Dopo quasi un anno di sviluppo, è stato rilasciato un nuovo ramo stabile del server di posta Postfix — 3.9.0. Contemporaneamente, è stato annunciato il termine del supporto per il ramo Postfix 3.5, rilasciato all'inizio del 2020. Postfix è uno dei pochi progetti che combinano alta sicurezza, affidabilità e prestazioni, raggiunte grazie a un'architettura ben pensata e a una politica rigorosa di revisione del codice e auditing delle patch. Il codice del progetto è scritto in linguaggio C e distribuito sotto le licenze EPL 2.0 (Eclipse Public license) e IPL 1.0 (IBM Public License).
Secondo un sondaggio automatizzato di gennaio su circa 400 mila server di posta server, Postfix è utilizzato nel 36,81% (un anno fa 33,18%) dei server di posta, con Exim che detiene una quota del 56,61% (un anno fa 60,27%), Sendmail al 3,60% (3,62%), MailEnable al 1,82% (1,86%), MDaemon allo 0,40% (0,39%), Microsoft Exchange allo 0,19% (0,19%) e OpenSMTPD allo 0,09% (0,06%).
Novità principali:
- È stato aggiunto un client per MongoDB, che consente di memorizzare in questo DBMS un database di utenti virtuali, alias, elenchi di mappatura degli indirizzi e varie tabelle di controllo. Per configurare l'accesso a MongoDB è stato aggiunto il tipo di tabelle "mongodb". Ad esempio, "alias_maps = proxy:mongodb:/etc/postfix/mongo.cf", dove mongo.cf è il file con le impostazioni di connessione a MongoDB e il filtro delle query.
- Nell'agente di consegna locale è stata aggiunta l'esportazione dell'identificativo di inoltro, trasmesso durante la sessione SMTP tramite il parametro ENVID (Envelope ID) nel comando ESMTP MAIL (RFC 3461). L'identificativo viene registrato nella variabile d'ambiente ENVID e passato all'agente di consegna pipe tramite il parametro della riga di comando "${envid}".
- Nei client per memorizzare dati in MySQL ("mysql:") e PostgreSQL ("pgsql:") sono state aggiunte le opzioni: "idle_interval" per definire il tempo di inattività prima della chiusura della connessione e "retry_interval" per impostare il timer per il rinvio delle richieste. Di default, i parametri sono impostati su 60 secondi. Il valore di "retry_interval" può essere ridotto, ad esempio, per abbreviare il tempo di recupero da errori, nel caso venga utilizzato un solo server nell'attributo "hosts".
- Nel client per MySQL è stata aggiunta l'impostazione "charset" per specificare la codifica dei caratteri predefinita. Di default, viene utilizzato il valore "utf8mb4", che corrisponde alle impostazioni predefinite in MySQL 8.0 (nelle versioni precedenti era utilizzato il valore "latin1"). È terminato il supporto per le versioni superiori a MySQL 4.0 (cioè le versioni rilasciate prima del 2003).
- È stata fornita la possibilità opzionale di richiedere una chiave pubblica autoadscritto (raw) per TLS, non legata a una Certification Authority, al posto del certificato X.509. L'uso delle chiavi raw per l'autenticazione di clienti e server può essere attivato tramite i parametri "smtpd_tls_enable_rpk = yes" e "smtp_tls_enable_rpk = yes", ma il comportamento durante la verifica dipende fortemente dal livello di sicurezza impostato e dal supporto delle chiavi raw nell'implementazione locale di TLS (vedere la documentazione).
- È stato aggiunto il supporto iniziale per i file di configurazione di OpenSSL. Per specificare il riferimento a un file con le impostazioni TLS è stato proposto il parametro tls_config_file, e per specificare il nome della sezione con le impostazioni dal file di configurazione — il parametro "tls_config_name". Il legame ai file di configurazione di OpenSSL può essere utilizzato per ridurre la dipendenza dalle impostazioni delle distribuzioni, il cui cambiamento del livello di sicurezza può portare a un aumento della quota di messaggi inviati senza crittografia.
- Nelle intestazioni dei messaggi è cambiato il formato dei numeri dei giorni nelle date: i giorni da 1 a 9 ora sono completati con uno zero e non con uno spazio (cioè "01", "02" e così via). La modifica è stata effettuata poiché la RFC 5322 raccomanda di utilizzare spazi singoli come separatori nelle date.
- È stata aggiunta una protezione contro alcune forme di attacchi "Blind" (attacchi SSRF sui client web, mirati a contattare il server via SMTP), applicata quando è impostata l'opzione "smtpd_forbid_unauth_pipelining = yes" (di default).
- Di default, è stata attivata l'opzione "smtpd_forbid_bare_newline = normalize", che fornisce protezione al server contro attacchi di tipo "SMTP smuggling", che consentono di frammentare un singolo messaggio in più messaggi diversi utilizzando una sequenza non standard per separare le email. È stata aggiunta anche una protezione contro attacchi in uscita di SMTP smuggling, in cui l'attaccante utilizza un server basato su Postfix per attaccare un altro server SMTP. Di default è attivata l'impostazione "cleanup_replace_stray_cr_lf = yes", che sostituisce i caratteri superflui e con uno spazio.
- Nell'implementazione del client DNS, la dimensione dei risultati restituiti dalle richieste DNS è ora limitata a 100 record, che è 20 volte superiore al numero massimo supportato nel client SMTP IP addresses per un singolo server.
- Sono stati classificati come obsoleti i parametri "disable_dns_lookup" e "permit_mx_backup", così come alcuni parametri di configurazione TLS.
- È terminato il supporto per le impostazioni dichiarate obsolete circa 20 anni fa: "permit_naked_ip_address", "check_relay_domains" e "reject_maps_rbl".
Fonte: opennet.ru
