
Samba теперь поддерживает PKINIT Key Trust — технологию, лежащую в основе passwordless-аутентификации.
Что это даёт:
- вход без пароля (например, через Windows Hello)
- использование самоподписанных ключей
- хранение ключей в атрибуте
msDS-KeyCredentialLink
Также появились новые инструменты:
samba-tool keytrust— управление ключамиgenerate-csr— генерация запросов на сертификаты
Это важный шаг к Zero Trust архитектуре и современным подходам к безопасности.
Улучшения хранения данных и атрибутов
Samba 4.24 расширяет возможности работы с расширенными атрибутами:
- увеличен максимальный размер потоков (до ~1 МБ)
- поддержка разбиения данных на несколько xattr
- улучшена обработка альтернативных потоков (streams)
Это особенно важно для:
- файловых серверов
- совместимости с Windows NTFS
- хранения метаданных
Основные нововведения Samba 4.24
В версии реализован ряд ключевых улучшений:
- Поддержка Entra ID SSPR (сброс пароля через облако)
- Улучшенная безопасность Kerberos и PKINIT
- Поддержка Windows Hello (Key Trust)
- Строгие политики сертификатов
- Расширенные возможности KDC
- Улучшенная работа с атрибутами и потоками
Почему это важно для администраторов Linux
Samba остаётся ключевым инструментом для:
- интеграции Linux в Active Directory
- создания контроллеров домена
- управления пользователями и доступом
С выходом 4.24:
- повышается безопасность инфраструктуры
- упрощается интеграция с облаком
- снижается риск атак на Kerberos
- расширяются возможности гибридных сред
Особенно актуально это для компаний, использующих Entra ID и гибридную аутентификацию.
Выводы
Samba 4.24 — это не просто обновление, а серьёзный шаг вперёд в области безопасности и интеграции с облачными сервисами. Поддержка Entra ID SSPR делает её актуальной для современных инфраструктур, а улучшения Kerberos закрывают важные уязвимости.
Если вы используете Samba в роли контроллера домена или файлового сервера — обновление до версии 4.24 выглядит практически обязательным с точки зрения безопасности и совместимости.
Часто задаваемые вопросы
Что нового в Samba 4.24?
Добавлена поддержка сброса паролей через Entra ID, усилена безопасность Kerberos, внедрён PKINIT и улучшена работа с сертификатами.
Поддерживает ли Samba 4.24 Windows Hello?
Да, благодаря поддержке Key Trust и PKINIT теперь возможна интеграция с Windows Hello for Business.
Можно ли использовать Samba 4.24 в гибридной инфраструктуре?
Да, версия отлично подходит для работы с Entra ID и локальным Active Directory одновременно.
Зачем нужна канонизация Kerberos-запросов?
Она предотвращает атаки подмены пользователей и повышает безопасность аутентификации.
Насколько важны изменения в Kerberos?
Критически важны — они закрывают потенциальные уязвимости и делают систему соответствующей современным требованиям безопасности.