Po 10 mesecih razvoja je izšla nova stabilna različica poštnega strežnika Postfix — 3.7.0. Hkrati je bilo napovedano prenehanje podpore za različico Postfix 3.3, ki je bila izdana v začetku leta 2018. Postfix je eden redkih projektov, ki združujejo visoko varnost, zanesljivost in zmogljivost, kar je bilo doseženo z dobro premišljeno arhitekturo ter dovolj strogo politiko kodiranja in revizije popravkov. Koda projekta je na voljo pod licencama EPL 2.0 (Eclipse Public License) in IPL 1.0 (IBM Public License).
V skladu z januarsko avtomatizirano anketno raziskavo okoli 500 tisoč poštnih strežnikov, se Postfix uporablja na 34,08% (pred enim letom 33,66%) poštnih strežnikov, delež Exim znaša 58,95% (59,14%), Sendmail — 3,58% (3,6%), MailEnable — 1,99% (2,02%), MDaemon — 0,52% (0,60%), Microsoft Exchange — 0,26% (0,32%), OpenSMTPD — 0,06% (0,05%).
Glavne novosti:
- Odnajdite možnost vstavljanja na mestu vsebine manjših tabel «cidr:», «pcre:» in «regexp:» znotraj vrednosti parametrov konfiguracije Postfix, brez povezave z zunanjimi datotekami ali DB. Zamenjava na mestu se določijo s pomočjo okroglih zavitkov; na primer, privzeta vrednost parametra smtpd_forbidden_commands zdaj vsebuje niz «CONNECT GET POST regexp:{{/^[^A-Z]/ Thrash}}», ki zagotavlja ponastavitev povezav od strank, ki pošiljajo smeti namesto ukazov. Skupna sintaksa: /etc/postfix/main.cf: parameter = .. map-type:{ { rule-1 }, { rule-2 } .. } .. /etc/postfix/master.cf: .. -o { parameter = .. map-type:{ { rule-1 }, { rule-2 } .. } .. } ..
- Obdelovalnik postlog je zdaj opremljen z oznako set-gid in pri zagonu izvaja operacije s privilegiji skupine postdrop, kar omogoča njegovo uporabo s programi brez privilegijev za zapisovanje logov prek ozadnega procesa postlogd, kar povečuje prilagodljivost nastavitve maillog_file in omogoča tudi zapisovanje stdout iz kontejnerja.
- Dodana je podpora za API knjižnice OpenSSL 3.0.0, PCRE2 in Berkeley DB 18.
- Dodana je zaščita pred napadi z določanjem kolizij v hashu z metodo preizkušanja ključev. Zaščita je uveljavljena s randomizacijo začetnega stanja hash tabel, shranjenih v RAM. Trenutno je bil ugotovljen le en način izvajanja takšnih napadov, povezan s preizkušanjem IPv6 naslovov SMTP strank v storitvi anvil, ki zahteva vzpostavitev stotih kratkotrajnih povezav na sekundo pri cikličnem preizkušanju tisočev različnih strank. IP naslovov. Ostale heš-tabele, čija provera ključeva može da se vrši na osnovu podataka napadača, nisu podložne sličnim napadima, jer se primenjuje ograničenje veličine (u anvil-u se čistilo svakih 100 sekundi).
- Ojačana je zaštita od spoljašnjih klijenata i servera, koji veoma sporo, po delićima, šalju podatke kako bi se održala aktivna SMTP i LMTP veze (na primer, radi blokiranja rada kroz stvaranje uslova za iscrpljivanje limita na broj uspostavljenih veza). Umesto vremenskih ograničenja vezanih za zapise, sada se primenjuje ograničenje vezano za zahteve, a takođe je dodato ograničenje minimalne moguće intenzivnosti prenosa podataka u blokovima DATA i BDAT. Shodno tome, umesto podešavanja {smtpd,smtp,lmtp}_per_record_deadline, sada su uvedena {smtpd,smtp,lmtp}_per_request_deadline i {smtpd,smtp,lmtp}_min_data_rate.
- U timu postqueue obezbeđena je pročišćavanje neispravnih karaktera, kao što su prelomi redova, u fazi pre nego što se ispišu na standardni izlaz ili formatiraju kao JSON.
- U tlsproxy-u, umesto parametara tlsproxy_client_level i tlsproxy_client_policy, uvedene su nove postavke tlsproxy_client_security_level i tlsproxy_client_policy_maps radi standardizacije naziva parametara u Postfix-u (nazivi postavki tlsproxy_client_xxx sada odgovaraju postavkama smtp_tls_xxx).
- Preinačena je obrada grešaka od klijenata koji koriste LMDB.
Izvor: opennet.ru
