Nakon tri godine razvoja, objavljena je nova stabilna verzija Squid proxy poslužitelja, 5.1, i spremna je za korištenje u produkcijskim sustavima (verzije 5.0.x bile su beta).
Nakon što grana 5.x dostigne stabilno stanje, od sada će se implementirati samo ispravci ranjivosti i problema sa stabilnošću , uz manje optimizacije. Razvoj novih značajki odvijat će se u novoj eksperimentalnoj grani 6.0. Korisnicima prethodne stabilne grane 4.x preporučuje se da planiraju migraciju na granu 5.x.
Squid 5.1 Glavne nove značajke
U ovoj novoj verziji, kompatibilnost s Berkeley DB formatom je zastarjela zbog problema s licenciranjem . Berkeley DB 5.x grana nije održavana nekoliko godina i još uvijek ima nezakrpane ranjivosti, a nadogradnja na novije verzije ne dopušta promjenu AGPLv3 licence, čiji se zahtjevi također primjenjuju na aplikacije koje koriste Berkeley DB kao biblioteku. Squid je objavljen pod GPLv2 licencom, a AGPL nije kompatibilan s GPLv2.
Umjesto Berkeley DB-a, projekt je prešao na korištenje TrivialDB DBMS-a, koji je, za razliku od Berkeley DB-a, optimiziran za simultani paralelni pristup bazi podataka. Podrška za Berkeley DB zasad je zadržana, ali se sada preporučuje korištenje tipa pohrane "libtdb" umjesto "libdb" u rukovateljima "ext_session_acl" i "ext_time_quota_acl".
Osim toga, dodana je podrška za HTTP CDN-Loop zaglavlje definirano u RFC 8586, koje omogućuje otkrivanje petlji pri korištenju mreža za isporuku sadržaja (zaglavlje pruža zaštitu od situacija u kojima se zahtjev, tijekom preusmjeravanja između CDN-a iz nekog razloga, vraća na izvorni CDN, tvoreći beskonačnu petlju).
Nadalje, mehanizam SSL-Bump, koji omogućuje presretanje sadržaja šifriranih HTTPS sesija, dodao je podršku za preusmjeravanje krivotvorenih HTTPS zahtjeva putem drugih proxy poslužitelja navedenih u cache_peer pomoću regularnog tunela temeljenog na HTTP CONNECT metodi (prijenos putem HTTPS-a nije podržan, jer Squid još ne može prenositi TLS unutar TLS-a).
SSL-Bump, nakon što primi prvi presretnuti HTTPS zahtjev, uspostavlja TLS vezu s ciljnim poslužiteljem i dobiva njegov certifikat. Squid zatim koristi naziv hosta pravog certifikata primljenog od poslužitelja za stvaranje lažnog certifikata, koji koristi za predstavljanje traženog poslužitelja prilikom interakcije s klijentom , dok istovremeno nastavlja koristiti uspostavljenu TLS vezu s ciljnim poslužiteljem za primanje podataka.
Također je vrijedno napomenuti da je implementacija ICAP-a (Internet Content Adaptation Protocol), koji se koristi za integraciju s vanjskim sustavima za provjeru sadržaja, dodala podršku za mehanizam prilaganja podataka koji omogućuje dodavanje dodatnih zaglavlja metapodataka odgovoru, smještenih nakon tijela poruke.
Umjesto da se uzme u obzir "dns_v4_first»Za utvrđivanje redoslijeda korištenja IPv4 ili IPv6 obitelji adresa, sada se uzima u obzir redoslijed odgovora u DNS -u- Ako se AAAA odgovor s DNS -a prvi pojavi tijekom čekanja na rješavanje IP adrese, rezultirajuća IPv6 adresa će se koristiti. Stoga se željena postavka obitelji adresa sada vrši u vatrozidu, DNS-u ili pri pokretanju s opcijom "–disable-ipv6".
Predložena promjena ubrzat će vrijeme za konfiguriranje TCP veza i smanjiti utjecaj kašnjenja u razrješenju DNS -a na performanse.
Prilikom preusmjeravanja zahtjeva koristi se algoritam "Happy Eyeballs" koji odmah koristi primljenu IP adresu, bez čekanja da se razriješe sve potencijalno dostupne odredišne IPv4 i IPv6 adrese.
Za upotrebu u direktivi "external_acl", upravljački program "ext_kerberos_sid_group_acl" dodan je za provjeru autentičnosti s grupama za provjeru u Active Directoryu pomoću Kerberosa. Pomoćni program ldapsearch koji pruža paket OpenLDAP koristi se za postavljanje upita o imenu grupe.
Dodane su smjernice mark_client_connection i mark_client_pack za vezanje oznaka Netfilter (CONNMARK) na pojedinačne pakete ili TCP veze klijenta
Konačno, spominje se da su, slijedeći korake objavljene u verzijama Squid 5.2 i Squid 4.17, ispravljene sljedeće ranjivosti:
- CVE-2021-28116-Curenje informacija pri obradi posebno izrađenih WCCPv2 poruka. Ranjivost omogućuje napadaču da pokvari popis poznatih WCCP usmjerivača i preusmjeri promet s proxy klijenta na njegov host. Problem se očituje samo u konfiguracijama s omogućenom podrškom za WCCPv2 i kada je moguće prevariti IP adresu usmjerivača.
- CVE-2021-41611: pogreška pri provjeri valjanosti TLS certifikata koji omogućuju pristup pomoću nepouzdanih certifikata.
Konačno, ako želite saznati više o tome, detalje možete provjeriti na sljedećoj poveznici.