Na 10 maanden ontwikkeling is de nieuwe stabiele versie van de mailserver Postfix - 3.7.0 - gelanceerd. Tegelijkertijd is aangekondigd dat de ondersteuning voor de versie Postfix 3.3, die begin 2018 werd uitgebracht, wordt stopgezet. Postfix is een van de zeldzame projecten die tegelijkertijd hoge beveiliging, betrouwbaarheid en prestaties combineren, wat is bereikt door een doordachte architectuur en een vrij strikte codebeoordelings- en auditpolicy. De code van het project wordt verspreid onder de licenties EPL 2.0 (Eclipse Public License) en IPL 1.0 (IBM Public License).
Volgens een geautomatiseerde enquĆŖte van januari onder ongeveer 500.000 mailservers servers, wordt Postfix gebruikt op 34,08% (een jaar geleden 33,66%) van de mailservers, Exim heeft een aandeel van 58,95% (59,14%), Sendmail - 3,58% (3,6%), MailEnable - 1,99% (2,02%), MDaemon - 0,52% (0,60%), Microsoft Exchange - 0,26% (0,32%), OpenSMTPD - 0,06% (0,05%).
Belangrijkste vernieuwingen:
- Er is de mogelijkheid toegevoegd om kleine tabellen "cidr:", "pcre:" en "regexp:" rechtstreeks in de configuratieparameters van Postfix-waarden in te voegen, zonder externe bestanden of databases aan te sluiten. Invoeging per locatie wordt gedaan met behulp van accolades; bijvoorbeeld, de standaardwaarde van de parameter smtpd_forbidden_commands bevat nu de string "CONNECT GET POST regexp:{{/^[^A-Z]/ Thrash}}", die de verbindingen reset van klanten die rommel in plaats van commando's verzenden. De algemene syntaxis: \/etc\/postfix\/main.cf: parameter = .. map-type:{ { regel-1 }, { regel-2 } .. } .. \/etc\/postfix\/master.cf: .. -o { parameter = .. map-type:{ { regel-1 }, { regel-2 } .. } .. } ..
- De postlog-handler is nu uitgerust met de set-gid vlag en voert bij het opstarten bewerkingen uit met de privileges van de groep postdrop, waardoor deze gebruikt kan worden door niet-bevoorrechte programma's om logs te schrijven via het achtergrondproces postlogd, wat de flexibiliteit van de configuratie van maillog_file vergroot en logging van stdout uit de container mogelijk maakt.
- Ondersteuning toegevoegd voor de OpenSSL 3.0.0, PCRE2 en Berkeley DB 18 API-bibliotheken.
- Bescherming tegen aanvallen voor het vaststellen van hashcollisies door middel van sleutelgokkerij is toegevoegd. Deze bescherming wordt gerealiseerd door randomisatie van de initiƫle staat van de hash-tabellen die in het RAM-geheugen worden opgeslagen. Tot nu toe is er slechts ƩƩn manier ontdekt om zulke aanvallen uit te voeren, die verband houdt met het doorzoeken van IPv6-adressen van SMTP-clients in de anvil-service en vereist het opzetten van honderden kortetermijnverbindingen per seconde tijdens het cyclisch doorlopen van duizenden verschillende clients. IP-adressen. De andere hashtabellen, waarvan de controle op sleutels op basis van aanvallersgegevens kan worden uitgevoerd, zijn niet kwetsbaar voor dergelijke aanvallen, aangezien er een groottebeperking wordt toegepast (in anvil werd elke 100 seconden opgeschoond).
- De bescherming tegen externe clients en servers is versterkt, die zeer langzaam gegevens in kleine stukjes verzenden om SMTP- en LMTP-verbindingen actief te houden (bijvoorbeeld om te blokkeren door voorwaarden te creƫren die de limiet voor het aantal ingediende verbindingen uitputten). In plaats van tijdslimieten die aan records zijn gekoppeld, is er nu een limiet op verzoeken toegepast, en is er ook een beperking toegevoegd voor de minimaal mogelijke gegevensoverdrachtintensiteit in de DATA- en BDAT-blokken. Bijgevolg zijn {smtpd,smtp,lmtp}_per_record_deadline vervangen door {smtpd,smtp,lmtp}_per_request_deadline en {smtpd,smtp,lmtp}_min_data_rate.
- In het postqueue-team is er een opschoning van niet-afdrukbare tekens, zoals nieuwe regels, voorafgaand aan de uitvoer naar de standaard uitvoerstroom of het formatteren van de string in JSON.
- In tlsproxy zijn de parameters tlsproxy_client_level en tlsproxy_client_policy vervangen door de nieuwe instellingen tlsproxy_client_security_level en tlsproxy_client_policy_maps voor uniformiteit in de naamgeving van parameters in Postfix (de naamgeving van instellingen tlsproxy_client_xxx komt nu overeen met de instellingen smtp_tls_xxx).
- De foutafhandeling van clients die LMDB gebruiken is herzien.
Bron: opennet.ru
