Konference OpenAlt 2023 proběhne o víkendu 11. a 12. listopadu v Brně. Přihlásit přednášky lze do neděle 08. října 23:59.
V X.Org v libX11 do 1.8.7 a libXpm do 3.5.17 bylo nalezeno a v upstreamu opraveno 5 bezpečnostních chyb (CVE-2023-43785, CVE-2023-43786, CVE-2023-43787, CVE-2023-43788 a CVE-2023-43789). Dvě nejstarší jsou s námi 35 let. Obsaženy byly již v X11R2 vydaném v únoru 1988.
Byly publikovány informace o bezpečnostní chybě Looney Tunables aneb CVE-2023-4911 v glibc ld.so. Útočník ji může využít k lokální eskalaci práv. Vyzkoušeno na výchozích instalacích linuxových distribucí Fedora 37 a 38, Ubuntu 22.04 a 23.04 a Debian 12 a 13. Chyba byla do glibc zavlečena v dubnu 2021. Detaily v txt.
Na Kickstarteru byla spuštěna crowdfundingová kampaň na podporu telefonu Murena 2 s /e/OS. Telefon má 2 hardwarové přepínače. Prvním lze jednoduše vypnout kamery a mikrofony. Druhým se lze odpojit od sítí.
Společnost Qualcomm publikovala říjnový bezpečnostní bulletin. V úvodu informuje, že bezpečnostní chyby CVE-2023-33106, CVE-2023-33107, CVE-2022-22071 a CVE-2023-33063 jsou cíleně využívány útočníky. O CVE-2022-22071 se píše už v loňském květnovém bulletinu. Detaily o zbylých chybách jsou k dispozici OEM partnerům. Veřejně budou k dispozici až s vydáním prosincového bulletinu.
Byla vydána nová verze 5.18 živé linuxové distribuce Tails (The Amnesic Incognito Live System), jež klade důraz na ochranu soukromí uživatelů a anonymitu. Přehled změn v příslušném seznamu. Tor Browser byl povýšen na verzi 12.5.6. Tor na verzi 0.4.8.6.
Šifrovací nástroj VeraCrypt v menším vydání 1.26.7 nejen opravuje chyby a aktualizuje podporované algoritmy (podrobnosti v poznámkách vydání), ale také přestává podporovat původní svazky TrueCrypt.
V sobotu 7. října proběhne Maker Faire Liberec, festival plný workshopů, interaktivních činností a především nadšených a zvídavých lidí.
Mastodon vydal výroční zprávu za rok 2022 (pdf).
Ubuntu Summit 2023 proběhne od 3. do 5. listopadu v Rize.
Ahoj.
Zapasim se Sambou. Mam rozchozenou sambu jako PDC (security=user
). Mam druhou, na jinem stroji - chci ji jako souborovy server (s raidem, ale o tom pozdeji). Jak donutit druhou sambu, overovat uzivatele v domene a implementovat podporu acl - chtel bych klikat prava z Wokem (jako standard win server).
Druha samba je v rezimu security=domain
a je clenem domeny v PDC.
Potreboval bych nakopnout. Uz s tim zapasim dlouho a nemuzu to vymyslet. Mate nekdo napad? Diky.
rwx
, takže jemné nastavování práv z Windows stejně nebude fungovat. Existuje možná nějaká možnost, jak ta detailní práva ukládat do rozšířených atributů, ale to by pak stejně byla jenom věc Samby a ostatní programy v linuxu by tato práva nerespektovaly.
Nevidím v dotazu žádný problém ani otázku, takže k tomu těžko napsat něco víc…
getfacl
zkontroloval, jak vypadají ta nastavené práva z pohledu linuxu – tj. zda je problém při zápisu práv nebo při čtení.
getfacl
normálně můžete použít, pouze místo jmen uvidíte UID. Ale možná právě v té „neexistenci účtů“ na souborovém serveru je ten problém – Samba práva uloží s patřičným UID, ale když se pak Windows na práva zeptají, nedokáže UID převést zpět na jméno. Zkuste si pro otestování pro UID uživatele, na kterém to zkoušíte, vytvořit záznam v /etc/passwd
, aby se převedl na jméno. Pokud to bude fungovat, musel byste zařídit, aby oba dva počítače používaly stejný seznam účtů i pro linux.
getent passwd UID
vrátí správně jméno toho uživatele? Informace o uživatelích se můžou kešovat, a může je kešovat i samotná Samba, zkusil bych jí restartovat (a pokud používáte nscd
, restartujte nejprve ten). Taky bych zkusil zvýšit úroveň logování Samby a podívat se do logů, jestli něco o převodu jmen nepíše tam.
wbinfo --domain=TUX-NET --user-info=karel
could not get info for user karel
wbinfo --own-domain
could not obtain winbind interface details!
could not obtain winbind domain name!
TUX-NET
smb.conf
nastaveno inherit acls = yes
? Třeba v Debianu je to po instalaci vypnuté a bez toho mi ACL z windows zrovna moc nefungují.
Co se týče ACL, tak samozřejmě ve Windows vůči Sambě fungují trochu specificky, ale dá se na to zvyknout a pak je na to spoleh. Nesetkal jsem se zatím s nějakým nevysvětlitelným chováním. V rámci Windows ACL editoru se práva omezují na analogii rwx
- tedy Nic / Čtení / Úplné řízení. Pak má smysl ještě nastavení Jen tato složka / Tato složka, podsložky a soubory - ta druhá možnost je mapována na default
unix ACL.
Pak asi nefunguje vynucené dědění práv, ale to podle mě není tak moc na škodu. Tohle omezení šlo snad obejít pomocí extended atributů, ale to asi funguje skutečně jen pro Sambu, jak tady někdo zmínil.
Ohledně dvou (a více) serverů, které jsou oba na Sambě, bych doporučil vykašlat se na winbind a podobné obezličky a použít LDAP. Tím je úplně "přirozeně" všechno vyřešeno - unix účty přes nssswitch, všechny Samba servery berou údaje o uživatelích z LDAPu. Mám takhle několik serverů, z toho jeden se snapshot zálohami, kde je read-only replika LDAPu a uživatelé tedy při výpadku hlavního server mají přístup alespoň k záloze (zároveň je to BDC).
smbpasswd
do LDAPu. Na to se dají použít skripty z balíku smbldaptools
. Já jsem to řešil vlastními skripty v bashi, které generují LDIF a posílají ho do ldapadd
.
Nevím kolik tam je uživatelů, podle toho bych řešil jak moc tu migraci automatizovat.
Propojení Samby s LDAP je jednoduché - smb.conf:
passdb backend = ldapsam:ldap://localhost
ldap suffix = dc=domena,dc=cz
ldap admin dn = cn=admin,dc=domena,dc=cz
ldap delete dn = yes
ldap machine suffix = ou=machines
ldap group suffix = ou=groups
ldap user suffix = ou=users
ldap idmap suffix = ou=idmap # snad neni ani treba (nevyuziva se)
ldap passwd sync = yes
add machine script = /etc/scripts/ldap-machineadd %u
Ten add machine scriptslouží pro automatické vytvoření účtu PC při přidání do domény (lze použít i
/usr/sbin/smbldap-useradd -w "%u"
ze smbldap tools).
Je třeba nastavit ještě heslo pro LDAP admin účet, aby Samba mohla do LDAPu zapisovat:
smbpasswd -w LdapAdminHeslo
U nových uživatelů stačí v LDAPu založit unix účet (nedávám mu ani heslo) a Samba parametry přidat klasicky:
smbpasswd -a login
kdy se nastaví Samba heslo a zároveň i unix heslo přes synchronizaci Samby.
Dobrý popis LDAPu (česky) je taky tady:
http://ldap.zdenda.com/
Základní je zprovoznit LDAP server a podrobnosti okolo Samby už jsou pak přehledně vysvětleny v Samba HOWTO Collection.
domain logons = no
, na LDAP se v LDAPu vytvořil druhý záznam:
SambaDomainName = NETBIOS_JMENO_DRUHEHO_SERVERU
(oba servery mají security = user
)
Toto bylo třeba ponechat a nastavit novému SambaDomainName
stejný SID jako má PDC. To jsem udělal editací LDAPu, teoreticky by asi šlo použít i net setlocalsid
.
Uživatele je teoreticky možné do Samby přidávat na obou serverech, ale doporučil bych to dělat jen na tom, který je PDC.
inherit acls = yes
a nt acl support = yes
? Co když nastavíš něco přes setfacl
- je to vidět ve Windows?
Důležité také je, že ACL smí měnít jen vlastník souboru / složky. Zkus ve Windows vytvořit novou složku a na té pak nastavit ACL.
setfacl
v Linuxu přidáš nějaká práva dalšímu uživateli, je to ve Windows vidět?
Tiskni
Sdílej: