Efter 10 måneders udvikling er den nye stabile version af mailserveren Postfix – 3.7.0 – blevet frigivet. Samtidig er det blevet annonceret, at der ikke længere vil være support for Postfix version 3.3, der blev udgivet i begyndelsen af 2018. Postfix er et af de få projekter, der kombinerer høj sikkerhed, pålidelighed og ydeevne, hvilket er opnået takket være en gennemtænkt arkitektur og en ret streng kodepolitik samt patchrevision. Koden distribueres under licenserne EPL 2.0 (Eclipse Public License) og IPL 1.0 (IBM Public License).
Ifølge en automatiseret undersøgelse fra januar med omkring 500.000 mailservere, servere, anvendes Postfix på 34,08% (33,66% for et år siden) af mailserverne, andelen for Exim er 58,95% (59,14%), Sendmail – 3,58% (3,6%), MailEnable – 1,99% (2,02%), MDaemon – 0,52% (0,60%), Microsoft Exchange – 0,26% (0,32%), OpenSMTPD – 0,06% (0,05%).
Hovednyhederne:
- Muligheden for at indsætte små tabeller som «cidr:», «pcre:» og «regexp:» direkte i værdierne for Postfix-konfigurationsparametre er blevet tilføjet, uden at eksterne filer eller databaser skal tilsluttes. Indsættelsen bestemmes ved hjælp af klammer; for eksempel indeholder standardværdien for parameteren smtpd_forbidden_commands nu strengen «CONNECT GET POST regexp:{{/^[^A-Z]/ Thrash}}», som sikrer, at forbindelser fra klienter, der sender affald fremfor kommandoer, bliver nulstillet. Den generelle syntaks: /etc/postfix/main.cf: parameter = .. map-type:{ { rule-1 }, { rule-2 } .. } .. /etc/postfix/master.cf: .. -o { parameter = .. map-type:{ { rule-1 }, { rule-2 } .. } .. } ..
- Postlog-handleren er nu udstyret med set-gid flaget og ved start skifter den til postdrop-gruppens privilegier, hvilket tillader uprivilegerede programmer at skrive logs gennem baggrundsprocessen postlogd, hvilket øger fleksibiliteten i konfigurationen af maillog_file og også muliggør logning af stdout fra containeren.
- Support til API-biblioteker OpenSSL 3.0.0, PCRE2 og Berkeley DB 18 er blevet tilføjet.
- Der er tilføjet beskyttelse mod angreb, der definerer kollisioner i hashes ved hjælp af brute-force nøglemetoden. Beskyttelsen implementeres ved randomisering af den indledende tilstand af hash-tabeller, der er gemt i hukommelsen. Indtil videre er der kun identificeret én måde at udføre sådanne angreb, som involverer prøvning af IPv6-adresser fra SMTP-klienter i tjenesten anvil og kræver hundreder af kortvarige forbindelser pr. sekund ved cyklisk at prøve tusinder af forskellige klienter. IP-adresser. De andre hash-tabeller, hvor nøgler kan kontrolleres baseret på angriberens data, er ikke udsat for sådanne angreb, da der anvendes en størrelsesbegrænsning (i anvil blev der renset hver 100 sekunder).
- Beskyttelsen mod eksterne klienter og servere er forbedret, hvilket langsomt fragmentere data for at holde SMTP- og LMTP-forbindelser aktive (for eksempel for at blokere operationer ved at skabe betingelser for at udtømme grænsen for antallet af etablerede forbindelser). I stedet for tidsbegrænsninger knyttet til poster, anvendes der nu begrænsning knyttet til anmodninger, og der tilføjes en begrænsning på den minimum mulige datatransmissionsintensitet i DATA- og BDAT-blokkene. Som følge heraf er indstillingerne {smtpd,smtp,lmtp}_per_record_deadline blevet afløst af {smtpd,smtp,lmtp}_per_request_deadline og {smtpd,smtp,lmtp}_min_data_rate.
- I postqueue-teamet er der sikret rensning af usynlige tegn som linjeskift før udskrivning til standard outputstream eller formatéring af strengen til JSON.
- I tlsproxy er parametrene tlsproxy_client_level og tlsproxy_client_policy blevet erstattet af de nye indstillinger tlsproxy_client_security_level og tlsproxy_client_policy_maps for at ensarte navngivningen af parametre i Postfix (navngivningen af indstillingerne tlsproxy_client_xxx svarer nu til indstillingerne smtp_tls_xxx).
- Fejlhåndtering fra kunder, der bruger LMDB, er blevet redesignet.
Kilde: opennet.ru
