Nakon tri godine razvoja, objavljena je nova stabilna verzija Squid proxy servera, 5.1, i spremna je za upotrebu u produkcijskim sistemima (verzije 5.0.x su bile beta).
Nakon što grana 5.x dostigne stabilno stanje, od sada će se implementirati samo ispravke za ranjivosti i probleme sa stabilnošću , uz manje optimizacije. Razvoj novih funkcija će se odvijati u novoj eksperimentalnoj grani 6.0. Korisnicima prethodne stabilne grane 4.x se preporučuje da planiraju migraciju na granu 5.x.
Glavne nove karakteristike Squid 5.1
U ovoj novoj verziji, kompatibilnost s Berkeley DB formatom je zastarjela zbog problema s licenciranjem . Berkeley DB 5.x grana nije održavana nekoliko godina i još uvijek ima neispravljene ranjivosti, a nadogradnja na novije verzije ne dozvoljava promjenu AGPLv3 licence, čiji se zahtjevi primjenjuju i na aplikacije koje koriste Berkeley DB kao biblioteku. Squid je objavljen pod GPLv2 licencom, a AGPL nije kompatibilan s GPLv2.
Umjesto Berkeley DB-a, projekat je prešao na korištenje TrivialDB DBMS-a, koji je, za razliku od Berkeley DB-a, optimiziran za simultani paralelni pristup bazi podataka. Podrška za Berkeley DB je za sada zadržana, ali se sada preporučuje korištenje tipa pohrane "libtdb" umjesto "libdb" u rukovateljima "ext_session_acl" i "ext_time_quota_acl".
Dodatno, dodana je podrška za HTTP zaglavlje CDN-Loop, definirano u RFC 8586, koje omogućava otkrivanje petlji pri korištenju mreža za isporuku sadržaja (zaglavlje pruža zaštitu od situacija u kojima se zahtjev, tokom preusmjeravanja između CDN-ova iz nekog razloga, vraća na originalni CDN, formirajući beskonačnu petlju).
Nadalje, SSL-Bump mehanizam, koji omogućava presretanje sadržaja šifriranih HTTPS sesija, dodao je podršku za preusmjeravanje krivotvorenih HTTPS zahtjeva putem drugih proxy servera navedenih u cache_peer koristeći regularni tunel zasnovan na HTTP CONNECT metodi (prijenos preko HTTPS-a nije podržan, jer Squid još uvijek ne može prenositi TLS unutar TLS-a).
SSL-Bump, po prijemu prvog presretnutog HTTPS zahtjeva, uspostavlja TLS vezu sa ciljnim serverom i dobija njegov certifikat. Squid zatim koristi naziv hosta pravog certifikata primljenog od servera da bi kreirao lažni certifikat, koji koristi za predstavljanje traženog servera prilikom interakcije sa klijentom , dok istovremeno nastavlja koristiti uspostavljenu TLS vezu sa ciljnim serverom za primanje podataka.
Također je vrijedno napomenuti da je implementacija ICAP-a (Internet Content Adaptation Protocol), koji se koristi za integraciju sa eksternim sistemima za verifikaciju sadržaja, dodala podršku za mehanizam priloga podataka koji omogućava dodavanje dodatnih zaglavlja metapodataka odgovoru, postavljenih nakon tijela poruke.
Umjesto da uzmete u obzir postavku "dns_v4_first".» za određivanje redoslijeda korištenja IPv4 ili IPv6 familije adresa, sada se uzima u obzir redosled odgovora u DNS-u- Ako se DNS AAAA odgovor pojavi prvi dok se čeka na razlučivanje IP adrese, koristit će se rezultirajuća IPv6 adresa. Stoga se preferirana konfiguracija porodice adresa sada radi u zaštitnom zidu, DNS-u ili pri pokretanju sa opcijom “–disable-ipv6”.
Predložena promjena će ubrzati vrijeme postavljanja za TCP veze i smanjiti učinak kašnjenja DNS rezolucije na performanse.
Prilikom preusmjeravanja zahtjeva koristi se algoritam "Happy Eyeballs", koji odmah koristi primljenu IP adresu, bez čekanja da se razriješe sve potencijalno dostupne odredišne IPv4 i IPv6 adrese.
Za upotrebu u "external_acl" direktivi, rukovatelj "ext_kerberos_sid_group_acl" je dodan za autentifikaciju sa grupama za verifikaciju u Active Directory koristeći Kerberos. Uslužni program ldapsearch koji pruža OpenLDAP paket koristi se za upit imena grupe.
Dodane direktive mark_client_connection i mark_client_pack za povezivanje Netfilter oznaka (CONNMARK) na klijentske TCP veze ili pojedinačne pakete
Konačno, spominje se da su, slijedeći korake iz objavljenih verzija Squid 5.2 i Squid 4.17, ispravljene sljedeće ranjivosti:
- CVE-2021-28116 – Curenje informacija prilikom obrade posebno kreiranih WCCPv2 poruka. Ranjivost omogućava napadaču da pokvari listu poznatih WCCP rutera i preusmeri saobraćaj sa proxy klijenta na njegov host. Problem se manifestuje samo u konfiguracijama sa omogućenom podrškom za WCCPv2 i kada je moguće lažirati IP adresu rutera.
- CVE-2021-41611 – Greška pri validaciji TLS sertifikata koji dozvoljavaju pristup preko nepouzdanih sertifikata.
Konačno, ako želite saznati više o tome, detalje možete provjeriti na sljedećem linku.