Pas tre vitesh zhvillimi, versioni i ri i qëndrueshëm i serverit proxy Squid, 5.1, është publikuar dhe është gati për përdorim në sistemet e prodhimit (versionet 5.0.x ishin beta).
Pasi dega 5.x të arrijë një gjendje të qëndrueshme, që nga tani e tutje do të zbatohen vetëm rregullime për dobësitë dhe problemet e stabilitetit , së bashku me optimizime të vogla. Zhvillimi i veçorive të reja do të ndodhë në degën e re eksperimentale 6.0. Përdoruesit e degës së mëparshme të qëndrueshme 4.x inkurajohen të planifikojnë një migrim në degën 5.x.
Kallamar 5.1 Karakteristikat kryesore të reja
Në këtë version të ri, përputhshmëria me formatin Berkeley DB është anuluar për shkak të problemeve me licencimin . Dega Berkeley DB 5.x nuk është mirëmbajtur për disa vite dhe ende ka dobësi të paarnuara, dhe përditësimi në versione më të reja nuk lejon ndryshimin e licencës AGPLv3, kërkesat e së cilës vlejnë edhe për aplikacionet që përdorin Berkeley DB si bibliotekë. Squid lëshohet sipas licencës GPLv2, dhe AGPL është i papajtueshëm me GPLv2.
Në vend të Berkeley DB, projekti migroi për të përdorur TrivialDB DBMS, i cili, ndryshe nga Berkeley DB, është i optimizuar për akses paralel të njëkohshëm në bazën e të dhënave. Mbështetja për Berkeley DB ruhet për momentin, por tani rekomandohet të përdoret lloji i ruajtjes "libtdb" në vend të "libdb" në trajtuesit "ext_session_acl" dhe "ext_time_quota_acl".
Për më tepër, u shtua mbështetje për kokën HTTP CDN-Loop, të përcaktuar në RFC 8586, e cila lejon zbulimin e sytheve kur përdorni rrjetet e shpërndarjes së përmbajtjes (titulli siguron mbrojtje kundër situatave në të cilat një kërkesë, gjatë ridrejtimit midis CDN-ve për ndonjë arsye, kthehet në CDN origjinale, duke formuar një lak të pafund).
Për më tepër, mekanizmi SSL-Bump, i cili lejon përgjimin e përmbajtjes së seancave HTTPS të koduara, ka shtuar mbështetje për ridrejtimin e kërkesave të falsifikuara HTTPS përmes serverëve të tjerë proxy të specifikuar në cache_peer duke përdorur një tunel të rregullt bazuar në metodën HTTP CONNECT (transmetimi mbi HTTPS nuk mbështetet, pasi Squid ende nuk mund të transmetojë TLS brenda TLS).
SSL-Bump, pasi merr kërkesën e parë HTTPS të përgjuar, krijon një lidhje TLS me serverin e synuar dhe merr certifikatën e tij. Squid më pas përdor emrin e hostit të certifikatës reale të marrë nga serveri për të krijuar një certifikatë të rreme, të cilën e përdor për të imituar serverin e kërkuar kur bashkëvepron me klientin , ndërsa vazhdon të përdorë lidhjen TLS të krijuar me serverin e synuar për të marrë të dhëna.
Vlen gjithashtu të përmendet se zbatimi i ICAP (Protokolli i Përshtatjes së Përmbajtjes së Internetit), i cili përdoret për integrimin me sistemet e verifikimit të përmbajtjes së jashtme, ka shtuar mbështetje për mekanizmin e bashkëngjitjes së të dhënave që lejon që kokat e meta të dhënave shtesë t'i bashkëngjiten përgjigjes, të vendosura pas trupit të mesazhit.
Në vend që të merrni parasysh "dns_v4_first»Për të përcaktuar rendin e përdorimit të familjes së adresave IPv4 ose IPv6, tani rendi i përgjigjes në DNS merret parasysh- Nëse përgjigja AAAA nga DNS shfaqet së pari ndërsa prisni që një adresë IP të zgjidhet, adresa IPv6 që rezulton do të përdoret. Prandaj, cilësimi i preferuar i familjes së adresave tani bëhet në murin e zjarrit, DNS, ose në fillimin me opsionin "–disable-ipv6".
Ndryshimi i propozuar do të shpejtojë kohën për të konfiguruar lidhjet TCP dhe do të zvogëlojë ndikimin e performancës së vonesave në zgjidhjen e DNS.
Gjatë ridrejtimit të kërkesave, përdoret algoritmi "Happy Eyeballs", i cili përdor menjëherë adresën IP të marrë, pa pritur që të zgjidhen të gjitha adresat IPv4 dhe IPv6 të destinacionit potencialisht të disponueshme.
Për përdorim në direktivën "external_acl", drejtuesi "ext_kerberos_sid_group_acl" është shtuar për vërtetim me grupet e verifikimit në Active Directory duke përdorur Kerberos. Shërbimi ldapsearch i ofruar nga paketa OpenLDAP përdoret për të kërkuar emrin e grupit.
U shtuan direktiva mark_client_connection dhe mark_client_pack për të lidhur etiketat Netfilter (CONNMARK) tek paketat individuale ose lidhjet TCP të klientit
Së fundmi, përmendet se, duke ndjekur hapat e versioneve të publikuara të Squid 5.2 dhe Squid 4.17, u korrigjuan dobësitë e mëposhtme:
- CVE-2021-28116-Rrjedhje informacioni kur përpunoni mesazhe të krijuara posaçërisht WCCPv2. Dobësia lejon një sulmues të korruptojë listën e ruterave të njohur WCCP dhe të përcjellë trafikun nga klienti proxy tek hosti i tij. Problemi shfaqet vetëm në konfigurimet me mbështetjen e aktivizuar WCCPv2 dhe kur është e mundur të prishni adresën IP të ruterit.
- CVE-2021-41611: gabim në vërtetimin e certifikatave TLS që lejojnë qasje duke përdorur certifikata të pabesuara.
Së fundmi, nëse doni të dini më shumë rreth kësaj, mund t'i kontrolloni detajet në lidhjen e mëposhtme.