Dopo 10 mesi di sviluppo, è stata rilasciata una nuova versione stabile del server di posta Postfix — 3.7.0. Allo stesso tempo, è stata annunciata la cessazione del supporto per la versione Postfix 3.3, rilasciata all'inizio del 2018. Postfix è uno dei rari progetti che combina elevata sicurezza, affidabilità e prestazioni, ottenute grazie a un'architettura ben progettata e a una rigida politica di codifica e revisione delle patch. Il codice del progetto è distribuito sotto le licenze EPL 2.0 (Eclipse Public License) e IPL 1.0 (IBM Public License).
Secondo un sondaggio automatizzato di gennaio, circa 500 mila server di posta server, Postfix è utilizzato nel 34,08% (un anno fa 33,66%) dei server di posta, la quota di Exim è del 58,95% (59,14%), Sendmail — 3,58% (3,6%), MailEnable — 1,99% (2,02%), MDaemon — 0,52% (0,60%), Microsoft Exchange — 0,26% (0,32%), OpenSMTPD — 0,06% (0,05%).
Novità principali:
- È stata introdotta la possibilità di inserire contenuti inline di piccole tabelle «cidr:», «pcre:» e «regexp:» all'interno dei valori dei parametri di configurazione di Postfix, senza dover connettere file esterni o database. La sostituzione inline è determinata tramite parentesi graffe; ad esempio, il valore predefinito del parametro smtpd_forbidden_commands ora contiene la stringa «CONNECT GET POST regexp:{{\/^[^A-Z]\/ Thrash}}», che impedisce le connessioni da parte dei client che inviano dati spazzatura invece di comandi. La sintassi generale: \/etc\/postfix\/main.cf: parameter = .. map-type:{ { rule-1 }, { rule-2 } .. } .. \/etc\/postfix\/master.cf: .. -o { parameter = .. map-type:{ { rule-1 }, { rule-2 } .. } .. } ..
- Il gestore postlog now è dotato del flag set-gid e, quando avviato, esegue operazioni con i privilegi del gruppo postdrop, consentendo l'utilizzo da parte di programmi non privilegiati per registrare log tramite il processo in background postlogd, aumentando così la flessibilità nella configurazione di maillog_file e implementando, tra l'altro, la registrazione stdout dal contenitore.
- È stata aggiunta la supporto per l'API delle librerie OpenSSL 3.0.0, PCRE2 e Berkeley DB 18.
- È stata implementata una protezione contro attacchi di rilevamento delle collisioni negli hash mediante brute force. La protezione è realizzata tramite la randomizzazione dello stato iniziale delle tabelle hash memorizzate nella RAM. Attualmente è stato identificato solo un metodo per effettuare tali attacchi, relativo alla scansione degli indirizzi IPv6 dei client SMTP nel servizio anvil, e richiede l'instaurazione di centinaia di connessioni brevi al secondo durante la scansione ciclica di migliaia di diversi client. indirizzi IP. Le altre tabelle hash, la cui verifica delle chiavi può essere effettuata sulla base dei dati dell'attaccante, non sono soggette a tali attacchi, poiché viene applicata una limitazione delle dimensioni (in anvil veniva effettuata una pulizia ogni 100 secondi).
- Rafforzata la protezione dai clienti e dai server esterni, che inviano molto lentamente i dati a piccoli gruppi per mantenere attive le connessioni SMTP e LMTP (ad esempio, per bloccare l'attività creando condizioni di esaurimento del limite sul numero di connessioni stabilite). Al posto dei limiti temporali legati ai record, è ora stato applicato un limite legato alle richieste, con l'aggiunta di una limitazione sulla minima intensità possibile di trasmissione dei dati nei blocchi DATA e BDAT. Di conseguenza, i parametri {smtpd,smtp,lmtp}_per_record_deadline sono stati sostituiti da {smtpd,smtp,lmtp}_per_request_deadline e {smtpd,smtp,lmtp}_min_data_rate.
- Nel team postqueue è stata effettuata la pulizia dei caratteri non stampabili, come il ritorno a capo, nella fase precedente l'output nel flusso di output standard o il formato della stringa in JSON.
- Nel tlsproxy i parametri tlsproxy_client_level e tlsproxy_client_policy sono stati sostituiti dalle nuove impostazioni tlsproxy_client_security_level e tlsproxy_client_policy_maps per uniformare la denominazione dei parametri in Postfix (la denominazione delle impostazioni tlsproxy_client_xxx ora corrisponde a quella delle impostazioni smtp_tls_xxx).
- Rielaborato il trattamento degli errori dai client che utilizzano LMDB.
Fonte: opennet.ru
