Samba 4.10 : Évolution et nouveautés

Samba Active Directory : une alternative viable au protocole NT4

Depuis la version 4.0, Samba implémente les fonctions d’un contrôleur de domaine Active Directory. Dès lors, il devient possible de quitter le protocole d’identification et d’authentification NT4 pour une alternative véritablement viable. De plus, Samba 4.0 est également capable de répondre aux exigences de sécurité des organisations, là où le protocole NT4 peine à atteindre le niveau attendu. Avec cette nouvelle version de Samba, les clients Windows 2000 et ultérieurs peuvent finalement rejoindre le domaine et bénéficier des services fournis par le contrôleur de domaine :

• LDAP
• KDC
• NTP
• DNS interne ou s’appuyant sur Blind-DLZ
• Kerberos PAC

De plus, Samba 4.0.0 implémente des interfaces codées en Python pour agir sur le coeur de la logique métier codée historiquement en C / C++.

Samba 4.1.0 : Contrôleur de domaine AD et protocole SMB

Les développeurs profitent de la sortie de Samba 4.1.0 pour étoffer les outillages pour les clients d’un contrôleur de domaine AD. Avec cette nouvelle version, Samba exploite désormais les protocoles SMBv2 et SMBv3 pour l’authentification. Il devient alors possible d’abandonner le protocole SMBv1 (pour les versions supérieures) qui n’assure pas une sécurité suffisante vis-à-vis des menaces comme les rançongiciels. Les réplications entre contrôleurs de domaine sont également améliorées dans cette version.

Samba AD : Service de fichiers et contrôleur de domaine AD

À partir de la version 4.2.0 de Samba AD, l’équipe de développement va apporter des améliorations au niveau des services de fichiers, du fonctionnement et de la sécurité du logiciel mais également au niveau des performances du contrôleur de domaine. La fin du support de Samba3 est également annoncée avec la version 4.2.0, qui continue tout de même de supporter le protocole d’identification et d’authentification NT4.

Voici un bref récapitulatif de ce que vous avez pu manquer entre la version 4.2.0 et Samba 4.10. Pour les plus téméraires, vous trouverez un listing détaillé de chaque sortie de Samba dans notre documentation.

Améliorations du service de fichiers :

• Accès à des fichiers Shadow Copy hébergés sur un partage, permettant alors de revenir sur des versions sauvegardées de l’arborescence du partage de fichiers.
• Support de SMB 3.1.1, protocole standard d’échange de fichiers apparu avec Windows 10.
• Prise en charge du module VirusFilter qui s’intègre avec les anti-virus Sophos, F-Secure et ClamAV afin de fournir des fonctions de filtrage sur le serveur de fichiers.

Améliorations du contrôleur de domaine :

• Chiffrement des échanges RPC entre les contrôleurs de domaine, permettant donc d’éviter les attaques de type MITM.
• Évolution de la stratégie globale de gestion des mots de passe.
• Amélioration du KCC, mécanisme qui permet au contrôleur de cartographier la topologie de réplication pour un fonctionnement avec un réseau de grande dimension.
• Modification de la suppression de contrôleur de domaine défectueux.
• Support du Last Login / Last Logoff.
• Amélioration des performances de réplication et du DNS.

Évolution de sécurité :

• Désactivation par défaut du NTLMv1 pour toute nouvelle implémentation du contrôleur de domaine afin de faire face aux attaques croissantes par rançongiciels.
• Restriction de la plage des ports utilisés par le service MS-RPC.
• Chiffrement sur disque des données sensibles.
• Différentiation des stratégies de mots de passe entre utilisateurs et groupes d’utilisateurs.
• Mise en place d’audit des événements de l’Active Directory (ouverture de session, ajout d’éléments AD …).
• Ajout d’un script dans le smb.conf afin de choisir la complexité des mots de passe, fonctionnel sur des machines clientes Windows.

Modification de fonctionnement :

• Amélioration du KCC pour optimiser la topologie de réplication en fonction des latences et des débits réseau.
• Création d’une corbeille d’Active Directory pour récupérer les objets supprimés suite à une mauvaise manipulation, par exemple.
• Support du contrôleur de domaine en lecture seule (RODC) pour permettre aux sites ne disposant pas d’une sécurité physique suffisante d’avoir un DC ne répliquant que les mots de passe des utilisateurs.
• Amélioration générale du fonctionnement des relations d’approbation.
• Mise en place d’Automatic Site Coverage pour permettre aux ordinateurs sur un site non équipé d’un contrôleur de domaine de se connecter au contrôleur de domaine le plus proche.
• Support de bases LMDB pour des domaines avec plus de 100 000 objets (utilisateurs, groupes, ordinateurs …).