Μετά από τρία χρόνια ανάπτυξης, η νέα σταθερή έκδοση του διακομιστή μεσολάβησης Squid, 5.1, κυκλοφόρησε και είναι έτοιμη για χρήση σε συστήματα παραγωγής (οι εκδόσεις 5.0.x ήταν beta).
Αφού ο κλάδος 5.x φτάσει σε σταθερή κατάσταση, από εδώ και στο εξής θα εφαρμόζονται μόνο διορθώσεις για τρωτά σημεία και προβλήματα σταθερότητας , μαζί με μικρές βελτιστοποιήσεις. Η ανάπτυξη νέων λειτουργιών θα πραγματοποιηθεί στον νέο πειραματικό κλάδο 6.0. Οι χρήστες του προηγούμενου σταθερού κλάδου 4.x ενθαρρύνονται να σχεδιάσουν μια μετεγκατάσταση στον κλάδο 5.x.
Squid 5.1 Κύρια νέα χαρακτηριστικά
Σε αυτήν τη νέα έκδοση, η συμβατότητα με τη μορφή Berkeley DB έχει καταργηθεί λόγω προβλημάτων αδειοδότησης . Ο κλάδος Berkeley DB 5.x δεν έχει συντηρηθεί για αρκετά χρόνια και εξακολουθεί να έχει μη ενημερωμένες ευπάθειες, και η αναβάθμιση σε νεότερες εκδόσεις δεν επιτρέπει την αλλαγή της άδειας AGPLv3, οι απαιτήσεις της οποίας ισχύουν και για εφαρμογές που χρησιμοποιούν την Berkeley DB ως βιβλιοθήκη. Το Squid κυκλοφορεί με την άδεια GPLv2 και η AGPL είναι ασύμβατη με την GPLv2.
Αντί για τη βάση δεδομένων Berkeley, το έργο μετεγκαταστάθηκε για να χρησιμοποιήσει το ΣΔΒΔ TrivialDB, το οποίο, σε αντίθεση με τη βάση δεδομένων Berkeley, είναι βελτιστοποιημένο για ταυτόχρονη παράλληλη πρόσβαση στη βάση δεδομένων. Η υποστήριξη της βάσης δεδομένων Berkeley διατηρείται προς το παρόν, αλλά τώρα συνιστάται η χρήση του τύπου αποθήκευσης "libtdb" αντί για "libdb" στους χειριστές "ext_session_acl" και "ext_time_quota_acl".
Επιπλέον, προστέθηκε υποστήριξη για την κεφαλίδα HTTP CDN-Loop, όπως ορίζεται στο RFC 8586, η οποία επιτρέπει τον εντοπισμό βρόχων κατά τη χρήση δικτύων παράδοσης περιεχομένου (η κεφαλίδα παρέχει προστασία από καταστάσεις στις οποίες ένα αίτημα, κατά την ανακατεύθυνση μεταξύ CDN για κάποιο λόγο, επιστρέφει στο αρχικό CDN, σχηματίζοντας έναν άπειρο βρόχο).
Επιπλέον, ο μηχανισμός SSL-Bump, ο οποίος επιτρέπει την υποκλοπή περιεχομένου κρυπτογραφημένων συνεδριών HTTPS, έχει προσθέσει υποστήριξη για την ανακατεύθυνση πλαστών αιτημάτων HTTPS μέσω άλλων διακομιστών μεσολάβησης που καθορίζονται στο cache_peer χρησιμοποιώντας μια κανονική σήραγγα που βασίζεται στη μέθοδο HTTP CONNECT (η μετάδοση μέσω HTTPS δεν υποστηρίζεται, καθώς το Squid δεν μπορεί ακόμη να μεταδώσει TLS εντός TLS).
Το SSL-Bump, μόλις λάβει το πρώτο αναχαιτισμένο αίτημα HTTPS, δημιουργεί μια σύνδεση TLS με τον διακομιστή-στόχο και λαμβάνει το πιστοποιητικό του. Στη συνέχεια, το Squid χρησιμοποιεί το όνομα κεντρικού υπολογιστή του πραγματικού πιστοποιητικού που έλαβε από τον διακομιστή για να δημιουργήσει ένα ψεύτικο πιστοποιητικό, το οποίο χρησιμοποιεί για να μιμηθεί τον αιτούμενο διακομιστή κατά την αλληλεπίδραση με τον πελάτη , ενώ συνεχίζει να χρησιμοποιεί την καθιερωμένη σύνδεση TLS με τον διακομιστή-στόχο για τη λήψη δεδομένων.
Αξίζει επίσης να σημειωθεί ότι η εφαρμογή του ICAP (Internet Content Adaptation Protocol), το οποίο χρησιμοποιείται για την ενσωμάτωση με εξωτερικά συστήματα επαλήθευσης περιεχομένου, έχει προσθέσει υποστήριξη για τον μηχανισμό προσάρτησης δεδομένων που επιτρέπει την προσάρτηση πρόσθετων κεφαλίδων μεταδεδομένων στην απάντηση, τοποθετημένων μετά το σώμα του μηνύματος.
Αντί να λάβετε υπόψη το "dns_v4_first»Για να καθορίσετε τη σειρά χρήσης της οικογένειας διευθύνσεων IPv4 ή IPv6, τώρα λαμβάνεται υπόψη η σειρά της απόκρισης στο DNS- Εάν η απάντηση AAAA από το DNS εμφανιστεί πρώτα ενώ περιμένετε να επιλυθεί μια διεύθυνση IP, θα χρησιμοποιηθεί η προκύπτουσα διεύθυνση IPv6. Επομένως, η προτιμώμενη ρύθμιση οικογένειας διευθύνσεων γίνεται τώρα στο τείχος προστασίας, DNS ή κατά την εκκίνηση με την επιλογή "–disable-ipv6".
Η προτεινόμενη αλλαγή θα επιταχύνει το χρόνο διαμόρφωσης συνδέσεων TCP και θα μειώσει τον αντίκτυπο στην απόδοση των καθυστερήσεων στην ανάλυση DNS.
Κατά την ανακατεύθυνση αιτημάτων, χρησιμοποιείται ο αλγόριθμος "Happy Eyeballs", ο οποίος χρησιμοποιεί αμέσως τη ληφθείσα διεύθυνση IP, χωρίς να περιμένει να επιλυθούν όλες οι πιθανώς διαθέσιμες διευθύνσεις IPv4 και IPv6 προορισμού.
Για χρήση στην οδηγία "external_acl", το πρόγραμμα οδήγησης "ext_kerberos_sid_group_acl" προστέθηκε για έλεγχο ταυτότητας με ομάδες επαλήθευσης στην Active Directory χρησιμοποιώντας το Kerberos. Το βοηθητικό πρόγραμμα ldapsearch που παρέχεται από το πακέτο OpenLDAP χρησιμοποιείται για να ζητήσει το όνομα της ομάδας.
Προστέθηκαν οδηγίες mark_client_connection και mark_client_pack για τη σύνδεση ετικετών Netfilter (CONNMARK) σε μεμονωμένα πακέτα ή συνδέσεις πελάτη TCP
Τέλος, αναφέρεται ότι, ακολουθώντας τα βήματα των δημοσιευμένων εκδόσεων του Squid 5.2 και του Squid 4.17, διορθώθηκαν τα ακόλουθα τρωτά σημεία:
- CVE-2021-28116-Διαρροή πληροφοριών κατά την επεξεργασία ειδικά δημιουργημένων μηνυμάτων WCCPv2. Η ευπάθεια επιτρέπει σε έναν εισβολέα να καταστρέψει τη λίστα με τους γνωστούς δρομολογητές WCCP και να ανακατευθύνει την επισκεψιμότητα από τον πελάτη μεσολάβησης στον κεντρικό υπολογιστή του. Το πρόβλημα εκδηλώνεται μόνο σε διαμορφώσεις με ενεργοποιημένη την υποστήριξη WCCPv2 και όταν είναι δυνατή η παραποίηση της διεύθυνσης IP του δρομολογητή.
- CVE-2021-41611: σφάλμα κατά την επικύρωση πιστοποιητικών TLS που επιτρέπουν την πρόσβαση χρησιμοποιώντας μη αξιόπιστα πιστοποιητικά.
Τέλος, αν θέλετε να μάθετε περισσότερα σχετικά με αυτό, μπορείτε να δείτε τις λεπτομέρειες στον παρακάτω σύνδεσμο.