A 10 hónapnyi fejlesztés után megjelent az új stabil Postfix levelezőszerver ága — 3.7.0. Ugyanakkor bejelentették a Postfix 3.3 ág támogatásának megszüntetését, amely 2018 elején jelent meg. A Postfix egyike a ritka projekteknek, amelyek egyaránt ötvözik a magas biztonságot, megbízhatóságot és teljesítményt, amit a jól átgondolt architektúrával és a meglehetősen szigorú kódformázási és javítópolitikával értek el. A projekt kódja az EPL 2.0 (Eclipse Public License) és az IPL 1.0 (IBM Public License) licenc alatt terjed.
A januári automatizált felmérés szerint körülbelül 500 ezer levelező szerverek, a Postfix a levelezőszerverek 34,08%-án használják (egy éve 33,66%), az Exim részesedése 58,95% (59,14%), a Sendmail — 3,58% (3,6%), a MailEnable — 1,99% (2,02%), a MDaemon — 0,52% (0,60%), a Microsoft Exchange — 0,26% (0,32%), az OpenSMTPD — 0,06% (0,05%).
Főbb újítások:
- Lehetőség nyílt arra, hogy a Postfix konfigurációs paraméterértékeiben helyben használjunk kis táblázatokat, mint a «cidr:», «pcre:» és «regexp:», külső fájlok vagy adatbázisok bevonása nélkül. A helyben történő helyettesítést kapcsos zárójelek segítségével határozzuk meg, például az smtpd_forbidden_commands paraméter alapértelmezett értéke most már tartalmaz egy «CONNECT GET POST regexp:{{/^[^A-Z]/ Thrash}}» sort, amely megszakítja a kapcsolatokat azoktól az ügyfelektől, akik hulladékot küldenek a parancsok helyett. Az általános szintaxis: /etc/postfix/main.cf: parameter = .. map-type:{ { rule-1 }, { rule-2 } .. } .. /etc/postfix/master.cf: .. -o { parameter = .. map-type:{ { rule-1 }, { rule-2 } .. } .. } ..
- A postlog feldolgozó most set-gid zászlóval van ellátva, és indításkor a postdrop csoport privilégiumaival hajt végre műveleteket, lehetővé téve a nem privilégizált programok számára, hogy a postlogd háttérfolyamaton keresztül naplókat írjanak, ezáltal növelve a maillog_file konfigurációs rugalmasságát, beleértve a stdout naplózását a konténerből.
- Támogatást kapott az OpenSSL 3.0.0, PCRE2 és Berkeley DB 18 API könyvtárakhoz.
- Védelmet nyújtanak a kulcsok megkeresésével végzett hash ütközés elleni támadásokkal szemben. A védelem a memóriában tárolt hash táblák kezdeti állapotának randomizálásával valósul meg. Jelenleg egyetlen módja van az ilyen támadások végrehajtásának, amely az SMTP ügyfelek IPv6 címeinek megkeresésével kapcsolatos az anvil szolgáltatásban, és több száz ideiglenes kapcsolat létesítését igényli másodpercenként ezernyi különböző klienscím ciklikus keresésekor. IP-címekA többi hash-táblában, ahol a kulcsok ellenőrzése a támadó adatai alapján történhet, nem vagyunk kitéve hasonló támadásoknak, mivel ezeknél méretkorlátozás alkalmazása történik (az anvil esetében a tisztítást 100 másodpercenként hajtották végre).
- Megerősítettük a védelmet a külső ügyfelek és szerverek ellen, akik nagyon lassan, apró adagokban küldik az adatokat, hogy fenntartsák az SMTP és LMTP kapcsolatok aktív állapotát (például a kapcsolatok számának kimerüléséhez vezető feltételek létrehozásával történő blokkolás érdekében). Az időkorlátozások rögzítésekhez kötődése helyett most kéréshez kötődő korlátozások léptek életbe, és bevezetésre került a minimálisan lehetséges adatátviteli intenzitás korlátozása a DATA és BDAT blokkokban. Ennek megfelelően a {smtpd,smtp,lmtp}_per_record_deadline beállításokat felváltották a {smtpd,smtp,lmtp}_per_request_deadline és {smtpd,smtp,lmtp}_min_data_rate korlátozások.
- A postqueue csapatában biztosítottuk a nem nyomtatható karakterek, mint például a sorvége, eltávolítását, még a standard kimeneti áramlásba való kiírás előtt vagy a JSON formázás előtt.
- A tlsproxy-ban a tlsproxy_client_level és tlsproxy_client_policy paraméterek helyett új beállítások jelentek meg, a tlsproxy_client_security_level és tlsproxy_client_policy_maps a Postfix paraméternév egységesítése érdekében (a tlsproxy_client_xxx beállítások elnevezése most a smtp_tls_xxx beállításoknak felel meg).
- Újra lett tervezve a hibakezelés az LMDB-t használó kliensek esetében.
Forrás: opennet.ru
