ubuntuusers.de

Ein Qualys-Scan meines Servers (VM, leider vor längerer Zeit mittels Desktop-Version Ubuntu installiert) bemängelt, dass PQC nicht aktiviert ist. Nun habe ich eine Anleitung gefunden, die die Konfiguration ganz gut erklärt, aber es folgte ein weiterer Beitrag, dass all dass unnötig ist, wenn man Postfix ab 3.11 einsetzt.

Wie ich die Package Repositories lese, gibt es selbst in stonking noch keinen neueren Postfix. Es ist wie bei resolute auch Version 3.10.6. Bei Debian ist es wenigstens 3.10.12 in "normalen" Repositories und 3.11.5 ist in testing bzw. unstable verfügbar.

Lese ich das alles richtig?

Ist es sinnvoll möglich, ein Postfix-Upgrade vorzunehmen? Wie? Wenn nein: Wie ist der Zeitplan, wann soll ein Postfix > 3.11 für Ubuntu kommen?

Ich würde es gerne vermeiden wollen, die temporäre Konfiguration von X25519MLKEM768 in Postfix vorzunehmen, nur um das ein halbes bis ganzes Jahr später alles wieder rauszuwerfen. Da würde ich lieber (wenn absehbar) warten oder einen aktuelleren Postfix manuell installieren wollen, bis 3.11.x seitens Ubuntu ausgeliefert wird. Sicher ist PQC derzeit noch nicht erforderlich, ich möchte aber bei solchen Sicherheitsfragen gerne möglichst aktuell bzw. vornedran sein.

Glaubst du, einen aktuelleren Postfix manuell zu installieren wäre einfacher als Postfix 3.10.6 für PQC zu konfigurieren?

Naja, wie du willst. Hier ist eine Anleitung: SimpleBackportCreation. Musst natürlich coreutils durch postfix ersetzen.

Eine Anmerkung. Wenn du so wie beschrieben vorgehst, wird im Schritt dch --bpo ein Changelog-Eintrag mit falscher Version und Codename erstellt, etwa

postfix (3.11.5-0~bpo13+1) trixie-backports; urgency=medium

Du sollst das manuell ändern, z.B.

postfix (3.11.5-0~bpo26.04+0gantim1) resolute-backports; urgency=medium

Alternativ kannst du auch backportpackage aus dem Paket ubuntu-dev-tools einsetzen. Das wäre bestimmt noch einfacher, vorausgesetzt du hast die Manpage gelesen, verstanden und passende Optionen gewählt. Sorry, ich kenne keine Anleitung, die das erklärt. Dein Befehl wird ungefär so aussehen:

backportpackage --dont-sign -w postfix -s sid -d resolute postfix 

Kannst auch noch -b hinzufügen, dann wird es gleich gebaut.* Ich ziehe aber vor, nur ein Quell-Paket automatisch zu erstellen, dann zu prüfen ob alles in Ordnung ist, und nur dann ein DEB manuell zu bauen. Überhaupt, der in Debian-Wiki beschriebene Weg ist mir lieber, auch wenn etwas umständlicher. Gibt mir mehr Kontrolle.

* – vorausgesetzt, du hast zuvor pbuilder bzw. sbuild eingerichtet. Ansonsten musst du manuell bauen: mit debuild oder, wie in Debian-Wiki beschrieben, mit dpkg-buildpackage.

Einfacher ist nicht die einzige Frage. Sicher werden auch Fehler festgestellt. Ich würde einer Version 3.10.12 eher zutrauen, dabei alles richtig zu machen, wenn man Postfix für PQC konfiguriert, als der Version 3.10.6. Mir ist klar, dass eine manuelle Installation Aufwand und Risiken bedeutet und danke herzlich für die gegebenen Hinweise.

Ist die reguläre Verteilung von Postfix >3.11 bei Ubuntu zu erwarten, also dass der Postfix 3.11 for stonking noch bereitgestellt werden wird oder ist mit einer längeren Wartezeit zu rechnen, weil stonking vor dem freeze (am 20.8. - das ist bald) eher keinen neuen Postfix erhält? Als nicht-LTS sollte stonking prinzipiell eher etwas Update-freudiger sein, richtig?

Ja, es ist zu erwarten. Postfix 3.11.4 ist seit dem 02.07.26 in stonking-proposed:

https://launchpadlibrarian.net/867266241/postfix_3.11.4-1ubuntu1_source.changes

Am 24.07.26 gab es schon ein Rebuild:

https://launchpadlibrarian.net/870630956/postfix_3.11.4-1ubuntu2_source.changes

P.S. Ich habe jetzt auch noch ein PPA gefunden:

waggybytes/+archive/ubuntu/postfix