După 10 luni de dezvoltare, a fost lansată o nouă versiune stabilă a serverului de poștă Postfix — 3.7.0. De asemenea, a fost anunțată încetarea suportului pentru versiunea Postfix 3.3, lansată la începutul anului 2018. Postfix este unul dintre puținele proiecte care combină simultan un nivel înalt de securitate, fiabilitate și performanță, ceea ce a fost realizat datorită unei arhitecturi bine gândite și unei politici stricte de codare și auditare a patch-urilor. Codul proiectului este distribuit sub licențele EPL 2.0 (Licența Publică Eclipse) și IPL 1.0 (Licența Publică IBM).
Conform unui sondaj automatizat din ianuarie, aproximativ 500.000 de servere de poștă servere, Postfix este utilizat pe 34.08% (acum un an 33.66%) din serverele de poștă, cota Exim este de 58.95% (59.14%), Sendmail — 3.58% (3.6%), MailEnable — 1.99% (2.02%), MDaemon — 0.52% (0.60%), Microsoft Exchange — 0.26% (0.32%), OpenSMTPD — 0.06% (0.05%).
Noutăți principale:
- A fost adăugată posibilitatea de a insera direct în conținut mici tabele «cidr:», «pcre:» și «regexp:» în interiorul valorilor parametrilor de configurare Postfix, fără a conecta fișiere externe sau baze de date. Înlocuirea directă este definită prin utilizarea acoladelor, de exemplu, valoarea implicită a parametrului smtpd_forbidden_commands conține acum șirul «CONNECT GET POST regexp:{{/^[^A-Z]/ Thrash}}», care asigură resetarea conexiunilor de la clienții care trimit gunoi în loc de comenzi. Sintaxa generală: /etc/postfix/main.cf: parameter = .. map-type:{ { rule-1 }, { rule-2 } .. } .. /etc/postfix/master.cf: .. -o { parameter = .. map-type:{ { rule-1 }, { rule-2 } .. } .. } ..
- Handlerul postlog este acum echipat cu un flag set-gid și, la pornire, efectuează operații cu privilegii ale grupului postdrop, ceea ce permite utilizarea sa de către programe neprivilegiate pentru a scrie loguri prin procesul de fundal postlogd, sporind astfel flexibilitatea configurării maillog_file și realizând în special logarea stdout din container.
- A fost adăugată suportul pentru API-urile bibliotecilor OpenSSL 3.0.0, PCRE2 și Berkeley DB 18.
- A fost adăugată protecție împotriva atacurilor de determinare a coliziunilor în hash-uri prin metoda de forțare a cheilor. Protecția este implementată prin randomizarea stării inițiale a hash-urilor, stocate în memoria RAM. În prezent, a fost identificat un singur mod de a duce la cabo de astfel de atacuri, legat de forțarea adreselor IPv6 ale clienților SMTP în serviciul anvil, care necesită stabilirea a sute de conexiuni temporare pe secundă în timpul unei iterații ciclice a mii de clienți diferiți. adreselor IP. Alte mese de hash, verificarea cheilor în care poate fi realizată pe baza datelor atacatorului, nu sunt vulnerabile la asemenea atacuri, deoarece se aplică o limitare a dimensiunii (în anvil curățarea a avut loc la fiecare 100 de secunde).
- A fost întărită protecția împotriva clienților și serverelor externe, care transmit foarte lent date pentru menținerea activă a conexiunilor SMTP și LMTP (de exemplu, pentru a bloca funcționarea prin crearea de condiții de epuizare a limitei de conexiuni stabilite). În locul limitărilor de timp legate de înregistrări, acum se aplică o limitare legată de cereri, iar de asemenea a fost adăugată o limitare a intensității minime posibile de transmitere a datelor în blocurile DATA și BDAT. Astfel, în locul setărilor {smtpd,smtp,lmtp}_per_record_deadline au venit {smtpd,smtp,lmtp}_per_request_deadline și {smtpd,smtp,lmtp}_min_data_rate.
- În echipa postqueue a fost asigurată curățarea caracterelor neimprimabile, cum ar fi sfârșitul de linie, în etapa anterioară redării în fluxul standard de ieșire sau formatarea șirului în JSON.
- În tlsproxy, înlocuirea parametrilor tlsproxy_client_level și tlsproxy_client_policy a fost realizată cu noi setări tlsproxy_client_security_level și tlsproxy_client_policy_maps pentru unificarea denumirii parametrilor în Postfix (denumirile setărilor tlsproxy_client_xxx corespund acum setărilor smtp_tls_xxx).
- A fost refăcută gestionarea erorilor de la clienții care folosesc LMDB.
Sursa: opennet.ro
