Наличен пощенски сървър Postfix 3.7.0

След 10 месеца разработка беше пуснат нов стабилен клон на пощенския сървър Postfix - 3.7.0. В същото време той обяви края на поддръжката за клона Postfix 3.3, пуснат в началото на 2018 г. Postfix е един от редките проекти, който съчетава едновременно висока сигурност, надеждност и производителност, което беше постигнато благодарение на добре обмислена архитектура и доста строга политика за проектиране на код и одит на корекции. Кодът на проекта се разпространява под EPL 2.0 (публичен лиценз на Eclipse) и IPL 1.0 (публичен лиценз на IBM).

Според януарско автоматизирано проучване на около 500 хиляди пощенски сървъра, Postfix се използва на 34.08% (преди година 33.66%) от пощенските сървъри, делът на Exim е 58.95% (59.14%), Sendmail - 3.58% (3.6 %), MailEnable - 1.99% ( 2.02%), MDaemon - 0.52% (0.60%), Microsoft Exchange - 0.26% (0.32%), OpenSMTPD - 0.06% (0.05%).

Основни иновации:

• Възможно е да вмъкнете съдържанието на малки таблици „cidr:“, „pcre:“ и „regexp:“ в стойностите на конфигурационните параметри на Postfix, без да свързвате външни файлове или бази данни. Заместването на място се дефинира с помощта на фигурни скоби, например стойността по подразбиране на параметъра smtpd_forbidden_commands сега съдържа низа „CONNECT GET POST regexp:{{/^[^AZ]/ Thrash}}“, за да се гарантира, че връзките от клиенти изпращат отпадат боклук вместо команди. Общ синтаксис: /etc/postfix/main.cf: параметър = .. map-type:{ { rule-1 }, { rule-2 } .. } .. /etc/postfix/master.cf: .. -o { параметър = .. тип-карта: { { правило-1 }, { правило-2 } .. } .. } ..
• Манипулаторът на postlog вече е снабден с флага set-gid и, когато се стартира, изпълнява операции с привилегиите на групата postdrop, което му позволява да бъде използван от непривилегировани програми за записване на журнали чрез фоновия процес postlogd, което позволява повишена гъвкавост при конфигурирането на maillog_file и включването на stdout регистриране от контейнера.
• Добавена е поддръжка на API за библиотеки OpenSSL 3.0.0, PCRE2 и Berkeley DB 18.
• Добавена е защита срещу атаки за определяне на сблъсъци в хешове с помощта на груба сила на ключ. Защитата се осъществява чрез рандомизиране на първоначалното състояние на хеш-таблици, съхранявани в RAM. Понастоящем е идентифициран само един метод за извършване на такива атаки, който включва изброяване на IPv6 адресите на SMTP клиенти в услугата anvil и изискване за установяване на стотици краткотрайни връзки в секунда, докато циклично се претърсват хиляди различни клиентски IP адреси . Останалите хеш-таблици, чиито ключове могат да бъдат проверени въз основа на данните на нападателя, не са податливи на такива атаки, тъй като имат ограничение на размера (наковалнята използва почистване веднъж на всеки 100 секунди).
• Засилена защита срещу външни клиенти и сървъри, които много бавно прехвърлят данни бит по бит, за да поддържат SMTP и LMTP връзките активни (например, за да блокират работата чрез създаване на условия за изчерпване на ограничението за броя на установените връзки). Вместо времеви ограничения във връзка със записите, сега се прилага ограничение във връзка със заявките и е добавено ограничение за минималната възможна скорост на трансфер на данни в DATA и BDAT блокове. Съответно настройките {smtpd,smtp,lmtp}_per_record_deadline бяха заменени от {smtpd,smtp,lmtp}_per_request_deadline и {smtpd, smtp,lmtp}_min_data_rate.
• Командата postqueue гарантира, че непечатаемите знаци, като нови редове, се почистват преди отпечатване към стандартен изход или форматиране на низа в JSON.
• В tlsproxy параметрите tlsproxy_client_level и tlsproxy_client_policy бяха заменени от нови настройки tlsproxy_client_security_level и tlsproxy_client_policy_maps за уеднаквяване на имената на параметрите в Postfix (имената на настройките tlsproxy_client_xxx вече съответстват на настройките smtp_tls_xxx).
• Обработката на грешки от клиенти, използващи LMDB, е преработена.

Източник: opennet.ru