Nach fast einem Jahr der Entwicklung wurde die neue stabile Version des Mailservers Postfix – 3.10.0 – veröffentlicht. Gleichzeitig wurde die Unterstützung der Version Postfix 3.6, die Anfang 2021 veröffentlicht wurde, eingestellt. Der Code des Projekts ist in C geschrieben und wird unter den Lizenzen EPL 2.0 (Eclipse Public License) und IPL 1.0 (IBM Public License) verbreitet.
Postfix ist eines der wenigen Projekte, das gleichzeitig hohe Sicherheit, Zuverlässigkeit und Leistung bietet. Dies wurde durch eine Multi-Processing-Architektur erreicht, die einzelne Handler isoliert, sowie durch strenge Codierungsrichtlinien und Patch-Audits. Zum Schutz vor Fehlern bei der Speicherverwaltung werden im Projekt sichere Varianten von Funktionen zum Speichern und Freigeben von Speicher verwendet, sowie ein Satz abstrakter Wrapper-Funktionen für die Arbeit mit Puffern (Überprüfung auf Pufferüberläufe und Zugriffe auf freigegebenen Speicher), Dateioperationen, Formatierung, gepufferten Ein- und Ausgabe sowie Manipulationen mit Zeichenfolgen (einschließlich Möglichkeiten zur Arbeit mit Zeichenfolgen variabler Größe und automatischer Größenanpassung von Zeichenfolgen).
Laut der automatisierten Umfrage im Februar nutzen etwa 550.000 Mail-Server Server, wird Postfix auf 37,64 % (vor einem Jahr 36,81 %) der Mail-Server eingesetzt, Exim hat einen Anteil von 56,03 % (vor einem Jahr 56,61 %), Sendmail – 3,39 % (3,60 %), MailEnable – 1,80 % (1,82 %), MDaemon – 0,39 % (0,40 %), Microsoft Exchange – 0,19 % (0,19 %), OpenSMTPD – 0,10 % (0,09 %).
Hauptneuheiten:
- Die Möglichkeit zur Verwendung von in TLS implementierten, quantensicheren Algorithmen wurde hinzugefügt. Für die Nutzung dieser Algorithmen ist die Verwendung der OpenSSL-Bibliotheksversion 3.5 erforderlich, die sich derzeit noch in der Entwicklungsphase befindet. Bei der Auswahl post-quanten sicherer Algorithmen wurde in Postfix kein neuer Syntax für TLS-Gruppen eingeführt; stattdessen wurde auf die OpenSSL-Einstellungen zurückgegriffen, die bei der Festlegung der Parameter „tls_eecdh_auto_curves“ und „tls_ffdhe_auto_groups“ auf leere Werte verwendet werden.
- Es wurde die Unterstützung für den Nachrichtenheader „TLS-Required: no“ (RFC 8689) hinzugefügt, bei dem die Lieferung auch dann erfolgt, wenn die in den Sicherheitseinstellungen festgelegte TLS-Sicherheitsrichtlinie nicht umgesetzt werden kann. Bei Vorhandensein dieses Headers arbeitet der SMTP-Client im Modus „smtp_tls_security_level = may“, d.h. er überprüft das Zertifikat nicht. Server und kann auf eine Verbindung mit Datenübertragung im Klartext zurückgesetzt werden. In der nächsten wichtigen Version von Postfix wird die SMTP-Erweiterung REQUIRETLS implementiert.
- Unterstützung für das Protokoll TLS-RPT (Transport Layer Security Reporting) hinzugefügt, das es ermöglicht, Zustellfehler zu verfolgen, die auftreten, wenn eine verschlüsselte Verbindung, die durch die Verwendung von DANE (DNS-based Authentication of Named Entities) oder MTA-STS (MTA Strict Transport Security) vorgeschrieben ist, nicht hergestellt werden kann. Der Inhaber der E-Mail-Domain definiert die Parameter für TLS-RPT im DNS, wonach die Mailserver Berichte über erfolgreiche und fehlgeschlagene TLS-Verbindungen an die MX-Server, die die Domain bedienen, senden werden. Die Implementierung basiert auf der Bibliothek libtlsrpt.
- Die Einstellung „smtpd_hide_client_session = yes“ wurde hinzugefügt, um die Einfügung von Informationen über die Client-Sitzung bei der Einfügung des SMTP-Server-Headers „Received:“ zu deaktivieren. Beispiel für einen gekürzten Header: „Received: by mail.example.com (Postfix) id postfix-queue-id for <user@example.com>; Tag, dd Mon yyyy hh:mm:ss tz-offset (Zone).“
- Die Möglichkeit zur MIME-Kodierung (RFC 2047) von Namen in den generierten Postfix-Headern "From:", die nicht-ASCII-Zeichen enthalten, wurde hinzugefügt. Das vorgeschlagene Kodierungsschema ermöglicht die Verwendung ohne die SMTPUTF8-Erweiterung (RFC 6531), die nicht von allen Anwendungen unterstützt wird. Das Ergebnis der MIME-Kodierung sieht wie folgt aus: '"=?charset?Q?gibberish?=:'. Um die Ursprungscodierung der Namen zu bestimmen, wurde der Parameter "full_name_encoding_charset" hinzugefügt, standardmäßig auf utf8 gesetzt.
- Die Logik zur Verarbeitung von fehlerhaften Verbindungen wurde geändert, wenn in den Einstellungen nur ein Server für "mysql:" oder "pgsql:" angegeben ist. Ein solcher Server wird jetzt als Lastenausgleicher betrachtet, und im Falle eines einzelnen Fehlers wird die Wiederholungsanfrage sofort ohne eine Verzögerung von 60 Sekunden gesendet.
- Im Milter wurde die Protokollierung der Informationen über den Grund, warum eine Nachricht in Quarantäne gestellt wurde, implementiert.
- Im SMTP-Server wird bei Verbindungsbeendigung durch Timeout, Abbruch oder Überschreitung des Fehlerslimits die Protokollierung der Warteschlangen-ID oder des Werts „NOQUEUE“ sichergestellt. Der Cleanup-Prozess gibt dabei im Protokoll „queueid: canceled“ für Nachrichten mit einer gestarteten, aber nicht abgeschlossenen Transaktion aus.
- Im Dovecot SASL-Client wird beim Protokollieren der Meldungen „Invalid authentication mechanism“ jetzt der Authentication-Mechanismus angegeben, der nicht verwendet werden konnte. Der SMTP-Server zeigt beim Protokollieren der Einträge ‚reject‘ nun die Werte der Einstellungen sasl_method, sasl_username und sasl_sender an.
- Aufgrund einer Änderung des internen Protokolls, das im Zustellagenten verwendet wird, ist nach einem Update der Postfix-Version ein Neustart mit dem Befehl „postfix reload“ oder den Befehlen „postfix stop“ und „postfix start“ erforderlich. Andernfalls wird im Protokoll die Warnung „unexpected attribute smtputf8 from xxx socket (expecting: sendopts)“ angezeigt.
Quelle: opennet.ru
