Након три године развоја, објављена је нова стабилна верзија Squid прокси сервера, 5.1, и спремна је за употребу у продукционим системима (верзије 5.0.x су биле бета).
Након што грана 5.x достигне стабилно стање, од сада ће се имплементирати само исправке за рањивости и проблеме са стабилношћу , заједно са мањим оптимизацијама. Развој нових функција ће се одвијати у новој експерименталној грани 6.0. Корисницима претходне стабилне гране 4.x се препоручује да планирају миграцију на грану 5.x.
Скуид 5.1 Главне нове функције
У овој новој верзији, компатибилност са Berkeley DB форматом је застарела због проблема са лиценцирањем . Berkeley DB 5.x грана није одржавана неколико година и још увек има неотклоњене рањивости, а надоградња на новије верзије не дозвољава промену AGPLv3 лиценце, чији се захтеви такође примењују на апликације које користе Berkeley DB као библиотеку. Squid је објављен под GPLv2 лиценцом, а AGPL је некомпатибилан са GPLv2.
Уместо Berkeley DB-а, пројекат је прешао на коришћење TrivialDB DBMS-а, који је, за разлику од Berkeley DB-а, оптимизован за истовремени паралелни приступ бази података. Подршка за Berkeley DB је за сада задржана, али се сада препоручује коришћење типа складиштења „libtdb“ уместо „libdb“ у обрађивачима „ext_session_acl“ и „ext_time_quota_acl“.
Поред тога, додата је подршка за ХТТП ЦДН-Лооп заглавље, дефинисано у РФЦ 8586, које омогућава откривање петљи при коришћењу мрежа за испоруку садржаја (заглавље пружа заштиту од ситуација у којима се захтев, током преусмеравања између ЦДН-ова из неког разлога, враћа до оригиналног ЦДН -а, формирајући бесконачну петљу).
Штавише, механизам SSL-Bump, који омогућава пресретање садржаја шифрованих HTTPS сесија, додао је подршку за преусмеравање фалсификованих HTTPS захтева преко других прокси сервера наведених у cache_peer користећи регуларни тунел заснован на HTTP CONNECT методи (пренос преко HTTPS-а није подржан, јер Squid још увек не може да преноси TLS унутар TLS-а).
SSL-Bump, по пријему првог пресретнутог HTTPS захтева, успоставља TLS везу са циљним сервером и добија његов сертификат. Squid затим користи име хоста правог сертификата примљеног од сервера да би креирао лажни сертификат, који користи да се представља као тражени сервер приликом интеракције са клијентом , док наставља да користи успостављену TLS везу са циљним сервером за пријем података.
Такође је вредно напоменути да је имплементација ICAP-а (Internet Content Adaptation Protocol), који се користи за интеграцију са спољним системима за верификацију садржаја, додата подршка за механизам прикључивања података који омогућава додавање додатних заглавља метаподатака одговору, постављених након тела поруке.
Уместо да се узме у обзир „днс_в4_фирст»Да бисте утврдили редослед коришћења породице адреса ИПв4 или ИПв6, сада се узима у обзир редослед одговора у ДНС -у- Ако се АААА одговор од ДНС -а први појави док чекате да се ИП адреса разријеши, резултирајућа ИПв6 адреса ће се користити. Због тога се жељена поставка породице адреса сада врши у заштитном зиду, ДНС-у или при покретању са опцијом "–дисабле-ипв6".
Предложена промена ће убрзати време за конфигурисање ТЦП веза и смањити утицај кашњења у резолуцији ДНС -а на перформансе.
Приликом преусмеравања захтева користи се алгоритам „Happy Eyeballs“ који одмах користи примљену IP адресу, без чекања да се реше све потенцијално доступне IPv4 и IPv6 адресе одредишта.
За употребу у директиви "ектернал_ацл", управљачки програм "ект_керберос_сид_гроуп_ацл" је додат за аутентификацију са верификационим групама у Ацтиве Дирецтори -у помоћу Керберос -а. Помоћни програм лдапсеарцх који пружа пакет ОпенЛДАП користи се за постављање упита о имену групе.
Додате директиве марк_цлиент_цоннецтион и марк_цлиент_пацк за везивање Нетфилтер (ЦОННМАРК) ознака за појединачне пакете или ТЦП везе клијента
Коначно, помиње се да су, пратећи кораке објављених верзија Squid 5.2 и Squid 4.17, исправљене следеће рањивости:
- ЦВЕ-2021-28116-Цурење информација приликом обраде посебно израђених ВЦЦПв2 порука. Рањивост омогућава нападачу да поквари листу познатих ВЦЦП рутера и преусмери саобраћај са проки клијента на његов хост. Проблем се манифестује само у конфигурацијама са омогућеном подршком за ВЦЦПв2 и када је могуће преварити ИП адресу рутера.
- ЦВЕ-2021-41611: грешка при потврђивању ТЛС сертификата који дозвољавају приступ помоћу непоузданих сертификата.
Коначно, ако желите да сазнате више о томе, можете погледати детаље на следећем линку.