Po 10 mesiacoch vývoja bol uvedený na trh nový stabilný súbor poštového servera Postfix – 3.7.0. Zároveň bola oznámená podpora pre súbor Postfix 3.3, vydaný začiatkom roku 2018, bude ukončená. Postfix je jedným z mála projektov, ktoré kombinujú vysokú bezpečnosť, spoľahlivosť a výkon, čo sa dosiahlo vďaka premyslenej architektúre a dostatočne prísnej politike kódovania a auditu patchov. Kód projektu je distribuovaný pod licenciami EPL 2.0 (Eclipse Public license) a IPL 1.0 (IBM Public License).
Podľa januárového automatizovaného prieskumu približne 500 tisíc poštových serverov, Postfix sa používa na 34,08% poštových serverov (pred rokom 33,66%), podiel Exim predstavuje 58,95% (59,14%), Sendmail – 3,58% (3,6%), MailEnable – 1,99% (2,02%), MDaemon – 0,52% (0,60%), Microsoft Exchange – 0,26% (0,32%), OpenSMTPD – 0,06% (0,05%).
Hlavné novinky:
- Bola poskytnutá možnosť vloženia na mieste obsahu malých tabuliek „cidr:“, „pcre:“ a „regexp:“ do hodnôt konfiguračných parametrov Postfix, bez potreby pripojenia externých súborov alebo DB. Vložka na mieste sa určuje pomocou zložených zátvoriek, napríklad predvolené hodnoty parametra smtpd_forbidden_commands teraz obsahuje reťazec „CONNECT GET POST regexp:{{/^[^A-Z]/ Thrash}}“, čo zabezpečuje zrušenie pripojení od klientov, ktorí posielajú odpad namiesto príkazov. Celková syntax: /etc/postfix/main.cf: parameter = .. map-type:{ { rule-1 }, { rule-2 } .. } .. /etc/postfix/master.cf: .. -o { parameter = .. map-type:{ { rule-1 }, { rule-2 } .. } .. } ..
- Spracovateľ postlog je teraz vybavený praporkom set-gid a pri spustení vykonáva operácie s privilégiami skupiny postdrop, čo umožňuje jeho používanie nevýhodnými programami na zápis logov prostredníctvom pozadia procesu postlogd, čím sa zvyšuje flexibilita nastavenia maillog_file a umožňuje aj logovanie stdout z kontajnera.
- Pridaná podpora API knižníc OpenSSL 3.0.0, PCRE2 a Berkeley DB 18.
- Pridaná ochrana pred útokmi na definovanie kolízií v hashovacích metódach prostredníctvom brutálneho prelomenia kľúčov. Ochrana bola implementovaná prostredníctvom náhodizácie počiatočného stavu hashovacích tabuliek uložených v operačnej pamäti. V súčasnosti bol identifikovaný iba jeden spôsob vykonania takýchto útokov, ktorý súvisí s prehľadávaním IPv6 adries SMTP klientov v službe anvil a vyžaduje zriadenie stoviek krátkodobých pripojení za sekundu pri cyklickom prehľadávaní tisícov rôznych klientov. IP adresyOstatné hashovacie tabuľky, ktorých kontrola kľúčov môže byť vykonaná na základe údajov útočníka, nie sú vystavené takýmto útokom, keďže sa tu uplatňuje obmedzenie veľkosti (v anvil sa používala údržba každých 100 sekúnd).
- Zosilnená ochrana pred vonkajšími klientmi a servermi, ktoré veľmi pomaly prenášajú údaje na udržanie aktívnych spojení SMTP a LMTP (napríklad na blokovanie prevádzky prostredníctvom vytvorenia podmienok na vyčerpanie limitu počtu aktívnych spojení). Namiesto časových obmedzení viazaných na záznamy sa teraz uplatňuje obmedzenie viazané na požiadavky a taktiež bolo pridané obmedzenie minimálne možnej intenzity prenosu údajov v blokoch DATA a BDAT. Zodpovedajúce nastavenia {smtpd,smtp,lmtp}_per_record_deadline boli nahradené {smtpd,smtp,lmtp}_per_request_deadline a {smtpd,smtp,lmtp}_min_data_rate.
- V tíme postqueue bola zabezpečená údržba ne-tlačiteľných znakov, ako je znak nového riadku, v etape pred výstupom na štandardný výstup alebo formátovaním reťazca do JSON.
- V tlsproxy boli nové nastavenia tlsproxy_client_security_level a tlsproxy_client_policy_maps nahradené parametrami tlsproxy_client_level a tlsproxy_client_policy pre zjednotenie názvov parametrov v Postfixe (názvy nastavení tlsproxy_client_xxx teraz zodpovedajú nastaveniam smtp_tls_xxx).
- Prepracovaná správa chýb od klientov používajúcich LMDB.
Zdroj: opennet.ru
