Efter 10 månaders utveckling har den nya stabila versionen av e-postservern Postfix – 3.7.0 släppts. Samtidigt meddelades att stödet för Postfix 3.3, som släpptes i början av 2018, kommer att upphöra. Postfix är ett av de få projekten som kombinerar hög säkerhet, pålitlighet och prestanda, vilket har uppnåtts genom en genomtänkt arkitektur och en tillräckligt strikt policy för kodformatering och patchgranskning. Projektets kod distribueras under licenserna EPL 2.0 (Eclipse Public License) och IPL 1.0 (IBM Public License).
Enligt en automatiserad undersökning i januari av cirka 500 000 e-post servrarservrar används Postfix på 34,08 % (för ett år sedan 33,66 %) av e-postservrar, medan andelen Exim är 58,95 % (59,14 %), Sendmail 3,58 % (3,6 %), MailEnable 1,99 % (2,02 %), MDaemon 0,52 % (0,60 %), Microsoft Exchange 0,26 % (0,32 %) och OpenSMTPD 0,06 % (0,05 %).
Huvudsakliga nyheter:
- Möjligheten att infoga små tabeller «cidr:», «pcre:» och «regexp:» direkt i värdena för Postfix-konfigurationsparametrar, utan att ansluta externa filer eller databaser, har tillhandahållits. Inläggningen definieras med hjälp av klamrar, till exempel innehåller standardvärdet för parametern smtpd_forbidden_commands nu strängen «CONNECT GET POST regexp:{{/^[^A-Z]/ Thrash}}», vilket möjliggör att kopplingar från klienter som skickar skräp istället för kommandon stängs av. Den allmänna syntaxen: /etc/postfix/main.cf: parameter = .. map-type:{ { rule-1 }, { rule-2 } .. } .. /etc/postfix/master.cf: .. -o { parameter = .. map-type:{ { rule-1 }, { rule-2 } .. } .. } ..
- Postlog-handlaren har nu försetts med flaggan set-gid och vid körning utför den operationer med privilegier från gruppen postdrop, vilket gör att den kan användas av icke-privilegerade program för att skriva loggar via bakgrundsprocessen postlogd, vilket ökar konfigurationsflexibiliteten för maillog_file och möjliggör bland annat loggning av stdout från containern.
- Stöd för API-biblioteken OpenSSL 3.0.0, PCRE2 och Berkeley DB 18 har lagts till.
- Skydd mot attacker genom att definiera kollisioner i hash-funktioner via bruteforce-metoden har införts. Skyddet implementeras genom att randomisera det initiala tillståndet av hash-tabeller som lagras i RAM. För närvarande har endast ett sätt att utföra sådana attacker identifierats, relaterat till bruteforcing av IPv6-adresser från SMTP-klienter i tjänsten anvil, vilket kräver att hundratals kortvariga anslutningar per sekund görs vid cyklisk bruteforce av tusentals olika klienter. IP-adresser. Andra hash-tabeller, där nycklar kan kontrolleras baserat på angriparens data, är inte utsatta för sådana attacker, eftersom de tillämpar en storleksbegränsning (i anvil tillämpades rensning var 100:e sekund).
- Skyddet mot externa klienter och servrar har förstärkts, som mycket långsamt överför data i små mängder för att hålla SMTP- och LMTP-anslutningar aktiva (t.ex. för att blockera funktionalitet genom att skapa förhållanden som uttömmer gränsen för antalet etablerade anslutningar). Istället för tidsbegränsningar kopplade till poster tillämpas nu begränsningar kopplade till förfrågningar, och det har dessutom lagts till en begränsning för den minimi möjliga dataöverföringsintensiteten i BLOCK DATA och BDAT. Följaktligen har inställningarna {smtpd,smtp,lmtp}_per_record_deadline ersatts med {smtpd,smtp,lmtp}_per_request_deadline och {smtpd, smtp,lmtp}_min_data_rate.
- I postqueue-teamet har rensningen av icke-utskrivbara tecken, såsom radbrytningar, säkerställts i steget före utskrift till standardutgång eller formatering av strängar i JSON.
- I tlsproxy har de tidigare parametrarna tlsproxy_client_level och tlsproxy_client_policy ersatts med nya inställningar tlsproxy_client_security_level och tlsproxy_client_policy_maps för att standardisera namnen på parametrarna i Postfix (namnen på inställningarna tlsproxy_client_xxx motsvarar nu inställningarna smtp_tls_xxx).
- Felhanteringen från klienter som använder LMDB har omarbetats.
Källa: opennet.ru
