Dopo 10 mesi di sviluppo, è stata rilasciata una nuova versione stabile del server di posta Postfix — 3.7.0. Allo stesso tempo, è stata annunciata la fine del supporto per la versione Postfix 3.3, rilasciata all'inizio del 2018. Postfix è uno dei rari progetti che combina alta sicurezza, affidabilità e prestazioni, raggiunti grazie a un'architettura ben concepita e a una politica rigorosa per la formattazione del codice e l'audit delle patch. Il codice del progetto è distribuito sotto le licenze EPL 2.0 (Eclipse Public License) e IPL 1.0 (IBM Public License).
Secondo un sondaggio automatizzato di gennaio su circa 500.000 server di posta, server, Postfix è utilizzato nel 34,08% (un anno fa 33,66%) dei server di posta, la quota di Exim è pari al 58,95% (59,14%), Sendmail — 3,58% (3,6%), MailEnable — 1,99% (2,02%), MDaemon — 0,52% (0,60%), Microsoft Exchange — 0,26% (0,32%), OpenSMTPD — 0,06% (0,05%).
Novità principali:
- È stata aggiunta la possibilità di inserire direttamente nelle configurazioni di Postfix piccole tabelle «cidr:», «pcre:» e «regexp:» senza collegare file esterni o database. La sostituzione diretta è definita tramite parentesi graffe, ad esempio, il valore predefinito del parametro smtpd_forbidden_commands ora contiene la stringa «CONNECT GET POST regexp:{{/^[^A-Z]/ Thrash}}», che consente di interrompere le connessioni dai client che inviano spazzatura al posto dei comandi. Sintassi generale: /etc/postfix/main.cf: parameter = .. map-type:{ { rule-1 }, { rule-2 } .. } .. /etc/postfix/master.cf: .. -o { parameter = .. map-type:{ { rule-1 }, { rule-2 } .. } .. } ..
- Il gestore postlog è ora dotato del flag set-gid e, al momento dell'avvio, esegue operazioni con i privilegi del gruppo postdrop, consentendo l'uso da parte di programmi non privilegiati per registrare i log attraverso il processo in background postlogd, aumentando così la flessibilità nella configurazione di maillog_file e implementando anche la registrazione dello stdout dal contenitore.
- Aggiunta la compatibilità con le librerie API OpenSSL 3.0.0, PCRE2 e Berkeley DB 18.
- È stata aggiunta la protezione contro gli attacchi di collisione nei valori hash mediante il tentativo di individuare le chiavi. La protezione è stata implementata attraverso la randomizzazione dello stato iniziale delle tabelle hash memorizzate in memoria. Al momento, è stato identificato solo un modo per attuare tali attacchi, legato al tentativo di enumerare gli indirizzi IPv6 dei client SMTP nel servizio anvil, richiedendo l'instaurazione di centinaia di connessioni temporanee al secondo mentre si esegue un ciclo attraverso migliaia di diversi client. IP addressesLe altre tabelle hash, la cui verifica delle chiavi può essere effettuata sulla base dei dati dell'attaccante, non sono vulnerabili a tali attacchi, poiché è applicata una limitazione di dimensione (in anvil è stato effettuato un ripulimento ogni 100 secondi).
- Protezione avanzata contro clienti e server esterni, trasmettendo dati molto lentamente per mantenere attive le connessioni SMTP e LMTP (ad esempio, per bloccare il funzionamento creando condizioni di esaurimento del limite di connessioni stabilite). Invece di limiti temporali legati ai record, ora è stato implementato un limite legato alle richieste, insieme a un limite minimo della possibile intensità di trasmissione dati nei blocchi DATA e BDAT. Di conseguenza, alle impostazioni {smtpd,smtp,lmtp}_per_record_deadline sono subentrati {smtpd,smtp,lmtp}_per_request_deadline e {smtpd,smtp,lmtp}_min_data_rate.
- Nel team postqueue è stata implementata la pulizia di caratteri non stampabili, come la nuova linea, nella fase precedente all'uscita nel flusso standard o alla formattazione della stringa in JSON.
- Nel tlsproxy, ai parametri tlsproxy_client_level e tlsproxy_client_policy si sono aggiunte nuove impostazioni tlsproxy_client_security_level e tlsproxy_client_policy_maps per uniformare la denominazione dei parametri in Postfix (la denominazione delle impostazioni tlsproxy_client_xxx ora corrisponde a smtp_tls_xxx).
- Rielaborata la gestione degli errori dai clienti che utilizzano LMDB.
Fonte: opennet.ru
