🥇Релиз на OpenBSD 7.7

Представен е новият вариант на свободната UNIX-подобна операционна система OpenBSD 7.7. Проектът OpenBSD е основан от Тео де Раадт през 1995 г. след конфликт с разработчиците на NetBSD, който му затвори достъпа до CVS репозитория на NetBSD. След това Тео де Раадт и група съмишленици създадоха нова отворена операционна система на базата на изходния код на NetBSD, с основни цели: преносимост (поддържат се 13 хардуерни платформи), стандартизация, коректност, проактивна сигурност и интегрирани криптографски средства. Размерът на пълния инсталационен ISO образ на базовата система OpenBSD 7.7 е 746 MB.

Освен основната операционна система, проектът OpenBSD е известен със своите компоненти, които са се разпространили в други системи и са се доказали като едни от най-сигурните и качествени решения. Сред тях са: LibreSSL (форк на OpenSSL), OpenSSH, пакетен филтър PF, маршрутизиращи демони OpenBGPD и OpenOSPFD, NTP сървър OpenNTPD, пощенски сървър OpenSMTPD, мултиплексор за текстов терминал (аналог на GNU screen) tmux, демон identd с реализиран протокол IDENT, BSDL алтернатива на пакета GNU groff — mandoc, протокол за организиране на отказоустойчиви системи CARP (Common Address Redundancy Protocol), лек http сървър, утилита за синхронизация на файлове OpenRSYNC.

Основни промени:

Реализация на фреймворка drm (Direct Rendering Manager) е синхронизирана с ядрото на Linux 6.12.21 (в предишния 6.6.52). В драйвера inteldrm е реализирана поддръжка на GPU, използван в процесорите Intel на базата на микроархитектура Arrow Lake. В драйвера amdgpu е добавена поддръжка на GPU Ryzen AI 300 (Strix Point, Strix Halo, Krackan Point) и Radeon RX 9070 (Navi 48).
В порта за архитектура ARM64 е реализирана поддръжка на набора векторни инструкции SVE (Scalable Vector Extension). На системи с ARM-чипове Apple M1 е осигурено управление на състоянията на потребление на енергия. Оптимизирани са операциите по изчистване на буфера на асоциативната транслация (TLB) в механизма на мапинга на физически страници памет (pmap, physical mapping), което е ускорило изпълнението на теста за компилиране на ядрото с около 5%. На хардуер, който поддържа шифъра QARMA3, за защита на потребителското пространство е включена аутентификация на указатели (PAC, Pointer Authentication Code).
На системите x86_64 за гостуващи системи, работещи чрез QEMU, е реализирана поддръжка на механизма AMD SEV (Secure Encrypted Virtualization), който се използва в системи за виртуализация за защита виртуални машини от намеса от страна на хипервизора или администратора на хост-системата. В драйвера psp, използван за конфигуриране и стартиране на гостуващи системи с включване на AMD SEV, е добавена команда за зареждане на фърмуер в чипа.
На системите x86_64 е добавена възможността за изолиране на области от паметта с размер над 4 GB за DMA.
Подкрепата за архитектурите RISC-V, Sparc64, HPPA, i386 и Powerpc64 е подобрена.
Подобрена е обработката на ситуации с недостиг на памет в системата (OOM).
В механизмът за проследяване ptrace са добавени функции, които позволяват задаване на точки за прекъсване в отладчика gdb за многонишкови процеси. Добавени са команди за четене и запис на област, в която в проследявания процес се запазва състоянието на процесора при използване на инструкцията XSAVE.
В скриптовете на езика BT (BPFtrace или Bug Tracing), прилагани в системата за проследяване btrace, е добавена поддръжка на многострочни конструкции. В утилитата btrace са добавени допълнителни профили и именувания на времеви интервали (hz, us, ms, s).
Добавен е параметър sysctl kern.audio.kbdcontrol, при задаване на който на 0 мултимедийните клавиши за управление на силата на звука на клавиатурата ще се обработват като обикновени клавиши.
Подобрена е обработката на сривове и разширены проверки при преминаване в спящ и изчакващ режим.
Преработен е кодът за спиране на процеси при получаване на сигнал, което реши проблемите със спирането на многонишкови процеси, проявяващи се в пакети като golang и mpv.
Усъвършенствана е поддръжката на многоядрени системи (SMP). Осигурена е паралелна работа на таймерите за вход и изход TCP, а системните извиквания send() и recv() са преведени на използването на обща блокировка. Няколко потребителски потока сега могат да работят паралелно с различни сокети, а изходът TCP вече не блокира обработката на IP пакети.
От глобалната блокировка са освободени системните извиквания open, openat, ptsignal, psignal и prsignal, както и sysctl kern.timeout_stats, kern.allowkmem, kern.video.record, net.inet.gre.allow, net.inet.gre.wccp, kern.global_ptrace, kern.wxabort, kern.malloc.kmemstat. Драйверите psp, wsmouse и wstpad, както и структурата video_filtops, са преведени в категорията mp-safe.
В хипервизора VMM е реализирана възможността за използване на acpipci за прикачване на PCI шини.
Предоставена е възможността за определяне на алтернативна политика с настройки за производителност (perfpolicy), прилагана при работа на системата от акумулатор.
В командата sysctl е добавена опция „-f file“ за едновременно зареждане на всички настройки от файл. В rc-скриптовете новата опция е приложена за зареждане на sysctl.conf изцяло, вместо построчно.
В командата pkg_add е реализиран извикването на ldconfig, ако в резултат на инсталирането на нови пакети се е променил списъкът на споделените библиотеки.
Добавена поддръжка на нов хардуер. Подобрена е поддръжката на SoC MediaTek и Qualcomm Snapdragon (включително X Elite). Подобрена е поддръжката за устройства като Samsung Galaxy Book4 Edge, ThinkPad T14 Gen 5, Vivobook, ThinkPad X1 Nano Gen 2, ThinkPad X13 и различни Chromebook. Добавен е драйвер ice за Intel E810 Ethernet 1Gb/10Gb/25Gb/50Gb/100Gb и драйвер ixv за виртуални функции на Intel Ethernet 82598EB, 82559 и X540. Продължава работата по изнасяне на изпълнението на мрежови операции на страната на мрежовите карти.
В sysupgrade е реализиран режим за offline-актуализация на системи с използване на пакети, съхранени в локалната файлова система.
В утилитата fw_update е добавена възможnost за зареждане (не инсталиране) на фърмуери от обикновен потребител без права root. Добавен е флаг „-l“ за извеждане на списък с драйвери и файлове.
За процеса sshd-auth е включена защита от експлоатация на уязвимости, базирана на случайно пренареждане на изпълнимия файл при всяко зареждане на системата (relink). Пренареждането прави местоположенията на функциите малко предсказуеми, което затруднява създаването на експлойти, използващи методи за обратно-ориентирано програмиране.
Осигурена е изолация на процеса mountd чрез системен повик unveil.
В мрежовия стек е реализирана поддръжка на сокети AF_FRAME и семейство протоколи IFT_ETHER, позволяващи на приложенията да изпращат и приемат Ethernet кадри. За изходящите UDP и TCP пакети е внедрен нов метод на хеширане, който оптимизира разпределението на трафика по опашките и значително (~20%) ускорява изпращането на UDP за IPv4/IPv6 и TCP за IPv6. За устройството tun е реализирано ioctl TUNSCAP и е оптимизирана взаимодействието между ядрото и пространството на потребителя. Реализиран е отделен кеш за маршрутизиране за всеки поток. В драйвера vio е включен режим multiqueue.
В утилитата pfctl за мрежови интерфейси и опашки е разрешено определянето на пропускателна способност, надхвърляща 4Gbit.
В iked, реализация на протокола IKEv2 за IPsec, е добавена опция „natt“ за принудително използване на nat-t.
В relayd, фонов процес за пренасочване и балансиране на заявки, е реализирана поддръжка на клиентски. на TLS сертификати.
В инструмента за измерване на мрежовата производителност tcpbench е добавена поддръжка за TLS.
В bgpd е реализирана поддръжка на RFC 8654 (BGP Extended Message), RFC 8538 (BGP Notification Message), по подразбиране е активирана опцията „reject as-set“, осигурено е кеширане на Adj-RIB-Out.
В LibreSSL 4.1.0 е добавена експериментална поддръжка за архитектурата loongarch64, предложени са нови асемблерни реализации на алгоритмите SHA-1, SHA-256 и SHA-512 за архитектурата amd64 (включена е инструкцията SHA-NI), нови асемблерни реализации на SHA-256 и SHA-512 за Aarch64 (включено е разширението CE), опростена е реализацията на MD5 за amd64, осигурено е кеширане на списъка с отзовани сертификати (CRLs), от BoringSSL е пренесена реализацията на ML-KEM 768 и 1024.
Обновен е OpenSSH. Списъкът с изменения може да бъде видян в анонса на OpenSSH 10 (премахната е поддръжката на цифрови подписи DSA, операции по аутентификацията са изнесени в отделен процес sshd-auth, по подразбиране е задействан хибриден алгоритъм за обмен на ключове „mlkem768x25519-sha256“).
Броят на портовете за архитектурата AMD64 е 12593 (беше 12312), за aarch64 — 12446 (беше 12148), за i386 — 10429 (беше 10534). Сред версиите на приложенията в портовете:
- Asterisk 16.30.1, 18.26.1, 20.13.0 и 22.3.0
- Audacity 3.7.3
- CMake 3.31.6
- Chromium 135.0.7049.52
- Emacs 30.1
- FFmpeg 6.1.2
- GCC 8.4.0 и 11.2.0
- GNOME 47
- Go 1.24.1
- JDK 8u442, 11.0.26, 17.0.14 и 21.0.6
- KDE Gears 24.12.3
- KDE Frameworks 6.12.0
- KDE Plasma 6.3.3
- Krita 5.2.9
- LLVM/Clang 13.0.0, 16.0.6, 18.1.8, 19.1.7
- LibreOffice 25.2.1.2
- Lua 5.1.5, 5.2.4, 5.3.6, 5.4.7
- MariaDB 11.4.5
- Mono 6.12.0.199
- Mozilla Firefox 137.0 и ESR 128.9.0
- Mozilla Thunderbird 128.9.0
- Mutt 2.2.14 и NeoMutt 20250113
- Node.js 22.14.0
- OpenLDAP 2.6.9
- PHP 8.2.28, 8.3.19 и 8.4.5
- Postfix 3.10.1
- PostgreSQL 17.4
- Python 2.7.18 и 3.12.9
- Qt 5.15.16 (+ пачки от проекта KDE) и 6.8.2
- Ruby 3.2.8, 3.3.7, 3.4.2
- Rust 1.86.0
- SQLite 3.49.1
- Shotcut 25.01.25
- Sudo 1.9.16p1
- Suricata 7.0.7
- Tcl/Tk 8.5.19 и 8.6.16
- Vim 9.1.1265 и Neovim 0.10.4
- Xfce 4.20.0
Актуализирани са компонентите на трети разработчици, включени в OpenBSD 7.7:
- Графичният стек Xenocara на базата на X.Org 7.7 с xserver 21.1.16 + пачове, freetype 2.13.3, fontconfig 2.15.0, Mesa 23.3.6, xterm 395, xkeyboard-config 2.20, fonttosfnt 1.2.4.
- LLVM/Clang 16.0.6 (+ патчи)
- GCC 4.2.1 (+ патчи) и 3.3.6 (+ патчи)
- Perl 5.40.1 (+ патчи)
- NSD 4.9.1
- Unbound 1.22.0
- Ncurses 6.4
- Binutils 2.17 (+ патчи)
- Gdb 6.3 (+ патчи)
- Awk 20250116
- Expat 2.7.1
- zlib 1.3.1 (+ патчи)

Източник: opennet.ru

Излезе версия 7.7 на OpenBSD