Nach 10 Monaten Entwicklung wurde die neue stabile Version des Mailservers Postfix â 3.7.0 veröffentlicht. Gleichzeitig wurde die UnterstĂŒtzung fĂŒr die Version Postfix 3.3, die Anfang 2018 veröffentlicht wurde, eingestellt. Postfix ist eines der wenigen Projekte, das hohe Sicherheit, ZuverlĂ€ssigkeit und Leistung gleichzeitig vereint, was durch eine durchdachte Architektur und eine strenge Code- und Patch-ĂberprĂŒfung erreicht wurde. Der Code des Projekts wird unter den Lizenzen EPL 2.0 (Eclipse Public License) und IPL 1.0 (IBM Public License) verbreitet.
Laut einer automatisierten Umfrage im Januar von rund 500.000 Mailservern Server, wird Postfix auf 34.08% (vor einem Jahr 33.66%) der Mailserver verwendet, der Anteil von Exim betrĂ€gt 58.95% (59.14%), Sendmail â 3.58% (3.6%), MailEnable â 1.99% (2.02%), MDaemon â 0.52% (0.60%), Microsoft Exchange â 0.26% (0.32%), OpenSMTPD â 0.06% (0.05%).
Hauptneuheiten:
- Es wurde die Möglichkeit hinzugefĂŒgt, an Ort und Stelle kleine Tabellen «cidr:», «pcre:» und «regexp:» innerhalb der Werte der Konfigurationsparameter von Postfix einzufĂŒgen, ohne externe Dateien oder Datenbanken anzuschlieĂen. Die eingehende Substitution erfolgt mithilfe von geschweiften Klammern, zum Beispiel enthĂ€lt der Standardwert des Parameters smtpd_forbidden_commands jetzt die Zeile «CONNECT GET POST regexp:{{\/^[^A-Z]\ Thrash}}», die Verbindungen von Clients zurĂŒcksetzt, die MĂŒll anstelle von Befehlen senden. Die allgemeine Syntax: \/etc\/postfix\/main.cf: parameter = .. map-type:{ { rule-1 }, { rule-2 } .. } .. \/etc\/postfix\/master.cf: .. -o { parameter = .. map-type:{ { rule-1 }, { rule-2 } .. } .. } ..
- Der postlog-Handler ist jetzt mit einem set-gid-Flag ausgestattet und fĂŒhrt beim Start Aufgaben mit den Privilegien der Gruppe postdrop aus, was es ermöglicht, ihn von nicht privilegierten Programmen zum Schreiben von Protokollen ĂŒber den Hintergrundprozess postlogd zu verwenden, was die FlexibilitĂ€t bei der Konfiguration der maillog_file erhöht und unter anderem das Protokollieren von stdout aus dem Container ermöglicht.
- Die UnterstĂŒtzung fĂŒr die API-Bibliotheken OpenSSL 3.0.0, PCRE2 und Berkeley DB 18 wurde hinzugefĂŒgt.
- Der Schutz gegen Angriffe zur Ermittlung von Hash-Kollisionen mittels SchlĂŒssel-Brute-Force-Angriffen wurde implementiert. Der Schutz wird durch Randomisierung des anfĂ€nglichen Zustands der in RAM gespeicherten Hash-Tabellen realisiert. Bisher wurde nur eine Methode fĂŒr solche Angriffe identifiziert, die mit der Brute-Force-Navigation von IPv6-Adressen von SMTP-Clients im Dienst anvil verbunden ist, und die Hunderte von kurzfristigen Verbindungen pro Sekunde bei zyklischer Durchsuchung von Tausenden verschiedener Clients erfordert. IP-Adressen. Andere Hash-Tabellen, bei denen die ĂberprĂŒfung der SchlĂŒssel auf Basis der Daten des Angreifers erfolgen kann, sind nicht anfĂ€llig fĂŒr solche Angriffe, da sie eine GröĂenbeschrĂ€nkung anwenden (in Anvil wurde alle 100 Sekunden bereinigt).
- Der Schutz vor externen Kunden und Servern wurde verstĂ€rkt, die sehr langsam Daten in kleinen Mengen ĂŒbermitteln, um SMTP- und LMTP-Verbindungen aktiv zu halten (zum Beispiel zur Blockierung des Betriebs durch die Schaffung von Bedingungen zur Erschöpfung des Limits fĂŒr die Anzahl der etablierten Verbindungen). Anstelle von ZeitbeschrĂ€nkungen hinsichtlich der Aufzeichnungen wird nun eine Anfrage-BeschrĂ€nkung angewendet, ebenso wie eine Begrenzung der minimalen Ăbertragungsrate von Daten in den DATA- und BDAT-Blöcken. Entsprechend wurden die Einstellungen {smtpd,smtp,lmtp}_per_record_deadline durch {smtpd,smtp,lmtp}_per_request_deadline und {smtpd,smtp,lmtp}_min_data_rate ersetzt.
- Im Postqueue-Team wurde eine Bereinigung nicht druckbarer Zeichen, wie ZeilenumbrĂŒche, vor dem Ausgeben an die Standardausgabe oder der Formatierung in JSON sichergestellt.
- Im tlsproxy wurden die Parameter tlsproxy_client_level und tlsproxy_client_policy durch die neuen Einstellungen tlsproxy_client_security_level und tlsproxy_client_policy_maps ersetzt, um eine Vereinheitlichung der Parameterbezeichnungen in Postfix zu erreichen (die Bezeichnung der Einstellungen tlsproxy_client_xxx entspricht nun den smtp_tls_xxx-Einstellungen).
- Die Fehlerbehandlung von Clients, die LMDB verwenden, wurde ĂŒberarbeitet.
Quelle: opennet.ru
