Udgivelsen af OpenBSD 6.5

Så dagens lys udgivelsen af et frit, tværplatform UNIX-lignende operativsystem OpenBSD 6.5. OpenBSD-projektet blev grundlagt af Theo de Raadt i 1995, efter en konflikt med udviklerne af NetBSD, hvilket førte til, at Theo blev nægtet adgang til CVS-repositoriet for NetBSD. Efter dette skabte Theo de Raadt sammen med en gruppe ligesindede et nyt åbent operativsystem baseret på kildekoden fra NetBSD, hvis hovedmål blev bærbarhed (understøttes 13 hardwareplatforme), standardisering, korrekt funktion, aktiv sikkerhed og integrerede kryptografiske værktøjer. Størrelsen på det fulde installationsprogram ISO-billede af den grundlæggende OpenBSD 6.5-system er 407 MB.

Ud over selve operativsystemet er OpenBSD-projektet kendt for sine komponenter, som er blevet udbredt i andre systemer og har vist sig at være nogle af de sikreste og mest kvalitetssikrede løsninger. Blandt dem er: LibreSSL (en fork af OpenSSL), OpenSSH, en pakkefilter PF, routingdemonerne OpenBGPD og OpenOSPFD, NTP-serveren OpenNTPD, postserveren OpenSMTPD, terminal multiplexoren (svarende til GNU screen) tmux, daemon identd med implementering af IDENT-protokollen, BSDL-alternativ til GNU groff-pakken — mandoc, protokol til opbygning af fejlfindingssystemer CARP (Common Address Redundancy Protocol), en letvægts HTTP-server, filsynkroniseringsværktøjet OpenRSYNC.

Blandt de mest bemærkelsesværdige ændringer: en bærbar version af bgpd, tilpasset til at arbejde i andre operativsystemer, fjernelse af brugen af root-rettigheder i Xenocara og tcpdump, som standard anvendelse af LDD-linkeren for amd64 og i386, betydelig forbedring af MPLS-understøttelsen, styrket beskyttelse mod exploits gennem return-oriented programming (ROP), tilføjet en simpel rekursiv DNS-server unwind, integration af en detektor for udefineret opførsel i kernen, samt præsentationen af en egen implementering af rsync.

Vigtige forbedringer:

• Ved bygning for amd64- og i386-arkitekturer anvendes som standard LDD-linkeren, der udvikles af LLVM-projektet. For mips64-arkitekturen er der tilføjet understøttelse af bygning ved hjælp af Clang;
• Nye drivere pvclock til den paravirtualiserede KVM-timer og ixl til Intel Ethernet 700. Driveren uaudio er blevet erstattet med en ny implementering med understøttelse af USB Audio 2.0.
• Drivere til trådløse enheder bwfm, iwn, iwm og athn er forbedret. Den trådløse stak har fået tilføjet understøttelse af RTM_80211INFO-beskeder til overførsel af detaljerede oplysninger om interface-tilstanden til dhclient- og route-kommanderne. Adfærden ved tilslutning til trådløse netværk er ændret - med en konfigureret liste over automatisk tilslutning, forbinder OpenBSD nu ikke til ukendte åbne netværk (for at genskabe tidligere adfærd kan der tilføjes et tomt netværk til listen);
• I netværksstakken er der præsenteret nye drivere til pseudoudstyr bpe (Backbone Provider Edge) og mpip (MPLS IP lag 2). For MPLS-interfaces er der tilføjet understøttelse af konfiguration af alternative routing-domæner. Driveren vlan fungerer i omgåelse af købehandling med direkte output til det overordnede netværksinterface. I ifconfig er der tilføjet en txprio-tilstand til styring af prioriteringskode i overskrifterne af tunnelpakker (understøttet for drivere vlan, gre, gif og etherip);
• Implementeringen af bpf-filteret har givet mulighed for at anvende en drop-mekanisme uden at fange pakker. Denne funktion er aktiveret i tcpdump til filtration i det tidlige trin af indtrængning af pakken i enheden;
• Installerprogrammet har understøttelse af rdsetroot tilføjelse af diskbilledet til RAMDISK i kernen. Nogle komponenter fra gamle versioner er blevet fjernet under systemopdatering;
• Systemopkaldet er blevet forbedret unveil, som sikrer isolering af adgang til filsystemet. Den nye version tilføjer identifikation af match i forhold til arbejdsbiblioteket for den nuværende proces ved parsing af relative stier. Brug af stat og access for begrænsede komponenter af filstier er forbudt. Beskyttelse med unveil er blevet implementeret for applikationerne ospfd, ospf6d, rebound, getconf, kvm_mkdb, bdftopcf, Xserver, passwd, spamlogd, spamd, sensorsd, snmpd, htpasswd og ifstated;
• I Clang er værktøjerne til blokering af return-oriented programming (ROP)-teknikker blevet forbedret, hvilket har reduceret antallet af polymorfe gadgets i de resulterende eksekverbare filer for arkitekturerne i386 og amd64;
• I Clang er ydeevnen og sikkerheden ved anvendelse af
  beskyttelsesmekanisme RETGUARD, der sigter mod at komplicere udførelsen af exploits, der er bygget på ved hjælp af kodeudlån og return-oriented programming-teknikker, blevet forbedret. For at fremskynde driften placeres data, når det er muligt, i registre i stedet for på stakken, og CPU-cachen bruges mere effektivt ved tilbagevenden. RETGUARD bruges også nu i stedet for traditionel stakbeskyttelse på systemer med amd64 og arm64;
• Der er forbedret værktøjer relateret til netværksstakken: I pcap-filter er der tilføjet støtte til MPLS-pakke filtrering. I ospfd, ospf6d og ripd er der tilføjet mulighed for at indstille routingprioriteter. I
  ripd er der tilføjet beskyttelse baseret på mekanismen pledge. I ifconfig er der tilføjet sff og sffdump-tilstande for at opnå diagnostisk information fra optiske sendere;
• Den første version af den nye resolver unwind, der behandler rekursive DNS-forespørgsler og kun accepterer forbindelser på grænsefladen 127.0.0.1.
  Unwind er designet til brug på klientsystemer som bærbare computere, der bevæger sig mellem forskellige trådløse netværk. I tilfælde af, at der registreres blokering af DNS-trafik i det lokale netværk, skifter Unwind til at bruge den DHCP-tilknyttede rekursive DNS-serveradresse, men fortsætter med jævnligt at forsøge at udføre opløsningen selv og vender tilbage til selvstændig kommunikation med DNS-serverne, så snart direkte forespørgsler begynder at lykkes.
• I bgpd er der blevet arbejdet på at reducere hukommelsesforbruget, tilføjet en simpel regeloptimerer (den slår regler sammen, der kun adskiller sig ved filtergrupper), processen for opsætning af BGP MPLS VPN er blevet ændret, støtte til IPv6 BGP MPLS VPN er tilføjet, funktionen 'as-override' til at erstatte naboens AS med lokal AS i stier er implementeret, muligheden for matching med flere communities i én regel er blevet tilføjet, nye matching-egenskaber som '*', 'local-as' og 'neighbor-as' er tilføjet, arbejdet med store regelsæt er forbedret, og nye kommandoer til at arbejde med grupper af autonome systemer er blevet tilføjet ('bgpctl neighbor group', 'bgpctl show neighbor group', 'bgpctl show rib neighbor group'); der er i bgpctl tilføjet mulighed for at tilføje netværk til BGP VPN-tabellerne. For første gang er en transportabel variant af OpenBGPD-portable blevet forberedt, klar til brug i systemer, der er forskellige fra OpenBSD.
• Der er tilføjet en mulighed kubsan for at identificere tilfælde af uafklaret opførsel i OpenBSD-kernen.
• Tcpdump-værktøjet er helt blevet afskaffet for brugen af root-rettigheder;
• Ydelsen af malloc i multitrådede applikationer er blevet forbedret;
• Der er tilføjet en tidlig version af programmet OpenRSYNC med sin egen implementering af filsynkroniseringsværktøjet rsync;
• Versionen af mailserveren OpenSMTPD er blevet opdateret, hvori der i smtpd.conf er tilføjet et nyt matchkriterium 'from rdns', der gør det muligt at vælge servere baseret på opløsning af omvendt DNS (bestemmelse af værtsnavn fra IP). Der er tilføjet mulighed for at anvende regulære udtryk ved søgning i tabeller;
• OpenSSH-pakken er blevet opdateret til version 8.0; en detaljeret gennemgang af forbedringerne kan ses her;
• LibreSSL-pakken er blevet opdateret; en detaljeret gennemgang af forbedringerne kan ses i release-annoncerne. 2.9.0 og 2.9.1;
• I Mandoc er HTML-udgangen betydeligt forbedret, tabelrenderingen er forbedret, og der er tilføjet flaget '-O' for at åbne siden med definitionen af den angivne term.
• Funktionerne i grafikstakken Xenocara er udvidet: X-serveren kræver nu ikke en installation med setuid-flaget for at starte. Mesa-driveren radeonsi har fået support til hardwareaccelerering for GPU Southern Islands (Radeon HD 7000) og Sea Islands (Radeon HD 8000);
• C++-porte til arkitekturer, der ikke understøttes i Clang, er nu opbygget ved hjælp af GCC fra ports. Antallet af porte for arkitekturen AMD64 er 10602, for aarch64 – 9654, for i386 – 10535. Blandt de applikationer, der findes i ports, kan nævnes:
  • Asterisk 16.2.1
  • Audacity 2.3.1
  • CMake 3.10.2
  • Chromium 73.0.3683.86
  • FFmpeg 4.1.3
  • GCC 4.9.4 og 8.3.0
  • GNOME 3.30.2.1
  • Go 1.12.1
  • JDK 8u202 og 11.0.2+9-3
  • LLVM/Clang 7.0.1
  • LibreOffice 6.2.2.2
  • Lua 5.1.5, 5.2.4 og 5.3.5
  • MariaDB 10.0.38
  • Mono 5.18.1.0
  • Mozilla Firefox 66.0.2 og ESR 60.6.1
  • Mozilla Thunderbird 60.6.1
  • Node.js 10.15.0
  • OpenLDAP 2.3.43 og 2.4.47
  • PHP 7.1.28, 7.2.17 og 7.3.4
  • Postfix 3.3.3 og 3.4.20190106
  • PostgreSQL 11.2
  • Python 2.7.16 og 3.6.8
  • R 3.5.3
  • Ruby 2.4.6, 2.5.5 og 2.6.2
  • Rust 1.33.0
  • Sendmail 8.16.0.41
  • SQLite3 3.27.2
  • Suricata 4.1.3
  • Tcl/Tk 8.5.19 og 8.6.8
  • TeX Live 2018
  • Vim 8.1.1048 og Neovim 0.3.4
  • Xfce 4.12
• Komponenter fra tredjepartsudviklere, der er en del af OpenBSD 6.5:
  • Grafikstakken Xenocara baseret på X.Org-server 1.19.7 med patches, freetype 2.9.1, fontconfig 2.12.4, Mesa 18.3.5, xterm 344, xkeyboard-config 2.20;
  • LLVM/Clang 7.0.1 (med patches)
  • GCC 4.2.1 (med patches) og 3.3.6 (med patches)
  • Perl 5.28.1 (med patches)
  • NSD 4.1.27
  • Unbound 1.9.1
  • Ncurses 5.7
  • Binutils 2.17 (med patches)
  • Gdb 6.3 (med patches)
  • Awk 10. aug 2011
  • Expat 2.2.6

Kilde: opennet.ru