Após 10 meses de desenvolvimento, foi lançado o novo ramo estável do servidor de e-mail Postfix — 3.7.0. Ao mesmo tempo, foi anunciado o término do suporte ao ramo Postfix 3.3, lançado no início de 2018. O Postfix é um dos poucos projetos que combina alta segurança, confiabilidade e desempenho, que foram alcançados graças a uma arquitetura bem pensada e a uma política rigorosa de codificação e auditoria de patches. O código do projeto é distribuído sob as licenças EPL 2.0 (Eclipse Public License) e IPL 1.0 (IBM Public License).
De acordo com uma pesquisa automatizada em janeiro com cerca de 500 mil servidores de e-mail, servidoreso Postfix é utilizado em 34,08% (um ano atrás 33,66%) dos servidores de e-mail, a participação do Exim é de 58,95% (59,14%), Sendmail — 3,58% (3,6%), MailEnable — 1,99% (2,02%), MDaemon — 0,52% (0,60%), Microsoft Exchange — 0,26% (0,32%), OpenSMTPD — 0,06% (0,05%).
Principais novidades:
- Foi adicionada a possibilidade de inserção inline de pequenas tabelas «cidr:», «pcre:» e «regexp:» dentro dos valores dos parâmetros de configuração do Postfix, sem a necessidade de incluir arquivos ou bancos de dados externos. A substituição inline é definida usando chaves, por exemplo, o valor padrão do parâmetro smtpd_forbidden_commands agora contém a string «CONNECT GET POST regexp:{{/^[^A-Z]/ Thrash}}», garantindo a interrupção de conexões de clientes que enviam lixo ao invés de comandos. A sintaxe geral: /etc/postfix/main.cf: parameter = .. map-type:{ { rule-1 }, { rule-2 } .. } .. /etc/postfix/master.cf: .. -o { parameter = .. map-type:{ { rule-1 }, { rule-2 } .. } .. } ..
- O manipulador postlog agora vem com a flag set-gid e, ao ser iniciado, executa operações com os privilégios do grupo postdrop, permitindo que programas não privilegiados o utilizem para gravar logs através do processo em segundo plano postlogd, o que aumenta a flexibilidade na configuração do maillog_file e implementa também a gravação de stdout de contêineres.
- Adicionada a compatibilidade com as bibliotecas da API OpenSSL 3.0.0, PCRE2 e Berkeley DB 18.
- Implementada proteção contra ataques de definição de colisões em hashes por meio da força bruta de chaves. A proteção é realizada através da aleatorização do estado inicial das tabelas hash armazenadas na memória. Atualmente, foi identificado apenas um método para a execução desse tipo de ataques, relacionado à força bruta de endereços IPv6 de clientes SMTP no serviço anvil, que exige a realização de centenas de conexões breves por segundo durante a exploração cíclica de milhares de diferentes clientes. endereços IP. Outras tabelas de hash, cujas chaves podem ser testadas com base nos dados do invasor, não estão sujeitas a tais ataques, pois nelas é aplicado um limite de tamanho (no anvil, a limpeza era realizada a cada 100 segundos).
- A proteção contra clientes e servidores externos foi reforçada, transferindo dados lentamente em pequenas parcelas para manter as conexões SMTP e LMTP ativas (por exemplo, para impedir a operação através da criação de condições de esgotamento do limite de conexões estabelecidas). Em vez de restrições de tempo vinculadas a registros, agora é aplicado um limite com base em solicitações, e um limite mínimo de intensidade de transmissão de dados em blocos DATA e BDAT foi adicionado. Assim, as configurações {smtpd,smtp,lmtp}_per_record_deadline foram substituídas por {smtpd,smtp,lmtp}_per_request_deadline e {smtpd,smtp,lmtp}_min_data_rate.
- Na equipe do postqueue, a limpeza de caracteres não imprimíveis, como quebras de linha, é garantida antes da saída para o fluxo de saída padrão ou da formatação da string em JSON.
- No tlsproxy, os parâmetros tlsproxy_client_level e tlsproxy_client_policy foram substituídos por novas configurações tlsproxy_client_security_level e tlsproxy_client_policy_maps para unificar a nomenclatura dos parâmetros no Postfix (a nomenclatura das configurações tlsproxy_client_xxx agora corresponde às configurações smtp_tls_xxx).
- A manipulação de erros de clientes que utilizam LMDB foi reformulada.
Fonte: opennet.ru
