Po 10 měsících vývoje došlo k uvolnění nové stabilní verze poštovního serveru Postfix — 3.7.0. Zároveň bylo oznámeno ukončení podpory větve Postfix 3.3, vydané na začátku roku 2018. Postfix je jedním z mála projektů, které kombinují vysokou bezpečnost, spolehlivost a výkon, což se podařilo dosáhnout díky promyšlené architektuře a dostatečně přísné politice úpravy kódu a auditu patchů. Kód projektu je distribuován pod licencemi EPL 2.0 (Eclipse Public License) a IPL 1.0 (IBM Public License).
Podle lednového automatizovaného průzkumu přibližně 500 tisíc poštovních servery, Postfix se využívá na 34,08 % (před rokem 33,66 %) poštovních serverů, podíl Exim činí 58,95 % (59,14 %), Sendmail — 3,58 % (3,6 %), MailEnable — 1,99 % (2,02 %), MDaemon — 0,52 % (0,60 %), Microsoft Exchange — 0,26 % (0,32 %), OpenSMTPD — 0,06 % (0,05 %).
Hlavní novinky:
- Byla poskytována možnost vložení na místě obsahu malých tabulek „cidr:“, „pcre:“ a „regexp:“ uvnitř hodnot konfiguračních parametrů Postfix, bez připojení externích souborů nebo databází. Vložení na místě se určuje pomocí složených závorek, například výchozí hodnota parametru smtpd_forbidden_commands nyní obsahuje řetězec „CONNECT GET POST regexp:{{/^[^A-Z]/ Thrash}}“, který zajišťuje resetování spojení od klientů posílajících odpad místo příkazů. Obecná syntaxe: /etc/postfix/main.cf: parameter = .. map-type:{ { rule-1 }, { rule-2 } .. } .. /etc/postfix/master.cf: .. -o { parameter = .. map-type:{ { rule-1 }, { rule-2 } .. } .. } ..
- Zpracovatel postlog je nyní vybaven flagem set-gid a při spuštění provádí operace s privilegii skupiny postdrop, což umožňuje jeho použití neprivilegovanými programy pro zapisování logů prostřednictvím pozadí procesu postlogd, což zvyšuje flexibilitu nastavení maillog_file a umožňuje také logování stdout z kontejneru.
- Byla přidána podpora API knihoven OpenSSL 3.0.0, PCRE2 a Berkeley DB 18.
- Byla přidána ochrana proti útokům na určení kolizí v hashi pomocí přebírání klíčů. Ochrana je realizována prostřednictvím randomizace počátečního stavu hashovacích tabulek uložených v operační paměti. V současnosti byl identifikován pouze jeden způsob provádění takových útoků, který je spojen s přebíráním adres IPv6 SMTP klientů ve službě anvil a vyžaduje provedení stovek krátkodobých spojení za sekundu při cyklickém přebírání tisíců různých klientských IP adress. Ostatní hashovací tabulky, jejichž kontrola klíčů může být provedena na základě údajů útočníka, nejsou takovým útokům vystaveny, protože zde je použito omezení velikosti (v anvil byla provozována údržba každých 100 sekund).
- Byla posílena ochrana před externími klienty a servery, kteří velmi pomalu předávají data v malých dávkách s cílem udržet aktivní spojení SMTP a LMTP (například blokováním činnosti prostřednictvím vytvoření podmínek pro vyčerpání limitu počtu nastavených spojení). Místo časových omezení s vazbou na záznamy byla nyní zavedena omezení vázaná na požadavky a zároveň bylo přidáno omezení minimální možné intenzity přenosu dat v blocích DATA a BDAT. Na místo nastavení {smtpd,smtp,lmtp}_per_record_deadline přišla {smtpd,smtp,lmtp}_per_request_deadline a {smtpd,smtp,lmtp}_min_data_rate.
- V týmu postqueue byla zajištěna údržba neviditelných znaků, jako je nový řádek, v fázi před výstupem do standardního výstupního proudu nebo formátováním řetězce do JSON.
- V tlsproxy na místo parametrů tlsproxy_client_level a tlsproxy_client_policy přišly nové nastavení tlsproxy_client_security_level a tlsproxy_client_policy_maps pro zjednodušení názvů parametrů v Postfix (názvy nastavení tlsproxy_client_xxx nyní odpovídají nastavením smtp_tls_xxx).
- Bylo přepracováno zpracování chyb od klientů používajících LMDB.
Zdroj: opennet.ru
