Bylo uvedeno vydání svobodného UNIX-podobného operačního systému OpenBSD 7.5. Projekt OpenBSD byl založen Théo de Raadt v roce 1995 po konfliktu s vývojáři NetBSD, kvůli kterému byl Théo uzavřen přístup k CVS repozitáři NetBSD. Po tom Théo de Raadt s skupinou sympatizantů vytvořil na základě zdrojového kódu NetBSD nový otevřený operační systém, jehož hlavními cíli vývoje jsou přenositelnost (podporuje 13 hardwarových platforem), standardizace, správný chod, proaktivní bezpečnost a integrované kryptografické prostředky. Velikost kompletní instalační ISO obrazu základního systému OpenBSD 7.5 činí 630 MB.
Kromě samotného operačního systému je projekt OpenBSD známý svými komponenty, které se rozšířily do dalších systémů a prokázaly se jako jedny z nejbezpečnějších a nejkvalitnějších řešení. Mezi ně patří: LibreSSL (fork OpenSSL), OpenSSH, paketový filtr PF, směrovací démoni OpenBGPD a OpenOSPFD, NTP server OpenNTPD, poštovní server OpenSMTPD, multiplexor textového terminálu (analog GNU screen) tmux, démon identd s implementací protokolu IDENT, BSDL alternativa k balíku GNU groff — mandoc, protokol pro organizaci odolných systémů CARP (Common Address Redundancy Protocol), lehký http server, nástroj pro synchronizaci souborů OpenRSYNC.
Hlavní vylepšení:
- Do instalátoru byla přidána podpora šifrování kořenového oddílu. V automatizovaném režimu instalace (autoinstall) je nyní možné povolit šifrování disků s zadáním hesla v otevřeném textu nebo poskytnutím klíčů na samostatném nosiči. Sestavení pro architekturu AMD64 cdXX.iso a installXX.iso byla přizpůsobena pro spuštění v režimu EFI.
- Byl přidán systémový volací mechanismus pinsyscalls, který umožňuje povolit přístup k systémovým voláním pouze z určitých míst v adresním prostoru procesu. Jádro a ld.so mohou registrovat přesné místo vstupu pro každé systémové volání, které používá program a knihovna libc.so, pro následné zablokování odesílání systémových volání z nezaregistrovaných míst.
- Byla odstraněna podpora nepřímého přístupu k systémovým voláním pomocí funkce syscall. V kombinaci s pinsyscalls toto změna umožňuje zakázat přímý přístup k systémovým voláním bez používání obalů poskytovaných v libc. Balíčky, které obsahují přímý přístup k systémovým voláním, jako Perl a Go, byly modifikovány tak, aby používaly pouze funkce libc.
- Na systémech ARM64 bylo rozšířeno použití mechanismů autentizace ukazatelů (PAC - Pointer Authentication) a identifikace větvení (BTI - Branch Target Identification).
- Do síťového rozhraní ppp byla přidána podpora IPv6.
- V nástroji netstat byla implementována výstupní statistika o efektivitě kešování tras (ve výstupu „netstat -s“ nyní ukazují počítače zásahů a missů keše).
- V balíkovém filtru pf byly zohledněny změny v síťovém zásobníku související s paralelizací operací na vícejádrových systémech. Při provádění nástroje tcpdump se síťovým rozhraním pflog je zajištěno zobrazení paketů, které byly odmítnuty při spuštění pravidla s výchozím chováním „block“. Pro pravidla s chováním „pass“ je zajištěno zobrazení blokovaných neplatných paketů. Do divert byla přidána kontrola správnosti nastavení možností v paketech IPv4.
- Byla vylepšena podpora vícejádrových systémů (SMP). Zpracovatelé časových limitů v síťovém zásobníku, počítání paketů pro rozhraní loopback a modul vscsi_filtops byly převedeny do kategorie mp-safe. Byla zajištěna možnost paralelního provádění systémových volání bind a connect, stejně jako operací s tabulkami UDP pro IPv4 a IPv6. Byla přidána podpora současného odesílání UDP paketů z různých vláken.
- Byla vylepšena správa situací přetížení swapu, byly přidány změny k vyloučení vzájemných blokací.
- V jádře pro systémy arm64 bylo implementováno cachování obsahu poolů tabulek stránek paměti a PTE-deskriptorů, což významně zrychlilo funkčnost na vícejádrových systémech.
- Byla provedena vylepšení v hypervizoru VMM. Implementace zařízení vionet byla přepracována pro podporu vícevláknovosti a přenosu dat mezi hostitelským a hostovaným systémem v režimu zero-copy, bez mezipaměťování. Byla zvýšena stabilita fungování hypervizoru na systémech s instrukcemi Intel VMX. Byla přidána další ochrana před nedávno zjištěnými zranitelnostmi v procesorech souvisejícími s spekulativním vykonáváním instrukcí a úniky zbytkových dat z registrů.
- Pro systémy amd64 byl přidán sysctl machdep.retpoline pro správu zapnutí mechanismu retpoline pro ochranu proti útokům třídy Spectre.
- Implementace frameworku drm (Direct Rendering Manager) byla synchronizována s jádrem Linux 6.6.19 (v minulém vydání — 6.1.55).
- Byla přidána podpora nového hardwaru a byly zahrnuty nové ovladače spojené se součástmi různých SoC, podporou Ethernetových kontrolérů a přesunem provádění síťových operací na stranu síťových karet.
- V zvukovém subsystému uaudio bylo povoleno připojení několika ovladačů pro zvuková zařízení.
- Byly přidány ovladače apldcp a apldrm pro displejové kontroléry používané v zařízeních Apple. Pro Apple Powerbook byla implementována funkce ovládání podsvícení klávesnice.
- Byl přidán ovladač qwx pro bezdrátové čipy Qualcomm IEEE 802.11ax, vytvořený portováním ovladače ath11k z jádra Linux (součást jádra od verze 5.6). Ovladač umožňuje využívat bezdrátové adaptéry používané v noteboocích jako Lenovo ThinkPad X13s a DELL XPS 9500. Pro fungování ovladače je nutná instalace souborů s firmwarem.
- Do aplikace pax byla přidána možnost zápisu do pax archívů, a do utility tar byla přidána podpora pax archívů větších než 8 GB.
- Do aplikace ifconfig byla přidána podpora pro uvádění portových čísel pro tunelové síťové rozhraní, jako jsou gif a gre.
- V bgpd byl mechanismus výměny zpráv a většina parserů protokolů převedena na nové API pro bezpečnou práci s pamětí.
- V rpki-client byla přidána experimentální podpora algoritmu digitálních podpisů P-256. Byla implementována možnost omezení působnosti RPKI Trust Anchor pouze na určité čísla autonomních systémů. Byla přidána podpora pro seznamy podepsaných prefiksů RPKI (Signed Prefix List).
- V smtpd byla přidána podpora RFC 7505 (‘Null MX’ pro identifikaci, které nepřijímají poštu) a byla umožněna integrace vícenásobných tabulek a seznamů s filtry do smtpd.conf. domén.Byla poskytnuta možnost instalace uživatelského prostředí KDE Plasma 5.27 z balíčků kde-plasma a kde-plasma-extra (po ukončení podpory KDE4 zůstala podpora používání desktopu KDE Plasma 5 v OpenBSD nefunkční). Pro instalaci jsou navrženy verze KDE Plasma 5.27.10, KDE Applications 23.08.4 a KDE Frameworks 5.115.0.
- Byly aktualizovány balíčky LibreSSL a OpenSSH. Podrobný přehled vylepšení lze najít v recenzích LibreSSL 3.9.0, OpenSSH 9.6 a OpenSSH 9.7.
- Počet portů pro architekturu AMD64 činí: 12309 (bylo 11845), pro aarch64 — 12145 (bylo 11508), pro i386 — 10830 (bylo 10603). Mezi verzemi aplikací v portech:
- Asterisk 16.30.1, 18.21.0, 20.6.0
- Audacity 3.4.2
- CMake 3.28.3
- Chromium 122.0.6261.111
- Firefox 123.0.1, ESR 115.8.0
- FFmpeg 4.4.4
- GCC 8.4.0, 11.2.0
- GHC 9.6.4
- GNOME 45
- Go 1.22.1
- JDK 8u402, 11.0.22, 17.0.10, 21.0.2
- Krita 5.2.2
- LLVM/Clang 13.0.0, 16.0.6, 17.0.6
- LibreOffice 24.2.1.2
- Lua 5.1.5, 5.2.4, 5.3.6, 5.4.6
- MariaDB 10.9.8
- Mutt 2.2.13 a NeoMutt 20240201
- Mono 6.12.0.199
- Node.js 18.19.1
- OCaml 4.14.1
- OpenLDAP 2.6.7
- PHP 7.4.33, 8.0.30, 8.1.27, 8.2.16, 8.3.3
- Postfix 3.8.6
- PostgreSQL 16.2
- Python 2.7.18, 3.9.18, 3.10.13, 3.11.8
- Qt 5.15.12 (+ opravy kde), 6.6.1
- Ruby 3.1.4, 3.2.3, 3.3.0
- R 4.2.3
- Rust 1.76.0
- SQLite 3.44.2
- Sudo 1.9.15.5
- Shotcut 23.07.29
- Suricata 7.0.3
- Struktura společenství 6.0.0
- Tcl/Tk 8.5.19, 8.6.13
- TeX Live 2023
- Thunderbird 115.8.1
- Vim 9.1.139, Neovim 0.9.5
- Xfce 4.18.1
- Byly aktualizovány komponenty od třetích stran obsažené v OpenBSD 7.5:
- Grafický stack Xenocara na bázi X.Org 7.7 s xserver 21.1.11 + patche, freetype 2.13.0, fontconfig 2.14.2, Mesa 23.1.9, xterm 378, xkeyboard-config 2.20, fonttosfnt 1.2.3.
- LLVM/Clang 16.0.6 (+ patche)
- GCC 4.2.1 (+ patche) a 3.3.6 (+ patche)
- Perl 5.36.3 (+ patche)
- NSD 4.8.0
- Unbound 1.18
- Ncurses 5.7
- Binutils 2.17 (+ patche)
- Gdb 6.3 (+ patche)
- Awk 22.01.2024
- Expat 2.6.0.
- zlib 1.3.1 (+ patche).
Zdroj: opennet.ru
