Wieder ein neues kleines Howto um das Schema des Active Directories um eigene Attribute zu erweitern. Seien Sie sehr vorsichtig bei der Erweiterung des Schemas.

Viele Samba-Nutzer erhalten nach dem Update auf einem wegen des badlock-Bug gepatchten Systems Fehlermeldungen beim Zugriff auf die Datenbank mit den ldb-tools. Dabei spielt es keine Rolle, ob Sie den Zugriff über ldaps:// oder ldap:// durchführen. Um dieses Problem zu lösen gibt es zwei verschiedene Lösungen:
1. Sie passen die Datei smb.conf auf Ihrem Domaincontroller dahingegen an, dass Sie die Überprüfung und Sicherheit die durch den Patch eingespielt wurden abschalten, dass können Sie über die Parameter:
– tls verify peer = no_check
– ldap server require strong auth = no
Dabei werden die RPC-Zugriffe zwar immer noch über TLS abgesichert, aber die Zertifikate werden nicht ausreichend auf Gültigkeit geprüft. Alles funktioniert anschließend so wie Sie es gewöhnt sind.

2. Sie verwenden nur noch Kerberos für die Authentifizierung zusammen mit ldap://. Ja, ein Zugriff über ldap:// zusammen mit einer Authentifizierung und Verschlüsselung mit Kerberos ist sicherer als der Zugriff über ldaps:// mit Zertifikaten. Für den Zugriff müssen Sie sich lediglich mit „kinit“ ein Ticket ziehen und dann bei der Verwendung der ldb-tools den Parameter „-k yes“ verwenden. Ein ldbsearch würde dann wie folgt aussehen:
– kinit administrator
– ldbsearch -H ldap://addc.example.net „cn=username“ -k yes
Jetzt wird die Authentifizierung und Verschlüsselung mit Kerberos durchgeführt, ein „Man in the middle“-Angriff wird dabei nicht mehr möglich sein.

Ich hoffe dieser kleine Tipp hilft Betroffenen weiter. Mehr zu der Thematik badlock finden Sie hier

Stefan Metzmacher vom Samba-Team hat eine schwere Sicherheitslücke gefunden, die sowohl Windows als auch Samba betrifft. Am 12. April wird ein Patch für diese Lücke erscheinen. Erst dann wird auch genau beschrieben worum es bei der Sicherheitslücke geht.

Das Samba-Team arbeitet dabei eng mit den Microsoft-Entwicklern zusammen um das Problem zu lösen. Für die Samba-Versionen 4.2, 4.3 und 4.4 (die gerade erschienen ist) wird es Patches geben. Alle Versionen davor werden NICHT mehr mit Sicherheitsupdates ausgestattet. Für den „Badlock Bug“ wurde extra eine Webseite eingerichtet. Hier werden immer die aktuellsten Informationen zu dem Bug bekannt gegeben.

Im Mai ist es wieder soweit, die SambaXP findet statt. Mit einer großen Änderung: Dieses Mal findet die SambaXP nicht in Göttingen statt, sondern in Berlin. Auch dieses Mal werde ich wieder den ersten Tag mit einem Tutorial gestalten. Es geht dabei um das Thema Active Directory-Administration und das Einrichten von Domain-Trusts. Was ist da schon möglich und was geht noch nicht?

Mit der neuen Version 4.3 hat SerNet die kostenlose Bereitstellung der Samba-Pakete eingestellt. Die Pakete bis zur Version 4.2 werden auch weiterhin über die bekannte Adresse kostenlos bereitgestellt, solange die Versionen supportet werden.

Aber was kommt dann?
Selbstverständlich bleibt Samba open Source. Die Pakete bleiben Bestandteil der Distributionen und auch die Quellen der ganz aktuellen Versionen bleiben open Source. Wenn Sie aber die absolut aktuellste Version nutzen möchten, dann bleibt immer der Weg die Pakete selbst zu bauen. Eine Anleitung dazu finden Sie im Wiki des Samba-Teams.

Was passiert mit meinem Buch?
Es wird im kommende Jahr eine neue Auflage geben. Wahrscheinlich dann mit dem Ubuntu-Server 16.04. Denn da wird (hoffe ich doch) Samba 4.3 enthalten sein. Auch überlege ich, entgegen meiner sonstigen Einstellung, ein Kapitel zu schreiben in dem beschrieben wird, wie Sie Samba 4 aus den Quellen selber bauen können.

Für den produktiven Einsatz in Firmen sind die SerNet-Pakete auf jeden Fall eine gute Lösung, denn diese werden immer weiter gepflegt und auch ein update auf neue Versionen ist damit immer gewährleistet.