Samba 4.24 tar ett tydligt kliv mot starkare säkerhet och modernare autentisering. Den nya versionen skärper Kerberos-skyddet, gör AES till standard i moderna domäner och inför stöd för lösenordsåterställning via Microsoft Entra ID och Keycloak utan att lokala lösenordspolicys kringgås.
Den senaste versionen av Samba, 4.24, markerar ett tydligt steg mot en säkrare och mer modern hantering av identiteter i nätverk. För organisationer som använder Active Directory-kompatibla miljöer innebär uppdateringen både bättre skydd mot attacker och smidigare samspel med molntjänster som Microsoft Entra ID.
Vad är Samba – och varför spelar det roll?
Samba är en central byggsten i många IT-miljöer. Det gör det möjligt för Linux- och Unix-servrar att fungera tillsammans med Windows-system, dela filer och tillhandahålla katalogtjänster liknande Active Directory.
När Samba uppdateras påverkar det därför allt från små kontorsnätverk till stora företagsinfrastrukturer.
Större fokus på säkerhet: Kerberos får ett lyft
En av de viktigaste nyheterna i Samba 4.24 är förbättrad säkerhet i Kerberos – det system som hanterar inloggningar och autentisering i nätverk.
Det mest betydelsefulla:
- AES-kryptering är nu standard (för moderna domäner)
- Skydd mot “dollar ticket”-attacker
- Striktare regler för klienter
- Alltid inkluderad säkerhetsinformation (PAC)
Tillsammans innebär detta att standardinställningarna i Samba nu är betydligt mer robusta än tidigare – utan att administratören behöver göra lika mycket manuellt arbete.
Molnintegration: lösenordsåterställning på riktigt
En av de mest praktiska nyheterna är stöd för så kallade policy hints.
Det betyder i praktiken:
- Användare kan återställa sitt lösenord via molntjänster (t.ex. Entra ID)
- Samtidigt följs lokala säkerhetspolicys i organisationens egna servrar
Tidigare kunde sådana återställningar kringgå regler som lösenordshistorik och krav på komplexitet. Nu behandlas de som vanliga lösenordsbyten, vilket stänger en viktig säkerhetslucka.
Lösenord utan lösenord: stöd för moderna inloggningar
Samba 4.24 tar även ett steg mot framtidens autentisering:
- Stöd för Windows Hello-liknande inloggning
- Inloggning med certifikat och nycklar istället för lösenord
- Möjlighet att använda självsignerade nycklar
Detta gör det enklare att införa lösenordsfria lösningar – något som blir allt vanligare i större organisationer.
Bättre kontroll och spårbarhet
Administratörer får nu bättre insyn i vad som händer i katalogtjänsten.
Samba kan logga förändringar i viktiga attribut som:
- servicePrincipalName
- dNSHostName
- msDS-KeyCredentialLink
Detta är information som inte är hemlig, men som kan utnyttjas vid attacker om den manipuleras. Därför är loggning av dessa ändringar ett viktigt tillskott för säkerhetsövervakning.
Förbättringar i lagring och prestanda
Utöver säkerhet innehåller version 4.24 även tekniska förbättringar:
- Större filströmmar via extended attributes (upp till cirka 1 MB)
- Ny modul för att begränsa I/O-hastighet
- Kryptering per delad mapp i CephFS
- Integration med externa nyckelhanteringssystem
Detta gör Samba mer flexibelt i moderna lagringsmiljöer, särskilt i moln- och containerbaserade system.
Nya verktyg för administratörer
Med uppdateringen kommer även nya kommandon:
- Generera certifikatförfrågningar (CSR)
- Hantera nyckelbaserad autentisering (KeyTrust)
Det gör det enklare att arbeta med certifikat och säker inloggning direkt från kommandoraden.
Slutsats: ett steg mot säkrare standarder
Samba 4.24 handlar inte bara om nya funktioner – utan om att göra säkra val till standard.
De viktigaste förändringarna:
- Starkare kryptering automatiskt
- Bättre skydd mot kända attackmetoder
- Smidigare integration med molntjänster
- Stöd för lösenordsfri autentisering
För organisationer innebär det mindre risk, enklare administration och en plattform som är bättre rustad för moderna säkerhetskrav.
https://www.samba.org/samba/history/samba-4.24.0.html
Teknisk faktaruta: Samba 4.24
Samba är en fri programsvit som gör att Linux- och Unix-servrar kan kommunicera med Windows-system. Den används främst för fil- och skrivardelning, men kan också fungera som domänkontrollant med stöd för Active Directory-liknande funktioner, autentisering och central användarhantering.
Vad används Samba till?
Samba används i nätverk där olika operativsystem måste fungera tillsammans. Med Samba kan en server dela ut mappar, hantera användarinloggningar, arbeta med Kerberos och LDAP samt ge stöd för Windows-klienter i både små och stora IT-miljöer.
Nyheter i Samba 4.24
- AES som standard i moderna domäner
Domäner med funktionsnivå 2008 eller högre använder nu AES-kryptering som standard i stället för äldre och svagare krypteringsmetoder. - Hårdare Kerberos-säkerhet
Nya KDC-inställningar gör det möjligt att kräva canonicalization i klientförfrågningar och minska risken för så kallade “dollar ticket”-attacker. - Stöd för Entra ID och Keycloak vid lösenordsåterställning
Samba 4.24 kan nu tolka “policy hints”, vilket gör att fjärråterställning av lösenord följer lokala lösenordspolicys i Active Directory-miljön. - Förbättrad certifikatbaserad autentisering
Versionen introducerar stöd för PKINIT KeyTrust-logon, starka och flexibla certifikatmappningar samt SID-tillägg i certifikat. - PAC inkluderas som standard
KDC svarar nu som standard med Privilege Attribute Certificate, vilket stärker autentiseringsinformationen i Kerberos. - Nya samba-tool-kommandon
Administratörer kan generera CSR-filer och hantera KeyTrust-konfigurationer direkt via nya underkommandon i samba-tool. - Bättre säkerhetsloggning
Samba kan nu logga ändringar i säkerhetsrelevanta AD-attribut som exempelvisservicePrincipalName,dNSHostNameochmsDS-KeyCredentialLink. - Utökad lagringsfunktionalitet
Modulenvfs_streams_xattrkan nu lagra större dataströmmar genom att dela upp dem över flera extended attributes, upp till cirka 1 MB. - Ny VFS-modul för I/O-begränsning
En ny asynkron rate-limiting-modul gör det möjligt att styra throughput utifrån operationer per sekund eller bandbredd. - CephFS med FSCrypt-stöd
Modulenceph_newstöder nu FSCrypt, vilket möjliggör kryptering av både data och filnamn per share.
