Na drie jaar ontwikkeling is de nieuwe stabiele versie van de Squid-proxyserver, 5.1, uitgebracht en klaar voor gebruik in productiesystemen (versies 5.0.x waren bètaversies).
Nadat de 5.x-branch een stabiele status heeft bereikt, zullen vanaf nu alleen nog oplossingen voor kwetsbaarheden en stabiliteitsproblemen worden geïmplementeerd , samen met kleine optimalisaties. De ontwikkeling van nieuwe functies zal plaatsvinden in de nieuwe experimentele 6.0-branch. Gebruikers van de vorige stabiele 4.x-branch worden aangemoedigd om een ​​migratie naar de 5.x-branch te plannen.
Squid 5.1 Belangrijkste nieuwe functies
In deze nieuwe versie is de compatibiliteit met het Berkeley DB-formaat komen te vervallen vanwege licentieproblemen . De Berkeley DB 5.x-tak wordt al enkele jaren niet meer onderhouden en bevat nog steeds onopgeloste beveiligingslekken. Upgraden naar nieuwere versies staat het niet toe om de AGPLv3-licentie te wijzigen, waarvan de vereisten ook gelden voor applicaties die Berkeley DB als bibliotheek gebruiken. Squid wordt uitgebracht onder de GPLv2-licentie, en AGPL is incompatibel met GPLv2.
In plaats van Berkeley DB is het project overgestapt op TrivialDB DBMS, dat, in tegenstelling tot Berkeley DB, is geoptimaliseerd voor gelijktijdige parallelle toegang tot de database. Ondersteuning voor Berkeley DB blijft voorlopig behouden, maar het wordt nu aanbevolen om het opslagtype "libtdb" te gebruiken in plaats van "libdb" in de handlers "ext_session_acl" en "ext_time_quota_acl".
Daarnaast is ondersteuning toegevoegd voor de HTTP CDN-Loop-header, gedefinieerd in RFC 8586, waarmee lussen kunnen worden gedetecteerd bij het gebruik van content delivery-netwerken (de header biedt bescherming tegen situaties waarin een verzoek, tijdens de omleiding tussen CDN's om wat voor reden dan ook, terugkeert naar het oorspronkelijke CDN, waardoor een oneindige lus ontstaat).
Bovendien biedt het SSL-Bump-mechanisme, waarmee de inhoud van versleutelde HTTPS-sessies kan worden onderschept, nu ondersteuning voor het omleiden van vervalste HTTPS-verzoeken via andere proxyservers die zijn gespecificeerd in cache_peer, met behulp van een reguliere tunnel gebaseerd op de HTTP CONNECT-methode (transmissie via HTTPS wordt niet ondersteund, omdat Squid nog geen TLS binnen TLS kan verzenden).
SSL-Bump onderschept het eerste HTTPS-verzoek en brengt vervolgens een TLS-verbinding tot stand met de doelserver om het certificaat te verkrijgen. Squid gebruikt vervolgens de hostnaam van het echte certificaat om een ​​nepcertificaat te creëren. Dit nepcertificaat gebruikt Squid om zich voor te doen als de gevraagde server tijdens de interactie met de client , terwijl de bestaande TLS-verbinding met de doelserver gebruikt blijft worden voor het ontvangen van gegevens.
Het is ook belangrijk om te vermelden dat de implementatie van het ICAP (Internet Content Adaptation Protocol), dat wordt gebruikt voor integratie met externe systemen voor contentverificatie, ondersteuning biedt voor een mechanisme voor gegevensbijlagen. Dit maakt het mogelijk om extra metadataheaders aan het antwoord toe te voegen, na de berichtinhoud.
In plaats van rekening te houden met de "dns_v4_first»Om de gebruiksvolgorde van de IPv4- of IPv6-adresfamilie te bepalen, nu wordt rekening gehouden met de volgorde van de respons in DNS- Als het AAAA-antwoord van DNS als eerste verschijnt terwijl u wacht tot een IP-adres is opgelost, wordt het resulterende IPv6-adres gebruikt. Daarom wordt de voorkeursinstelling voor adresfamilie nu gedaan in de firewall, DNS of bij het opstarten met de optie "–disable-ipv6".
De voorgestelde wijziging versnelt de tijd om TCP-verbindingen te configureren en vermindert de prestatie-impact van vertragingen in DNS-resolutie.
Bij het omleiden van verzoeken wordt het "Happy Eyeballs"-algoritme gebruikt, dat direct het ontvangen IP-adres gebruikt, zonder te wachten tot alle potentieel beschikbare IPv4- en IPv6-bestemmingsadressen zijn opgelost.
Voor gebruik in de "external_acl"-richtlijn is het stuurprogramma "ext_kerberos_sid_group_acl" toegevoegd voor authenticatie met verificatiegroepen in Active Directory met behulp van Kerberos. Het hulpprogramma ldapsearch dat door het OpenLDAP-pakket wordt geleverd, wordt gebruikt om de groepsnaam op te vragen.
Mark_client_connection en mark_client_pack richtlijnen toegevoegd om Netfilter-tags (CONNMARK) te binden aan individuele pakketten of client-TCP-verbindingen
Tot slot wordt vermeld dat, in navolging van de stappen in de gepubliceerde versies van Squid 5.2 en Squid 4.17, de volgende kwetsbaarheden zijn verholpen:
- CVE-2021-28116 - Informatielek bij het verwerken van speciaal vervaardigde WCCPv2-berichten. Door het beveiligingslek kan een aanvaller de lijst met bekende WCCP-routers beschadigen en verkeer van de proxyclient naar de host omleiden. Het probleem manifesteert zich alleen in configuraties met WCCPv2-ondersteuning ingeschakeld en wanneer het mogelijk is om het IP-adres van de router te vervalsen.
- CVE-2021-41611: fout bij het valideren van TLS-certificaten die toegang toestaan ​​met niet-vertrouwde certificaten.
Als je er tenslotte meer over wilt weten, kun je de details bekijken via de volgende link.