Издание на OpenBSD 7.4

Представен е издаването на свободната UNIX-подобна операционна система OpenBSD 7.4. Проектът OpenBSD е основан от Тэо де Раадтом (Theo de Raadt) през 1995 година след конфликт с разработчиците на NetBSD, в резултат на който достъпът на Тэо до CVS репозиторията на NetBSD беше затворен. След това Тэо де Раадт с група съмишленици създаде на базата на дървото на изходните текстове на NetBSD нова отворена операционна система, основните цели на развитието на която станаха преносимост (поддържат се 13 хардуерни платформи), стандартизация, коректна работа, проактивна безопасност и интегрирани криптографски средства. Размерът на пълния инсталационен ISO образ на базовата система OpenBSD 7.4 е 630 МБ.

Освен основната операционна система, проектът OpenBSD е известен със своите компоненти, които са се разпространили в други системи и са се доказали като едни от най-сигурните и качествени решения. Сред тях са: LibreSSL (форк на OpenSSL), OpenSSH, пакетен филтър PF, маршрутизиращи демони OpenBGPD и OpenOSPFD, NTP сървър OpenNTPD, пощенски сървър OpenSMTPD, мултиплексор за текстов терминал (аналог на GNU screen) tmux, демон identd с реализиран протокол IDENT, BSDL алтернатива на пакета GNU groff — mandoc, протокол за организиране на отказоустойчиви системи CARP (Common Address Redundancy Protocol), лек http сървър, утилита за синхронизация на файлове OpenRSYNC.

Основни подобрения:

• За архитектурите amd64 и i386 са добавени компоненти за обновление на микрокода за процесори AMD. Новите версии на микрокода се инсталират автоматично при зареждане. За разпространение на бинарните файлове с микрокода е подготвен порт «ports/sysutils/firmware/amd». Инсталирането на новия микрокод се извършва с помощта на стандартната утилита fw_update. Аналогична поддръжка за обновление на микрокода за процесори Intel беше реализирана през 2018 година и предложена в изданието OpenBSD 6.3.
• За ядрото и пространството на потребителя са включени механизми за защита IBT (Indirect Branch Tracking, amd64) и BTI (Branch Target Identification, arm64), предназначени за блокиране на нарушаването на нормалния ред на изпълнение (control flow) в резултат на използването на експлойти, променящи съхраняваните в паметта указатели на функции (въведената защита не позволява на злонамерения код да извърши преход към средата на функцията).
• В системите с архитектура arm64 за защита на пространството на потребителя е включена аутентификация на указателите (Pointer Authentication). Технологията позволява използването на специализирани инструкции ARM64 за проверка на адресите за връщане с помощта на цифрови подписи, които се съхраняват в неизползваните горни битове на самия указател.
• Настройките на системния компилатор clang, както и clang и gcc от портовете, са променени, за да се приложат гореспоменатите механизми за защита, което значително увеличи защитата на всички основни приложения и повечето приложения от портовете от експлоити, които използват методи на връщане-ориентирано програмиране (ROP — Return-Oriented Programming). При използване на техниката ROP, нападателят не се опитва да постави своя код в паметта, а работи с вече налични в заредените библиотеки парчета машинни инструкции, завършващи с инструкция за връщане на управлението (обикновено, това са окончания на библиотечни функции). Работата на експлоита се свежда до изграждане на верига от извиквания на подобни блокове („гаджети“) за получаване на необходимата функционалност.
• Добавен е нов системен извикване kqueue1, което се различава от kqueue чрез предаване на флагове. В момента kqueue1 поддържа само флага O_CLOEXEC (close-on-exec) за автоматично затваряне на файловите дескриптори в дочерния процес след извикване на exec().
• За архитектурите amd64 и i386 е реализирана поддръжка на псевдоустройството dt за организиране на динамично трасиране на системата и приложенията. За да се добавят потребителски записи в лог ktrace, е добавен системен извикване utrace.
• От FreeBSD са пренесени поправки, които отстраняват неопределено поведение при използване на файловите системи MS-DOS.
• Изключена е опцията за монтиране softdep, използвана за отложена групова запис на метаданни.
• На приложения, защитени чрез системния извикване unveil, е разрешено запазването на core-дампове в текущата работна директория.
• За архитектурата ARM64 е активирана възможността за преминаване в дълбоки неактивни състояния (idle), налични в чиповете Apple M1/M2, с цел икономия на енергия и реализиране на режим на изчакване.
• Добавена е обходна защита от уязвимостта Zenbleed в процесорите AMD.
• Поддръжката за многопроцесорни системи (SMP) е усъвършенствана. Премахнати са блокировките във функцията arprequest(), кода за обработка на входящите ARP пакети и реализирането на определянето на съседни възли в стека IPv6.
• Интерфейсът за синхронизиране на таблиците на пакетния филтър pfsync е пренаписан, за да се подобри работата с блокировките и съвместимостта с бъдещата работа по паралелизирането на мрежовия стек.
• Реализация на рамката drm (Direct Rendering Manager) е синхронизирана с ядрото Linux 6.1.55 (в предишното издание — 6.1.15). Подобрено е представянето на системи с Intel процесори на база микроархитектурите Alder Lake и Raptor Lake.
• Внесени са подобрения в хипервизора VMM. В vmd е реализирана поддръжка на многопроцесорна модел за блочни и мрежови virtio-устройства. В блочното virtio-устройство е добавена поддръжка на векторен вход/изход в режим zero-copy. Ограничен е достъпът на гостите до p-state режимите на AMD процесорите. виртуални машини На собствениците е разрешено чрез vmctl да пренастроят зарежданото ядро.
• Добавен е нов заглавен файл uchar.h с типовете char32_t и char16_t и функциите c32rtomb(), mbrtoc32(), c16rtomb() и mbrtoc16(), определени в стандарта C11.
• В функцията malloc е добавена опция "D" за откриване на течове на памет при помощта на ktrace ("MALLOC_OPTIONS=D ktrace -tu program") и kdump ("kdump -u malloc …").
• В утилитата make е добавена поддръжка на променливата ${.VARIABLES} за извеждане на имената на всички зададени глобални променливи.
• В утилитата kdump е добавена опция "-u" за избор на точки за проследяване utrace по зададена етикет.
• В утилитата openrsync са добавени опциите "—size-only" и "—ignore-times".
• В cron и crontab е добавена поддръжка на случайни измествания при задаване на диапазони с определен стъпков размер, което позволява избягване на едновременни заявки за ресурси от различни машини, които имат идентични правила в cron. Например, задаването на "0~59/30" или "~/30" в полето за минути ще доведе до стартиране на командата два пъти на час през последователно случайно избрани интервали.
• В утилитата wsconsctl е добавена възможност за мапинг на бутони за натискане с два или три пръста на тъчпада.
• Добавена е поддръжка на ново оборудване и включени са нови драйвери.
• Подобрена е инсталацията на системи с armv7 и arm64 процесори.
• Добавена е поддръжка за зареждане на файлове от системния дял EFI (EFI System Partition).
• В инсталатора е подобрена поддръжката за софтуерни RAID (softraid). Добавена е възможността за разполагане на основния дял в softraid на системи riscv64 и arm64. Softraid е добавен в ramdisk за архитектурата powerpc64. За arm64 е реализирана поддръжка за криптиране на дискове (Guided Disk Encryption).
• В функцията malloc е добавена проверка на всички блокове в списъка с отложено освобождаване на паметта за откриване на ситуации за запис в освободена област на паметта.
• За изпълнение на командата shutdown сега е необходимо добавяне на потребител в групата «_shutdown», която позволява разделяне на правомощията, свързани със завършване на работа и директно четене от дискови устройства.
• Системният повик unveil ограничава достъпа на утилитата patch само до текущата директория, директорията с временни файлове и файловете, изброени в командния ред.
• Добавен е sysctl net.inet6.icmp6.nd6_queued за показване на броя пакети, очакващи отговор ND6 (подобно на ARP).
• При настройка на IPv6 адрес на мрежовия интерфейс е осигурено изпращането на анонси до съседни маршрутизатори на multicast адрес.
• Добавена е начална поддръжка за TSO (TCP Segmentation Offload) и LRO (TCP Large Receive Offload) за обработка на сегменти и обединяване на пакети на страна на мрежовата карта.
• Ускорено е зареждането от ядрото на правилата за пакетен фильтър pf с помощта на утилитата pfctl. Включена е обработка на действията «keep state» и «nat-to» за връщаните чрез ICMP съобщения за грешки.
• Изчисленията на контрольни суми IP, TCP и UDP за loopback интерфейсите са деактивирани.
• Добавена е начална поддръжка VPN IPsec, зависещи от маршрутизацията (route-based).
• В bgpd е добавена поддръжка на Flowspec (RFC5575, засега се поддържа само анонсиране на правила flowspec). Реализацията на ASPA (Autonomous System Provider Authorization) е приведена в съответствие с спецификациите draft-ietf-sidrops-aspa-verification-16 и draft-ietf-sidrops-aspa-profile-16 и е прехвърлена на употреба на търсачки, независими от AFI (Address Family Indicator).
• Производителността на rpki-client е увеличена с 30-50%. Добавена е поддръжка за компресия gzip и deflate.
• Актуализирани са пакетите LibreSSL и OpenSSH. Подробен преглед на подобренията може да се види в прегледите на LibreSSL 3.8.0, OpenSSH 9.4 и OpenSSH 9.5.
• Броят на портовете за архитектурата AMD64 е 11845 (беше 11764), за aarch64 — 11508 (беше 11561), за i386 — 10603 (беше 10572). Сред версиите на приложенията в портовете:
  • Asterisk 16.30.1, 18.19.0, 20.4.0
  • Audacity 3.3.3
  • CMake 3.27.5
  • Chromium 117.0.5938.149
  • Emacs 29.1
  • FFmpeg 4.4.4
  • GCC 8.4.0 и 11.2.0
  • GHC 9.2.7
  • GNOME 44
  • Go 1.21.1
  • JDK 8u382, 11.0.20 и 17.0.8
  • KDE Applications 23.08.0
  • KDE Frameworks 5.110.0
  • Krita 5.1.5
  • LLVM/Clang 13.0.0 и 16.0.6
  • LibreOffice 7.6.2.1
  • Lua 5.1.5, 5.2.4, 5.3.6 и 5.4.6
  • MariaDB 10.9.6
  • Mono 6.12.0.199
  • Mozilla Firefox 118.0.1 и ESR 115.3.1
  • Mozilla Thunderbird 115.3.1
  • Mutt 2.2.12 и NeoMutt 20230517
  • Node.js 18.18.0
  • OpenLDAP 2.6.6
  • PHP 7.4.33, 8.0.30, 8.1.24 и 8.2.11
  • Postfix 3.7.3
  • PostgreSQL 15.4
  • Python 2.7.18, 3.9.18, 3.10.13 и 3.11.5
  • Qt 5.15.10 и 6.5.2
  • R 4.2.3
  • Ruby 3.0.6, 3.1.4 и 3.2.2
  • Rust 1.72.1
  • SQLite 3.42.0
  • Shotcut 23.07.29
  • Sudo 1.9.14.2
  • Suricata 6.0.12
  • Tcl/Tk 8.5.19 и 8.6.13
  • TeX Live 2022
  • Vim 9.0.1897 и Neovim 0.9.1
  • Xfce 4.18
• Обновени са компонентите на трети разработчици, влизащи в състава на OpenBSD 7.3:
  • Графичният стек Xenocara, базиран на X.Org 7.7 с xserver 21.1.8 + пачове, freetype 2.13.0, fontconfig 2.14.2, Mesa 22.3.7, xterm 378, xkeyboard-config 2.20, fonttosfnt 1.2.2.
  • LLVM/Clang 13.0.0 (+ пачове)
  • GCC 4.2.1 (+ пачове) и 3.3.6 (+ пачове)
  • Perl 5.36.1 (+ пачове)
  • NSD 4.7.0
  • Unbound 1.18
  • Ncurses 5.7
  • Binutils 2.17 (+ патчи)
  • Gdb 6.3 (+ пач)
  • Awk 12.9.2023
  • Expat 2.5.0.

Източник: opennet.ru