Après 10 mois de développement, une nouvelle branche stable du serveur de messagerie Postfix - 3.7.0 - est sortie. Dans le même temps, elle a annoncé la fin du support de la branche Postfix 3.3, sortie début 2018. Postfix est l'un des rares projets qui allie à la fois haute sécurité, fiabilité et performances, ce qui a été réalisé grâce à une architecture bien pensée et une politique assez stricte en matière de conception de code et d'audit des correctifs. Le code du projet est distribué sous EPL 2.0 (Eclipse Public License) et IPL 1.0 (IBM Public License).
Selon un sondage automatisé réalisé en janvier auprès d'environ 500 000 envois postaux les serveursPostfix est utilisé sur 34.08 % (33.66 % il y a un an) des serveurs de messagerie, la part d'Exim est de 58.95 % (59.14 %), Sendmail - 3.58 % (3.6 %), MailEnable - 1.99 % (2.02 %), MDaemon - 0.52 % (0.60 %), Microsoft Exchange - 0.26 % (0.32 %), OpenSMTPD - 0.06 % (0.05 %).
Principales nouveautés :
- Il est possible d'insérer le contenu de petites tables « cidr : », « pcre : » et « regexp : » dans les valeurs des paramètres de configuration de Postfix, sans connecter de fichiers ou de bases de données externes. La substitution sur place est définie à l'aide d'accolades. Par exemple, la valeur par défaut du paramètre smtpd_forbidden_commands contient désormais la chaîne "CONNECT GET POST regexp:{{/^[^AZ]/ Thrash}}" pour garantir que les connexions des clients envoyant les déchets au lieu des commandes sont supprimés. Syntaxe générale : /etc/postfix/main.cf : paramètre = .. map-type :{ { règle-1 }, { règle-2 } .. } .. /etc/postfix/master.cf : .. -o { paramètre = .. type de carte :{ { règle-1 }, { règle-2 } .. } .. } ..
- Le gestionnaire postlog est désormais équipé de l'indicateur set-gid et, une fois lancé, effectue des opérations avec les privilèges du groupe postdrop, ce qui lui permet d'être utilisé par des programmes non privilégiés pour écrire des journaux via le processus postlogd en arrière-plan, ce qui permet une flexibilité accrue. dans la configuration de maillog_file et l'inclusion de la journalisation stdout à partir du conteneur.
- Ajout de la prise en charge de l'API pour les bibliothèques OpenSSL 3.0.0, PCRE2 et Berkeley DB 18.
- Protection renforcée contre les attaques par force brute ciblant les collisions de hachage. Cette protection est mise en œuvre en randomisant l'état initial des tables de hachage stockées en mémoire vive. À ce jour, une seule méthode d'attaque de ce type a été identifiée : il s'agit d'attaques par force brute ciblant les adresses IPv6 des clients SMTP du service Anvil. Cette méthode nécessite l'établissement de centaines de connexions éphémères par seconde, en testant cycliquement des milliers d'adresses client différentes. Adresses IPD'autres tables de hachage, dont les clés peuvent être vérifiées à l'aide de données de l'attaquant, ne sont pas susceptibles de telles attaques, car elles ont une limite de taille (Anvil utilisait une purge de 100 secondes).
- Protection renforcée contre les clients et serveurs externes qui transfèrent très lentement les données petit à petit pour maintenir les connexions SMTP et LMTP actives (par exemple, pour bloquer le travail en créant des conditions permettant d'épuiser la limite du nombre de connexions établies). Au lieu de restrictions temporelles liées aux enregistrements, une restriction relative aux demandes est désormais appliquée et une restriction sur le taux de transfert de données minimum possible dans les blocs DATA et BDAT a été ajoutée. En conséquence, les paramètres {smtpd,smtp,lmtp}_per_record_deadline ont été remplacés par {smtpd,smtp,lmtp}_per_request_deadline et {smtpd, smtp,lmtp}_min_data_rate.
- La commande postqueue garantit que les caractères non imprimables, tels que les nouvelles lignes, sont nettoyés avant l'impression sur la sortie standard ou le formatage de la chaîne en JSON.
- Dans tlsproxy, les paramètres tlsproxy_client_level et tlsproxy_client_policy ont été remplacés par de nouveaux paramètres tlsproxy_client_security_level et tlsproxy_client_policy_maps pour unifier les noms des paramètres dans Postfix (les noms des paramètres tlsproxy_client_xxx correspondent désormais aux paramètres smtp_tls_xxx).
- La gestion des erreurs des clients utilisant LMDB a été retravaillée.
Source: opennet.ru
