หลังจากการพัฒนาเกือบหนึ่งปี เมลเซิร์ฟเวอร์ Postfix สาขาเสถียรใหม่ - 3.9.0 - ก็ได้เปิดตัวแล้ว ในเวลาเดียวกัน ได้ประกาศสิ้นสุดการสนับสนุนสำหรับสาขา Postfix 3.5 ซึ่งเปิดตัวเมื่อต้นปี 2020 Postfix เป็นหนึ่งในโปรเจ็กต์หายากที่รวมความปลอดภัย ความน่าเชื่อถือ และประสิทธิภาพสูงเข้าด้วยกัน ซึ่งทำได้สำเร็จด้วยสถาปัตยกรรมที่คิดมาอย่างดีและนโยบายที่ค่อนข้างเข้มงวดสำหรับการออกแบบโค้ดและการตรวจสอบแพตช์ โค้ดโปรเจ็กต์เขียนเป็นภาษา C และเผยแพร่ภายใต้ EPL 2.0 (Eclipse Public License) และ IPL 1.0 (IBM Public License)
จากการสำรวจอัตโนมัติในเดือนมกราคมเกี่ยวกับเมลเซิร์ฟเวอร์ประมาณ 400 ตัว Postfix ใช้กับเมลเซิร์ฟเวอร์ 36.81% (ปีที่แล้ว 33.18%) ส่วนแบ่งของ Exim คือ 56.61% (ปีที่แล้ว 60.27%), Sendmail - 3.60 % (3.62%), MailEnable - 1.82 % (1.86%), MDaemon - 0.40% (0.39%), Microsoft Exchange - 0.19% (0.19%), OpenSMTPD - 0.09% (0.06%)
นวัตกรรมหลัก:
- เพิ่มไคลเอ็นต์สำหรับ MongoDB แล้ว ซึ่งช่วยให้คุณสามารถจัดเก็บฐานข้อมูลของผู้ใช้เสมือน นามแฝง รายการที่ตรงกัน และตารางตรวจสอบต่างๆ ใน DBMS นี้ ในการกำหนดค่าการเข้าถึง MongoDB ได้มีการเพิ่มประเภทตาราง “mongodb” แล้ว ตัวอย่างเช่น “alias_maps = proxy:mongodb:/etc/postfix/mongo.cf” โดยที่ mongo.cf เป็นไฟล์ที่มีการตั้งค่าสำหรับการเชื่อมต่อกับ MongoDB และตัวกรองแบบสอบถาม
- เพิ่มการส่งออกไปยัง Local Delivery Agent ของรหัสการส่งต่อที่ส่งระหว่างเซสชัน SMTP ผ่านพารามิเตอร์ ENVID (Envelope ID) ในคำสั่ง ESMTP MAIL (RFC 3461) ตัวระบุจะถูกเขียนลงในตัวแปรสภาพแวดล้อม ENVID และส่งผ่านไปยังเอเจนต์การจัดส่งไปป์ผ่านพารามิเตอร์บรรทัดคำสั่ง “${envid}”
- มีการเพิ่มพารามิเตอร์ต่อไปนี้ให้กับไคลเอนต์สำหรับการจัดเก็บข้อมูลใน MySQL (“mysql:”) และ PostgreSQL (“pgsql:”): “idle_interval” สำหรับกำหนดเวลาที่ไม่มีการใช้งานก่อนที่จะปิดการเชื่อมต่อและ “retry_interval” สำหรับการตั้งค่าตัวจับเวลาสำหรับการส่งอีกครั้ง คำขอ ตามค่าเริ่มต้น พารามิเตอร์จะถูกตั้งค่าเป็น 60 วินาที ค่า "retry_interval" สามารถลดลงได้ เช่น เพื่อลดเวลาการกู้คืนข้อผิดพลาด ในกรณีที่ใช้เซิร์ฟเวอร์เดียวในแอตทริบิวต์ "hosts"
- เพิ่มการตั้งค่า "ชุดอักขระ" ให้กับไคลเอนต์ MySQL เพื่อระบุการเข้ารหัสอักขระเริ่มต้น ค่าเริ่มต้นคือ "utf8mb4" ซึ่งสอดคล้องกับการตั้งค่าเริ่มต้นใน MySQL 8.0 (ในรุ่นก่อนหน้านี้ ค่าคือ "latin1") การสนับสนุนเวอร์ชันเก่ากว่า MySQL 4.0 (เช่น เวอร์ชันที่ออกก่อนปี 2003) ถูกยกเลิกแล้ว
- มีตัวเลือกเพิ่มเติมเพื่อขอคีย์สาธารณะที่ลงนามด้วยตนเอง (ดิบ) สำหรับ TLS ที่ไม่เชื่อมโยงกับผู้ออกใบรับรอง แทนที่จะเป็นใบรับรอง X.509 การใช้คีย์ดิบสำหรับการตรวจสอบสิทธิ์ไคลเอ็นต์และเซิร์ฟเวอร์ถูกเปิดใช้งานผ่านพารามิเตอร์ “smtpd_tls_enable_rpk = yes” และ “smtp_tls_enable_rpk = yes” แต่ลักษณะการทำงานระหว่างการตรวจสอบจะขึ้นอยู่กับระดับความปลอดภัยที่ตั้งไว้และการรองรับคีย์ดิบในการใช้งาน TLS ภายในเครื่อง (ดูเอกสารประกอบ)
- เพิ่มการรองรับเบื้องต้นสำหรับไฟล์การกำหนดค่า OpenSSL หากต้องการระบุลิงก์ไปยังไฟล์ด้วยการตั้งค่า TLS จะมีการเสนอพารามิเตอร์ tls_config_file และเพื่อระบุชื่อของส่วนด้วยการตั้งค่าจากไฟล์การกำหนดค่า พารามิเตอร์ "tls_config_name" จะถูกเสนอ การลิงก์ไปยังไฟล์การกำหนดค่า OpenSSL สามารถใช้เพื่อลดการพึ่งพาการตั้งค่าการแจกจ่าย ซึ่งการเปลี่ยนแปลงระดับความปลอดภัยอาจทำให้สัดส่วนของข้อความที่ส่งโดยไม่มีการเข้ารหัสเพิ่มขึ้น
- ในส่วนหัวของข้อความ การจัดรูปแบบของตัวเลขวันในวันที่มีการเปลี่ยนแปลง - ตอนนี้วันที่ 1 ถึง 9 จะถูกเติมด้วยศูนย์แทนที่จะเป็นช่องว่าง (เช่น "01", "02" ฯลฯ) การเปลี่ยนแปลงเกิดขึ้นเนื่องจาก RFC 5322 ขอแนะนำให้ใช้ช่องว่างเดียวเป็นตัวคั่นในวันที่
- เพิ่มการป้องกันการโจมตี "Blind" บางประเภท (การโจมตี SSRF บนเว็บไคลเอ็นต์ที่มุ่งเป้าไปที่การเข้าถึงเซิร์ฟเวอร์ผ่าน SMTP) ซึ่งจะนำไปใช้เมื่อมีการตั้งค่า "smtpd_forbid_unauth_pipelining = yes" (ค่าเริ่มต้น)
- ตามค่าเริ่มต้น การตั้งค่า “smtpd_forbid_bare_newline = Normalize” จะถูกเปิดใช้งาน ซึ่งจะปกป้องเซิร์ฟเวอร์จากการโจมตี “การลักลอบขนของ SMTP” ซึ่งทำให้ข้อความหนึ่งถูกแบ่งออกเป็นหลายข้อความที่แตกต่างกันผ่านการใช้ลำดับที่ไม่ได้มาตรฐานเพื่อแยกตัวอักษร นอกจากนี้ ยังมีการเพิ่มการป้องกันการโจมตีการลักลอบขนของ SMTP ขาออก ซึ่งผู้โจมตีใช้เซิร์ฟเวอร์ที่ใช้ Postfix เพื่อโจมตีเซิร์ฟเวอร์ SMTP อื่น ตามค่าเริ่มต้น การตั้งค่า "cleanup_replace_stray_cr_lf = yes" จะถูกเปิดใช้งาน โดยแทนที่อักขระพิเศษ และ สู่อวกาศ
- ในการใช้งานไคลเอ็นต์ DNS ขนาดของผลลัพธ์การสืบค้น DNS ที่ส่งคืนขณะนี้ถูกจำกัดไว้ที่ 100 ระเบียน ซึ่งเป็น 20 เท่าของจำนวนที่อยู่ IP สูงสุดที่ไคลเอ็นต์ SMTP รองรับต่อเซิร์ฟเวอร์
- พารามิเตอร์ “disable_dns_lookup” และ “permit_mx_backup” รวมถึงพารามิเตอร์การกำหนดค่า TLS บางตัวเลิกใช้แล้ว
- การสนับสนุนการตั้งค่าที่เลิกใช้งานเมื่อประมาณ 20 ปีที่แล้วได้ถูกยกเลิกแล้ว: "permit_naked_ip_address", "check_relay_domains" และ "reject_maps_rbl"
ที่มา: opennet.ru