Postfixi 3.9.0 e-posti serveri on avaldatud

Pärast peaaegu aasta kestnud arendust on välja antud uus stabiilne Postfixi 3.9.0 versioon. Ühtlasi on teatatud Postfix 3.5 versiooni toetamise lõpetamisest, mis väljastati 2020. aasta alguses. Postfix on üks haruldasi projekte, mis ühendab endas kõrge turvalisuse, usaldusväärsuse ja jõudluse, mille saavutamine on võimalik olnud läbi läbimõeldud arhitektuuri ja piisavalt range koodireeglid ja patchide auditi. Projekti kood on kirjutatud C keeles ja on levitatud EPL 2.0 (Eclipse Public License) ja IPL 1.0 (IBM Public License) all.

Jaanuaris läbi viidud automaatse küsitluse kohaselt umbes 400 000 meili serverite, Postfixi kasutatakse 36,81% (aasta tagasi 33,18%) e-posti serveritest, Exim'i osakaal on 56,61% (aasta tagasi 60,27%), Sendmail — 3,60% (3,62%), MailEnable — 1,82% (1,86%), MDaemon — 0,40% (0,39%), Microsoft Exchange — 0,19% (0,19%), OpenSMTPD — 0,09% (0,06%).

Põhilised uuendused:

• MongoDB klient on lisatud, mis võimaldab hoida selle andmebaasis virtuaalsete kasutajate, aliaste, aadresside vastenduste ja erinevate kontrolltabelite andmeid. MongoDB-le pöördumise seadistamiseks on lisatud tabelite tüüp "mongodb". Näiteks "alias_maps = proxy:mongodb:/etc/postfix/mongo.cf", kus mongo.cf on fail ühenduse seadistamiseks MongoDB-le ja päringute filtreerimiseks.
• Kohaliku toimetaja agent on saanud edasi saatmise identifikaatori eksportimise, mis edastati SMTP-seansi ajal parameetri ENVID (Envelope ID) kaudu ESMTP MAIL käsus (RFC 3461). Identifikaator salvestatakse keskkonnamuutuja ENVID ja edastatakse torude edastusagendile käsurea parameetriga "${envid}".
• MySQL („mysql:“) ja PostgreSQL („pgsql:“) andmete salvestamise klientidesse on lisatud parameetrid: "idle_interval" mitteaktiivsuse määramiseks enne ühenduse sulgemist ja "retry_interval", et määrata taaskasutamise päringute ajastus. Vaikimisi on määratud 60-sekundilised väärtused. "Retry_interval" väärtust on võimalik vähendada, näiteks vigade taastumise kiirendamiseks, kui kasutada ainult ühte serverit atribuudis "hosts".
• MySQL kliendile on lisatud seadistus "charset" vaike sümbolite kodeeringu määramiseks. Vaikimisi kasutatakse "utf8mb4" väärtust, mis vastab MySQL 8.0 vaike seadetele (varasemates versioonides kasutati "latin1" väärtust). Versioonide, mis on vanemad kui MySQL 4.0 (ehk versioonid, mis on välja antud enne 2003. aastat), toetamist on lõpetatud.
• Pakutakse valikuline võimalus küsida isesignitud (raw) avatud võtit TLS jaoks, mis ei ole seotud sertifitseerimiskeskusega, valik X.509 seritifkaadi asemel. Raw-võtmete kasutamine klientide ja serverite autentimiseks aktiveeritakse parameetrite "smtpd_tls_enable_rpk = yes" ja "smtp_tls_enable_rpk = yes" abil, kuid kontrollimise käitumine sõltub tugevalt seatud turvatasemest ja raw-võtmete toetasest kohalikes TLS rakendustes (vt dokumentatsiooni).
• OpenSSL konfigureerimise failide algtugi on lisatud. TLS seadete failile viitamiseks on pakutud parameeter tls_config_file ning seadete sektsiooni nime määramiseks konfigureerimisfailist on pakutud parameeter "tls_config_name". OpenSSL konfigureerimisfailide sidumine aitab vähendada sõltuvust distributsioonide seadetest, mille turvataseme muutmine võib suurendada selgitamata e-kirjade osakaalu.
• Energia kuupäevade päevade numbrite vormindamine on tehtud sõnumite pealkirjades — päevad numbritega 1 kuni 9 täiendatakse nüüd nulliga, mitte tühikuga (st "01", "02" jne). Muudatus on toimunud, kuna RFC 5322 soovitab kasutada kuupäevades eraldajana ühtseid tühikuid.
• Lisatud kaitse teatavate „Blind” rünnakute vastu (web-kliendi SSRF rünnakud, mille siht on pöörduda serveri poole SMTP kaudu), mis kehtib seatud seadistuse "smtpd_forbid_unauth_pipelining = yes" (vaikimisi).
• Vaikimisi on saanud sisse seadmiseks "smtpd_forbid_bare_newline = normalize", mis kaitseb serverit “SMTP smuggling” rünnakute klassi eest, mis võimaldavad ühe sõnumi jagamist mitmeks erinevaks sõnumiks mittestandardse eraldusjärgu abil. Samuti on lisatud kaitse väljastavate SMTP smuggling rünnakute vastu, kus ründaja kasutab Postfix-serverit teise SMTP-serveri ründamiseks. Vaikimisi on sees seade "cleanup_replace_stray_cr_lf = yes", mis asendab liigsed märkide ja tühikutega.
• DNS-klientide rakenduses on nüüd piiratud DNS-päringute vastuste arv 100 kirjed, mis on 20 korda rohkem, kui SMTP-klient toetab. IP-aadresse ühe serveri jaoks.
• Parameetrid "disable_dns_lookup" ja "permit_mx_backup" on tõlgitud vananenud, samuti mõningad TLS seadistamise parameetrid.
• Toetatud seadete tugi, mis kuulutati umbes 20 aastat tagasi aegunuks: «permit_naked_ip_address», «check_relay_domains» ja «reject_maps_rbl», lõpetatakse.

Allikas: opennet.ru