Verze OpenBSD 6.5

Uviděl světlo světa uvolnění svobodného, multiplatformního operačního systému podobného UNIXu OpenBSD 6.5. Projekt OpenBSD byl založen Theem de Raadtem v roce 1995, po konfliktu s vývojáři NetBSD, v jehož důsledku byl Theu uzavřen přístup k CVS repozitáři NetBSD. Poté Thee de Raadt se skupinou příznivců vytvořil na základě zdrojového kódu NetBSD novou otevřenou operační systém, jehož hlavními cíli rozvoje se stala přenositelnost (podporováno 13 hardwarovými platformami), standardizace, správná funkčnost, aktivní bezpečnost a integrované šifrovací prostředky. Velikost plného instalačního ISO obrazu základního systému OpenBSD 6.5 je 407 MB.

Kromě samotného operačního systému je projekt OpenBSD znám svými komponenty, které se rozšířily do dalších systémů a prokázaly se jako jedna z nejbezpečnějších a kvalitních řešení. Mezi nimi: LibreSSL (fork OpenSSL), OpenSSH, paketový filtr PF, démony směrování OpenBGPD a OpenOSPFD, NTP server OpenNTPD, poštovní server OpenSMTPD, multiplexer textového terminálu (ekvivalent GNU screen) tmux, démon identd s implementací protokolu IDENT, BSDL alternativa k balíčku GNU groff — mandoc, protokol pro organizaci systémů s vysokou dostupností CARP (Common Address Redundancy Protocol), lehký HTTP server, utilita pro synchronizaci souborů OpenRSYNC.

Mezi nejvýznamnější změny patří: byla představena přenosná verze bgpd, adaptovaná pro práci v jiných OS, odstranění použití root oprávnění Xenocara a tcpdump, pro amd64 a i386 byl automaticky použit linker LDD, byla výrazně zlepšena podpora MPLS, posílena ochrana proti exploatům se zpětně orientovaným programováním (ROP), přidán jednoduchý rekurzivní DNS server unwind, do jádra byl integrován detektor neurčitého chování, byla představena vlastní implementace utilit rsync.

Hlavní vylepšení:

• Při sestavování pro architektury amd64 a i386 byl automaticky použit linker LDD, vyvíjený projektem LLVM. Pro architekturu mips64 byla přidána podpora sestavení s použitím Clang;
• Nové ovladače pvclock pro paravirtualizovaný časovač KVM a ixl pro Intel Ethernet 700. Ovladač uaudio byl nahrazen novou implementací s podporou USB Audio 2.0.
• Byly vylepšeny ovladače bezdrátových zařízení bwfm, iwn, iwm a athn. Do bezdrátového zásobníku byla přidána podpora pro zprávy RTM_80211INFO, které přenášejí podrobné informace o stavu rozhraní do příkazů dhclient a route. Chování při připojení k bezdrátovým sítím bylo změněno — pokud je k dispozici nastavený seznam automatického připojení, OpenBSD se nyní nepřipojuje k neznámým otevřeným sítím (pro navrácení předchozího chování můžete do seznamu přidat prázdnou síť);
• V síťovém zásobníku byly představeny nové ovladače pseudozařízení bpe (Backbone Provider Edge) a mpip (MPLS IP layer 2). Pro MPLS rozhraní byla přidána podpora nastavení alternativních domén směrování. Byla zajištěna funkce ovladače vlan, která obchází zpracování front a výstup je přímo na rodičovské síťové rozhraní. Do ifconfig byl přidán režim txprio pro řízení kódování priority v hlavičkách tunelovaných paketů (podporováno pro ovladače vlan, gre, gif a etherip);
• V implementaci filtru bpf se objevila možnost aplikace mechanismu odhazování (drop) bez zachycení paketů. Tato funkce byla využita v tcpdump pro filtrování na počáteční fázi příjmu paketu zařízením;
• Instalátor nyní podporuje rdsetroot pro přidání diskového obrazu do RAMDISKu jádra. Byl zajištěn odstranění některých komponentů starších verzí během aktualizace systému;
• Byl vylepšen systémový volání unveil, které zajišťuje izolaci přístupu k souborovému systému. V nové verzi bylo přidáno určení shod týkajících se pracovního adresáře aktuálního procesu při analýze relativních cest. Bylo zakázáno používat stat a access pro omezené komponenty souborových cest. Pro aplikace ospfd, ospf6d, rebound, getconf, kvm_mkdb, bdftopcf, Xserver, passwd, spamlogd, spamd, sensorsd, snmpd, htpasswd a ifstated byla implementována ochrana pomocí unveil;
• V Clang byly vylepšeny prostředky pro blokování použití technik návratového orientovaného programování (ROP), což vedlo k výraznému snížení počtu polymorfních gadgetů, které se vyskytují v výsledných spustitelných souborech pro architektury i386 a amd64;
• V Clang byla zvýšena výkonnost a bezpečnost při použití
  mechanismu ochrany RETGUARD, zaměřující se na ztížení provádění exploitů, postavených na základě výpůjčky kódových útržků a technik návratového programování. Pro zrychlení práce jsou data, pokud je to možné, umístěna do registrů místo na zásobník a při návratu se efektivněji využívá procesorová cache. RETGUARD se také nyní používá místo tradiční ochrany zásobníku na systémech amd64 a arm64;
• Byly vylepšeny nástroje spojené s síťovým zásobníkem: Do pcap-filter byla přidána podpora filtraci paketů MPLS. Do ospfd, ospf6d a ripd byla přidána možnost nastavení priorit směrování. V
  ripd byla přidána ochrana na základě mechanismu pledge. Do ifconfig byly přidány režimy sff a sffdump pro získání diagnostických informací z optických vysílačů;
• Byla představena první verze nového resolveru unwind, zpracovávajícího rekurzivní DNS dotazy a přijímajícího spojení pouze na rozhraní 127.0.0.1.
  Unwind je navržen pro použití na klientských systémech, jako jsou notebooky, pohybující se mezi různými bezdrátovými sítěmi. V případě zjištění blokování DNS provozu v místní síti se unwind přepíná na použití adresy rekurzivního DNS serveru předané prostřednictvím DHCP, ale nadále se pravidelně pokouší provádět rezolving samostatně a jakmile přímé dotazy začnou procházet, vrací se k samostatnému dotazování na DNS servery;
• V bgpd byly provedeny práce na snížení spotřeby paměti, byl přidán jednoduchý optimalizátor pravidel (provádí sloučení pravidel filtrování, které se liší pouze sadami filtrů), byl změněn proces nastavení BGP MPLS VPN, byla přidána podpora IPv6 BGP MPLS VPN, byla realizována funkce „as-override“ pro nahrazení AS souseda místním AS v cestách, byla přidána možnost porovnání s více communitie v jednom pravidle, byly přidány nové charakteristiky porovnávání „*“, „local-as“ a „neighbor-as“, byla vylepšena práce s velkými sadami pravidel, byly přidány nové příkazy pro práci se skupinami sousedních autonomních systémů („bgpctl neighbor group“, „bgpctl show neighbor group“, „bgpctl show rib neighbor group“), v bgpctl byla přidána možnost přidání sítí do tabulek BGP VPN. Poprvé byla připravena přenosná varianta OpenBGPD-portable, která je připravena k práci v systémech odlišných od OpenBSD;
• Byla přidána možnost kubsan pro identifikaci případů neurčitého chování v jádře OpenBSD.
• Nástroj tcpdump byl zcela zbaven použití root privilegií;
• Zlepšena výkonnost malloc v vícevláknových aplikacích;
• Byla přidána počáteční verze programu OpenRSYNC s vlastním provedením nástroje pro synchronizaci souborů rsync;
• Byla aktualizována verze poštovního serveru OpenSMTPD, ve které byl do smtpd.conf přidán nový kritérium porovnávání "from rdns", umožňující vybírat služby na základě zpětného DNS (určení názvu hostitele podle IP). Při vyhledávání v tabulkách byla přidána možnost použití regulárních výrazů;
• Byl aktualizován balíček OpenSSH 8.0, podrobný přehled vylepšení si můžete prohlédnout zde;
• Byl aktualizován balíček LibreSSL, podrobný přehled vylepšení si můžete prohlédnout v oznámeních vydání 2.9.0 a 2.9.1;
• V Mandoc byl výrazně vylepšen výstup do HTML, zlepšeno vykreslování tabulek a byl přidán příznak "-O" pro otevření stránky se definicí zadaného termínu;
• Byly rozšířeny možnosti grafického stacku Xenocara: X server nyní nevyžaduje pro spuštění instalaci s příznakem setuid. V Mesa ovladači radeonsi byla zavedena podpora hardwarového akcelerace pro GPU Southern Islands (Radeon HD 7000) a Sea Islands (Radeon HD 8000);
• Porty v jazyce C++ pro architektury, které nejsou podporovány v Clang, nyní sestavujeme pomocí GCC z portů. Počet portů pro architekturu AMD64 činil 10602, pro aarch64 — 9654, pro i386 — 10535. Mezi aplikacemi v portech byly zaznamenány:
  • Asterisk 16.2.1
  • Audacity 2.3.1
  • CMake 3.10.2
  • Chromium 73.0.3683.86
  • FFmpeg 4.1.3
  • GCC 4.9.4 a 8.3.0
  • GNOME 3.30.2.1
  • Go 1.12.1
  • JDK 8u202 a 11.0.2+9-3
  • LLVM/Clang 7.0.1
  • LibreOffice 6.2.2.2
  • Lua 5.1.5, 5.2.4 a 5.3.5
  • MariaDB 10.0.38
  • Mono 5.18.1.0
  • Mozilla Firefox 66.0.2 a ESR 60.6.1
  • Mozilla Thunderbird 60.6.1
  • Node.js 10.15.0
  • OpenLDAP 2.3.43 a 2.4.47
  • PHP 7.1.28, 7.2.17 a 7.3.4
  • Postfix 3.3.3 a 3.4.20190106
  • PostgreSQL 11.2
  • Python 2.7.16 a 3.6.8
  • R 3.5.3
  • Ruby 2.4.6, 2.5.5 a 2.6.2
  • Rust 1.33.0
  • Sendmail 8.16.0.41
  • SQLite3 3.27.2
  • Suricata 4.1.3
  • Tcl/Tk 8.5.19 a 8.6.8
  • TeX Live 2018
  • Vim 8.1.1048 a Neovim 0.3.4
  • Xfce 4.12
• Složky od třetích stran vstupujících do OpenBSD 6.5:
  • Grafický stack Xenocara na základě X.Org server 1.19.7 s patchemi, freetype 2.9.1, fontconfig 2.12.4, Mesa 18.3.5, xterm 344, xkeyboard-config 2.20;
  • LLVM/Clang 7.0.1 (s patchemi)
  • GCC 4.2.1 (s patchemi) a 3.3.6 (s patchemi)
  • Perl 5.28.1 (s patchemi)
  • NSD 4.1.27
  • Unbound 1.9.1
  • Ncurses 5.7
  • Binutils 2.17 (s patchemi)
  • Gdb 6.3 (s patchemi)
  • Awk Aug 10, 2011
  • Expat 2.2.6

Zdroj: opennet.ru