Udgivelse af OpenBSD 7.7

OpenBSD 7.7 er blevet frigivet som en fri UNIX-lignende operativsystem. OpenBSD-projektet blev grundlagt af Theo de Raadt i 1995 efter en konflikt med udviklerne af NetBSD, der resulterede i, at Theo mistede adgangen til CVS-repositoriet for NetBSD. Derefter skabte Theo de Raadt sammen med en gruppe ligesindede et nyt åbent operativsystem baseret på kilden fra NetBSD, hvor de primære udviklingsmål var portabilitet (understøttelse af 13 hardwareplatforme), standardisering, korrekt funktion, proaktiv sikkerhed og integrerede kryptografiske værktøjer. Den fulde installations-ISO af basis OpenBSD 7.7-systemet er 746 MB.

Ud over selve operativsystemet er OpenBSD-projektet kendt for sine komponenter, der har fået udbredelse i andre systemer og har vist sig at være nogle af de sikreste og mest kvalitetsløsninger. Blandt dem er: LibreSSL (en fork af OpenSSL), OpenSSH, pakkefiltreringssystemet PF, routingdemonerne OpenBGPD og OpenOSPFD, NTP-serveren OpenNTPD, mailserveren OpenSMTPD, tekstterminalmultiplexer (svarende til GNU screen) tmux, identd-demonen med implementering af IDENT-protokollen, BSDL-alternativet til GNU groff - mandoc, protokollen til etablering af fejltolerante systemer CARP (Common Address Redundancy Protocol), Lette http-server og synkroniseringsværktøjet OpenRSYNC.

Vigtige ændringer:

• Implementeringen af drm (Direct Rendering Manager) frameworket er synkroniseret med Linux-kernen 6.12.21 (i den tidligere version — 6.6.52). I inteldrm-driveren er der tilføjet support til GPU'en, der anvendes i Intel-processorer baseret på mikroarkitekturen Arrow Lake. I amdgpu-driveren er der tilføjet støtte til GPU Ryzen AI 300 (Strix Point, Strix Halo, Krackan Point) og Radeon RX 9070 (Navi 48).
• I porten til ARM64-arkitekturen er der implementeret støtte til SVE (Scalable Vector Extension) vektor instruktioner. På systemer med ARM-chips Apple M1 er der sikret tilstande for energiforbrug. I mekanismen for mapping af fysiske hukommelsessider (pmap, physical mapping) er operationerne for nulstilling af associerede translationsbuffer (TLB) optimeret, hvilket har accelereret kernen kommandoer med cirka 5%. På hardware, der understøtter QARMA3-krypteringen for at beskytte brugerrummet, er pointerautentisering (PAC, Pointer Authentication Code) blevet aktiveret.
• På x86_64-systemer for gæste systemer, der køres vha. QEMU, er der implementeret støtte til AMD SEV (Secure Encrypted Virtualization) mekanismen, der anvendes i virtualiseringssystemer til beskyttelse virtual machines mod indgreb fra hypervisoren eller administratoren af værtsystemet. I psp-driveren, der bruges til at konfigurere og starte gæste systemer med AMD SEV aktiveret, er der tilføjet en kommando til at indlæse firmware til chippen.
• På x86_64-systemer er muligheden for at allokere DMA hukommelsesområder større end 4 GB blevet tilføjet.
• Understøttelsen af RISC-V, Sparc64, HPPA, i386 og Powerpc64 arkitekturer er blevet forbedret.
• Håndteringen af out-of-memory-situationer (OOM) i systemet er blevet forbedret.
• Ptrace-mekanismen har fået funktioner, der gør det muligt at sætte breakpoint i gdb-debuggeren i flertrådede processer. Der er tilføjet kommandoer til at læse og skrive i det område, hvor tilstanden for processoren gemmes i den overvågede proces ved brug af XSAVE-instruktionen.
• I scripts på BT-sproget (BPFtrace eller Bug Tracing), der anvendes i btrace-tracing-systemet, er der tilføjet support for multilinje konstruktioner. Der er tilføjet ekstra profiler og navngivning af tidsintervaller (hz, us, ms, s) til btrace-nyttig.
• Der er tilføjet sysctl-parametret kern.audio.kbdcontrol, som ved indstilling til 0 vil behandle de multimediale lydstyrketaster på tastaturet som almindelige taster.
• Fejlhåndtering er blevet forbedret, og kontroller ved overgangen til dvale og ventetilstande er blevet udvidet.
• Kode for at stoppe processer ved modtagelse af signaler er blevet omarbejdet, hvilket har løst problemer med at stoppe flertrådede processer, der opstod i pakker som golang og mpv.
• Støtten for symmetrisk flerprocessorsystem (SMP) er blevet forbedret. Der sikres parallel drift af TCP-ind- og udgangstimere, og systemopkald send() og recv() er blevet opgraderet til at bruge en fælles lås. Flere brugertråde kan nu køre parallelt med forskellige sockets, og TCP-udgang blokerer ikke længere behandlingen af IP-pakker.

  De globale låse i systemopkald som open, openat, ptsignal, psignal og prsignal er blevet fjernet, sammen med sysctl kern.timeout_stats, kern.allowkmem, kern.video.record, net.inet.gre.allow, net.inet.gre.wccp, kern.global_ptrace, kern.wxabort, kern.malloc.kmemstat. Driverne psp, wsmouse og wstpad samt strukturen video_filtops er blevet gjort mp-sikre.

• I hypervisoren VMM er der implementeret mulighed for at bruge acpipci til tilslutning af PCI-busser.
• Der er givet mulighed for at definere en alternativ politik med ydeevneindstillinger (perfpolicy), der bruges, når systemet kører fra batteri.
• Der er tilføjet muligheden '-f file' til sysctl-kommanden for at indlæse alle indstillinger fra en fil. Den nye mulighed er blevet anvendt i rc-scripts til at indlæse sysctl.conf i sin helhed i stedet for linje-for-linjes bearbejdning.
• Der er implementeret et kald til ldconfig i pkg_add-kommandoen, hvis listen over delte biblioteker er ændret som følge af installationen af nye pakker.
• Understøttelse af nyt hardware er blevet tilføjet. Forbedret støtte til SoC MediaTek og Qualcomm Snapdragon (herunder X Elite). Forbedret støtte til enheder som Samsung Galaxy Book4 Edge, ThinkPad T14 Gen 5, Vivobook, ThinkPad X1 Nano Gen 2, ThinkPad X13 og forskellige Chromebook. Tilføjet ice-driveren til Intel E810 Ethernet 1Gb/10Gb/25Gb/50Gb/100Gb og ixv-driveren til virtuelle funktioner af Intel Ethernet 82598EB, 82559 og X540. Arbejdet med at flytte netværksoperationer til netværkskortene fortsætter.
• I sysupgrade er der implementeret en tilstand for offline opdatering af systemer ved hjælp af pakker gemt i det lokale filsystem.
• I værktøjet fw_update er muligheden for at downloade (ikke installere) firmware tilføjet for almindelige brugere uden root-rettigheder. Tilføjet flaget '-l' for at vise listen over drivere og filer.
• For sshd-auth processen er der aktiveret beskyttelse mod udnyttelse af sårbarheder baseret på tilfældig relinking af eksekverbare filer ved hver systemstart (relink). Relinking gør det vanskeligt at forudsige funktionernes placeringer, hvilket komplicerer oprettelsen af exploits, der bruger metoder til tilbagevendende programmering.
• Isolation af mountd processen er sikret ved hjælp af systemopkaldet unveil.
• I netværksstakken er der implementeret støtte til AF_FRAME sockets og IFT_ETHER protokolfamilien, som giver applikationer mulighed for at sende og modtage Ethernet-rammer. For udgående UDP- og TCP-pakker er der anvendt en ny hashmetode, som optimerer trafikfordeling til køer og øger hastigheden for UDP for IPv4/IPv6 og TCP for IPv6 med betydeligt (~20%). For enheden tun er ioctl TUNSCAP implementeret, og interaktionen mellem kernen og brugerens rum er optimeret. Der er implementeret en separat routing cache for hver tråd. I vio-driveren er multiqueue-tilstand inkluderet.
• I pfctl værktøjet til netværksinterfaces og -køer er det muligt at definere båndbredde, der overstiger 4Gbit.
• I iked, implementationen af IKEv2 protokollen til IPsec, er der tilføjet muligheden 'natt' for at tvinge brugen af nat-t.
• I relayd, background process for omdirigering og load balancing af anmodninger, er der implementeret støtte til klienter. TLS-certifikater.
• Netværksydelsesmåler værktøjet tcpbench har fået tilføjet støtte til TLS.
• I bgpd er der implementeret støtte for RFC 8654 (BGP Extended Message), RFC 8538 (BGP Notification Message), som standard er muligheden 'reject as-set' aktiveret, og Adj-RIB-Out caching er sikret.
• I LibreSSL 4.1.0 er der tilføjet eksperimentel support til arkitekturen loongarch64, nye assembler-implementeringer af algoritmerne SHA-1, SHA-256 og SHA-512 for arkitekturen amd64 (bruger SHA-NI-instruktionen), nye assembler-implementeringer af SHA-256 og SHA-512 for Aarch64 (bruger CE-udvidelsen), en forenklet implementering af MD5 for amd64, samt caching af listen over tilbagekaldte certifikater (CRLs). Implementeringen af ML-KEM 768 og 1024 er overført fra BoringSSL.
• OpenSSH er opdateret. Ændringslisten kan ses i meddelelsen om OpenSSH 10 (understøttelse af DSA digitale signaturer er fjernet, autentificeringsoperationer er flyttet til en separat proces sshd-auth, en hybrid nøgleudvekslingsalgoritme 'mlkem768x25519-sha256' er som standard aktiveret).
• Antallet af porte for arkitekturen AMD64 er 12593 (tidligere 12312), for aarch64 — 12446 (tidligere 12148), for i386 — 10429 (tidligere 10534). Blandt versionerne af applikationerne i portene:
  • Asterisk 16.30.1, 18.26.1, 20.13.0 og 22.3.0
  • Audacity 3.7.3
  • CMake 3.31.6
  • Chromium 135.0.7049.52
  • Emacs 30.1
  • FFmpeg 6.1.2
  • GCC 8.4.0 og 11.2.0
  • GNOME 47
  • Go 1.24.1
  • JDK 8u442, 11.0.26, 17.0.14 og 21.0.6
  • KDE Gears 24.12.3
  • KDE Frameworks 6.12.0
  • KDE Plasma 6.3.3
  • Krita 5.2.9
  • LLVM/Clang 13.0.0, 16.0.6, 18.1.8, 19.1.7
  • LibreOffice 25.2.1.2
  • Lua 5.1.5, 5.2.4, 5.3.6, 5.4.7
  • MariaDB 11.4.5
  • Mono 6.12.0.199
  • Mozilla Firefox 137.0 og ESR 128.9.0
  • Mozilla Thunderbird 128.9.0
  • Mutt 2.2.14 og NeoMutt 20250113
  • Node.js 22.14.0
  • OpenLDAP 2.6.9
  • PHP 8.2.28, 8.3.19 og 8.4.5
  • Postfix 3.10.1
  • PostgreSQL 17.4
  • Python 2.7.18 og 3.12.9
  • Qt 5.15.16 (+ patches fra KDE-projektet) og 6.8.2
  • Ruby 3.2.8, 3.3.7, 3.4.2
  • Rust 1.86.0
  • SQLite 3.49.1
  • Shotcut 25.01.25
  • Sudo 1.9.16p1
  • Suricata 7.0.7
  • Tcl/Tk 8.5.19 og 8.6.16
  • Vim 9.1.1265 og Neovim 0.10.4
  • Xfce 4.20.0
• Komponenter fra tredjeparter i OpenBSD 7.7 er blevet opdateret:
  • Xenocara grafiksamling baseret på X.Org 7.7 med xserver 21.1.16 + patches, freetype 2.13.3, fontconfig 2.15.0, Mesa 23.3.6, xterm 395, xkeyboard-config 2.20, fonttosfnt 1.2.4.
  • LLVM/Clang 16.0.6 (+ patches)
  • GCC 4.2.1 (+ patches) og 3.3.6 (+ patches)
  • Perl 5.40.1 (+ patches)
  • NSD 4.9.1
  • Unbound 1.22.0
  • Ncurses 6.4
  • Binutils 2.17 (+ patches)
  • Gdb 6.3 (+ patches)
  • Awk 20250116
  • Expat 2.7.1
  • zlib 1.3.1 (+ patches)

Kilde: opennet.ru