vydání volně dostupného multiplatformního operačního systému podobného UNIXu . Projekt OpenBSD byl založen Théem de Raadt v roce 1995 po s vývojáři NetBSD, v jehož důsledku byl Theu uzavřen přístup k CVS repozitáři NetBSD. Poté Thee de Raadt se skupinou příznivců vytvořil na základě zdrojového kódu NetBSD novou otevřenou operační systém, jehož hlavními cíli rozvoje se stala přenositelnost ( 12 hardwarových platform), standardizace, správné fungování, aktivní bezpečnost a integrované kryptografické nástroje. Velikost kompletní instalační základního systému OpenBSD 6.7 činí 470 MB.
Kromě samotného operačního systému je projekt OpenBSD znám svými komponenty, které se rozšířily do dalších systémů a prokázaly se jako jedna z nejbezpečnějších a kvalitních řešení. Mezi nimi: ( OpenSSL), , paketový filtr , démony směrování , NTP server , poštovní server , multiplexer textového terminálu (ekvivalent GNU screen) , démon s implementací protokolu IDENT, BSDL alternativa k balíčku GNU groff — , protokol pro organizaci systémů s vysokou dostupností CARP (Common Address Redundancy Protocol), lehký , utilita pro synchronizaci souborů .
Hlavní :
- Souborový systém FFS2, který využívá 64bitové hodnoty času a počtu bloků, je ve výchozím nastavení aktivován v nových instalacích téměř pro všechny podporované architektury místo FFS (s výjimkou landisk, luna88k a sgi).
- Byla přidána nová metoda kontroly oprávnění pro systémové volání, která dále komplikuje zneužití zranitelností. Tato metoda umožňuje vykonávat systémová volání pouze tehdy, pokud jsou prováděna z předem registrovaných oblastí paměti. Pro označení oblastí paměti a aktivaci ochrany byl navržen nový systémový volání msyscall().
- Počet oddílů, které lze vytvořit na jednom disku, se zvýšil z 7 na 15.
- Kód pro analýzu voleb v cron byl přepsán pro podporu getopt-podobných funkcí, jako jsou "-ns" a opakované zadávání stejných příznaků. Pole "options" v crontabu bylo přejmenováno na "flags". Do crontabu byl přidán příznak "-s", který umožňuje, aby byl spuštěn pouze jeden instance úlohy najednou. Byl přidán operátor "~" pro určení náhodné hodnoty času.
- V okně správce cwm byla implementována možnost stanovení velikosti okna v procentuálním poměru k velikosti primárního okna při mřížkovém uspořádání.
- Pro architekturu powerpc došlo k přechodu na používání Clangu jako výchozího a byla zavedena architekturálně nezávislá implementace mplock.
- V apmd byla vylepšena podpora automatického přechodu do režimu spánku a čekání (-z/-Z) — démon nyní reaguje na zprávy o změně stavu nabití baterie zasílané ovladačem řízení napájení. Přechod do spánku probíhá se zpožděním 60 sekund, což uživateli dává čas převzít kontrolu.
- Do vestavěného HTTP serveru byla přidána konfigurační proměnná $REQUEST_SCHEME pro uchování původního protokolu (http nebo https) při přesměrování, a také možnost "strip", která umožňuje použít více chroot v /var/www pro servery FastCGI.
- V utilitě top byla přidána podpora scrollování pomocí kláves 9 a 0.
- Byl představen mechanismus osvobození stránek paměti v opačném pořadí, což výrazně zvyšuje efektivitu aktivního uvolnění velkého počtu stránek.
- Na DNS serveru unbound je ve výchozím nastavení zapnuta kontrola DNSSEC.
- Byly odstraněny globální blokace systémových volání.
__thrsleep(2), __thrwakeup(2), close(2), closefrom(2), dup(2), dup2(2), dup3(2), flock(2), fcntl(2), kqueue(2), pipe(2), pipe2(2) a nanosleep(2), jakož i základní část ioctl(2). - Byla rozšířena podpora hardwaru. Byl přidán nový ovladač iwx pro bezdrátové čipy Intel AX200 a v ovladači iwm byla přidána podpora zařízení Intel 9260 a 9560. Byl přidán ovladač rge pro Realtek 8125 PCI Express 2.5Gb. Bylo navrženo mnoho nových ovladačů pro zlepšení výkonu na deskách arm64 a armv7, včetně přidání podpory pro desku Raspberry Pi 4 a zlepšení podpory pro Raspberry Pi 2 a 3.
- Bylo rozšířeno zvukové subsystémy sndio. Byly přidány API sioctl_open a utilita sndioctl pro správu zvuku přes sndiod. Bylo odstraněno /dev/mixer, místo kterého byly všechny porty převedeny na sndio místo rozhraní mixer jádra. V sndiod byla zajištěna podpora hardwarových mechanismů řízení hlasitosti. Pro zvýšení bezpečnosti byl zakázán přístup běžným uživatelům k /dev/audio* a /dev/rmidi*.
- Ve bezdrátovém stacku bylo přerušeno připojení k jakékoliv dostupné Wi-Fi síti, která nepodporuje šifrování, kromě explicitního vyvolání příkazu „ifconfig join“. Bylo zajištěno spuštění na pozadí skenování dostupných sítí při provádění příkazu „ifconfig scan“ uživatelem root. Byla zvýšena cache výsledků skenování. Byl přidán flag „nwflag nomimo“, který lze nastavit prostřednictvím ifconfig, a který pomáhá zbavit se ztráty paketů v režimu 11n při připojení nepřipojených konektorů pro antény. Pro ovladač bwfm byla přidána podpora aktivního skenování. Bylo zlepšeno automatické přepínání mezi bezdrátovými sítěmi prostřednictvím snížení priority sítí, na které se nepodařilo připojit.
- V síťovém stacku se objevil nový ovladač pppac, do kterého byla přesunuta implementace rozhraní PPP Access Concentrator. Nastavení npppd.conf byla převedena na používání pppac místo tun. Při vypnutém přesměrování paketů byla přidána kontrola shody adresy cíle v paketu s adresou síťového rozhraní. Byla odstraněna podpora mobileip.
- Uživatelům bez root práv je zakázáno používat ioctl k změně adresy síťového rozhraní a k úpravě parametrů rozhraní pppoe.
- V sysupgrade byl zajištěn spuštění aktualizací firmwaru (fw_update) před restartováním během aktualizace.
- Byl vylepšen systémový volání unveil, které zajišťuje izolaci přístupu k souborovému systému. Počet aplikací ze základního systému, pro které byla implementována ochrana pomocí unveil, byl zvýšen na 82. Mezi ně byly převedeny vmstat, iostat a systat.
- Do crypto(3) byla přidána podpora RSA-PSS.
- Do DNS resolveru unwind byla přidána podpora DoT (DNS přes TLS). Přidán příkaz „unwindctl status memory“.
- Byla významně modernizována implementace ipsec. Přidána podpora automatického přesměrování provozu mezi rdomain při šifrování a dešifrování pro ochranu před útoky přes vedlejší kanály. V iked byla přidána podpora pro změnu rdomain a v iked.conf byla přidána možnost ‘rdomain’
Pro iked a isakmpd byl výchozí úroveň IPSEC_LEVEL_REQUIRE, zakazující zpracování nezašifrovaných paketů odpovídajících toku. Do nastavení skupiny Diffie-Hellman pro IKE SA byly přidány algoritmy curve25519, ecp256, ecp384, ecp521, modp3072 a modp4096. V iked byla metoda autentizace ve výchozím nastavení změněna na autentizaci pomocí digitálního podpisu (RFC 7427). Byla přidána nastavení ESN v iked.conf. Byla přidána možnost „-p“ pro výběr nestandardního čísla UDP portu. - Byly rozšířeny možnosti multiplexeru terminálů tmux, přidáno mnoho nových možností.
- Byla aktualizována verze poštovního serveru OpenSMTPD. Ve vestavěných filtrech bylo implementováno klíčové slovo „bypass“ pro přeskočení zpracování za daných podmínek. Bylo povoleno použití jména uživatele aktuálního sezení smtpd ve filtrech. V smtpd.conf bylo v parametrech povoleno použití mail-from a rctp-to.
- Byl aktualizován balíček OpenSSH 8.2, který přidal podporu tokenů dvoufaktorové autentizace FIDO/U2F. Podrobný přehled vylepšení si můžete prohlédnout .
- balíček LibreSSL, ve kterém byla dokončena implementace TLS 1.3 založená na novém konečném automatu a subsystému pro práci se záznamy. Ve výchozím nastavení je zatím aktivována pouze klientská část TLS 1.3, serverovou část plánují aktivovat ve výchozím nastavení v jednom z budoucích vydání. Seznam dalších změn lze vidět v oznámeních o vydání. a .
- Počet portů pro architekturu AMD64 činí 11268, pro aarch64 — 10848, pro i386 — 10715. Byly aktualizovány komponenty od třetích stran, které jsou součástí OpenBSD 6.7:
- Grafický stack Xenocara založený na X.Org 7.7 s xserver 1.20.8 + patche, freetype 2.10.1, fontconfig 2.12.4, Mesa 19.2.8, xterm 351, xkeyboard-config 2.20;
- LLVM/Clang 8.0.1 (s patchem)
- GCC 4.2.1 (s patchemi) a 3.3.6 (s patchemi)
- Perl 5.30.2 (s patchem)
- NSD 4.2.4
- Unbound 1.10.0
- Ncurses 5.7
- Binutils 2.17 (s patchemi)
- Gdb 6.3 (s patchemi)
- Awk z 20. prosince 2012.
- Expat 2.2.8
Zdroj: opennet.ru
