Udgivelse af OpenBSD 6.7

Præsenteret udgivelse af et frit, cross-platform UNIX-lignende operativsystem OpenBSD 6.7. OpenBSD-projektet blev grundlagt af Theo de Raadt i 1995 efter en konflikt med udviklerne af NetBSD, hvilket førte til, at Theo blev nægtet adgang til CVS-repositoriet for NetBSD. Efter dette skabte Theo de Raadt sammen med en gruppe ligesindede et nyt åbent operativsystem baseret på kildekoden fra NetBSD, hvis hovedmål blev bærbarhed (understøttes 12 hardwareplatforme), standardisering, korrekt drift, aktiv sikkerhed og integrerede kryptografiske værktøjer. Størrelsen på det fulde installations- ISO-billede af den basale OpenBSD 6.7-system er 470 MB.

Ud over selve operativsystemet er OpenBSD-projektet kendt for sine komponenter, som er blevet udbredt i andre systemer og har vist sig at være nogle af de sikreste og mest kvalitetssikrede løsninger. Blandt dem er: LibreSSL (en fork af OpenSSL), OpenSSH, en pakkefilter PF, routingdemonerne OpenBGPD og OpenOSPFD, NTP-serveren OpenNTPD, postserveren OpenSMTPD, terminal multiplexoren (svarende til GNU screen) tmux, daemon identd med implementering af IDENT-protokollen, BSDL-alternativ til GNU groff-pakken — mandoc, protokol til opbygning af fejlfindingssystemer CARP (Common Address Redundancy Protocol), en letvægts HTTP-server, filsynkroniseringsværktøjet OpenRSYNC.

Vigtige forbedringer:

• Filssystemet FFS2, der bruger 64-bit tids- og blokværdi, er som standard aktiveret i nye installationer for næsten alle understøttede arkitekturer i stedet for FFS (undtagen landisk, luna88k og sgi).
• En ny metode til at kontrollere gyldigheden af systemopkald er tilføjet, hvilket yderligere komplicerer udnyttelsen af sårbarheder. Metoden tillader udførelse af systemopkald, kun hvis de tilgås fra forudregistrerede hukommelsesområder. En ny systemopkald msyscall() er foreslået til at markere hukommelsesområder og aktivere beskyttelse.
• Antallet af partitioner, der kan oprettes på én disk, er blevet øget fra 7 til 15.
• Options parsing code in cron has been rewritten to support getopt-like capabilities, such as "-ns" and the re-specification of the same flags. The "options" field in crontab has been renamed to "flags." A new flag "-s" has been added in crontab, which allows only one instance of a task to run at a time. An operator "~" has been added to indicate a random value of time.
• In the window manager cwm, the ability to determine the size of a window as a percentage of the primary window size in mosaic layout has been implemented.
• For the powerpc architecture, the default transition to using Clang has been made, along with an architecture-independent implementation of mplock.
• In apmd, support for automatic transitions to idle and sleep modes (-z/-Z) has been improved — the daemon now responds to messages about battery charge changes sent by the power management driver. Transition to sleep occurs with a 60-second delay, giving the user time to take control.
• A configuration variable $REQUEST_SCHEME has been added to the built-in HTTP server to preserve the original protocol (http or https) during redirection, as well as a "strip" option that allows for using multiple chroot in /var/www for FastCGI servers.
• The top utility now supports scrolling using the 9 and 0 keys.
• A page memory release mechanism has been introduced that significantly increases the efficiency of actively freeing a large number of pages.
• In the unbound DNS server, DNSSEC validation is enabled by default.
• System calls have been freed from global locking.
  __thrsleep(2), __thrwakeup(2), close(2), closefrom(2), dup(2), dup2(2), dup3(2), flock(2), fcntl(2), kqueue(2), pipe(2), pipe2(2), and nanosleep(2), as well as the base part of ioctl(2).
• Hardware support has been expanded. A new iwx driver has been added for Intel AX200 wireless chips, and the iwm driver has been updated to support Intel 9260 and 9560 devices. A new rge driver for Realtek 8125 PCI Express 2.5Gb has been added. Many new drivers have been proposed to improve performance on arm64 and armv7 boards, including support for the Raspberry Pi 4 board and improved support for Raspberry Pi 2 and 3.
• Lydsystemet sndio er blevet udvidet. API'erne sioctl_open og værktøjet sndioctl er tilføjet til styring af lyd gennem sndiod. /dev/mixer er blevet fjernet, og alle porte er blevet overført til sndio i stedet for kernelens mixer-interface. I sndiod er brugen af hardwarevolumenstyringsmekanismer sikret. For at øge sikkerheden er adgangen for almindelige brugere til /dev/audio* og /dev/rmidi* blevet forbudt.
• I den trådløse stak er forbindelsen til ethvert tilgængeligt Wi-Fi-netværk, der ikke understøtter kryptering, blevet stoppet, medmindre kommandoen «ifconfig join» kaldes eksplicit. Baggrundsscanning af tilgængelige netværk udføres, når kommandoen «ifconfig scan» køres af brugeren root. Resultaterne af scanning er blevet cache-øget. En installérbar flag «nwflag nomimo», som kan sættes via ifconfig, er blevet tilføjet for at hjælpe med at undgå tab af pakker i 11n-tilstand ved tilstedeværelse af uforbundne antenneforbindelser i enheden. Driveren bwfm har fået tilføjet støtte til aktiv scanning. Den automatiske skift mellem trådløse netværk er forbedret ved at reducere prioriteten til netværk, som der ikke kunne oprettes forbindelse til.
• I netværksstakken er der blevet tilføjet en ny driver pppac, som indeholder implementeringen af PPP Access Concentrator-interface. Indstillingerne i npppd.conf er blevet overført til at bruge pppac i stedet for tun. Når pakkerne ikke omdirigeres, er der blevet tilføjet en kontrol for at matche destinationens adresse i pakken med netværksgrænsefladens adresse. Understøttelse af mobileip er blevet fjernet.
• Brugere uden root-rettigheder får forbud mod at bruge ioctl til at ændre netværksgrænsefladens adresse og ændre indstillingerne for pppoe-grænsefladerne.
• I sysupgrade er opdatering af firmware (fw_update) blevet muliggjort før genstart ved opdatering.
• Systemopkaldet unveil er blevet forbedret, hvilket sikrer isolering af adgang til filsystemet. Antallet af applikationer fra basissystemet, der er beskyttet med unveil, er steget til 82. Herunder er vmstat, iostat og systat blevet overført til unveil.
• I crypto(3) er der tilføjet støtte til RSA-PSS.
• I DNS-resolveren unwind er der tilføjet støtte til DoT (DNS over TLS). Kommandoen «unwindctl status memory» er blevet tilføjet.
• Implementeringen af ipsec er betydeligt opgraderet. Der er tilføjet støtte til automatisk skift af trafik mellem rdomain under kryptering og dekryptering for at beskytte mod angreb via tredjepartskanaler. I iked er der tilføjet støtte til ændring af rdomain, og der er tilføjet en ‘rdomain’-mulighed i iked.conf.
  For iked og isakmpd er standardniveauet IPSEC_LEVEL_REQUIRE sat, hvilket forhindrer behandling af ukrypterede pakker, der svarer til strømmen. Der er tilføjet algoritmer curve25519, ecp256, ecp384, ecp521, modp3072 og modp4096 til Diffie-Hellman-gruppens indstillinger for IKE SA. I iked er standardmetoden for autentificering ændret til autentificering via digital signatur (RFC 7427). ESN-indstillinger er tilføjet i iked.conf. En ‘-p’ mulighed er tilføjet for at vælge en ikke-standard UDP-portnummer.
• Mulighederne i terminalmultiplexer tmux er udvidet, med mange nye indstillinger tilføjet.
• Versionen af mailserveren OpenSMTPD er opdateret. De indbyggede filtre inkluderer nu nøgleordet ‘bypass’ til at springe over behandling under bestemte betingelser. Brug af nuværende smtpd-sessionens brugernavn i filtre er tilladt. I smtpd.conf er brug af mail-from og rctp-to-parameterne tilladt.
• OpenSSH-pakken er opdateret til version 8.2, som har tilføjet støtte til FIDO/U2F to-faktor autentificeringstokens. En detaljeret gennemgang af forbedringerne kan ses. her.
• Opdateret LibreSSL-pakken er opdateret, hvor implementeringen af TLS 1.3 er blevet færdiggjort baseret på en ny tilstandsmaskine og subsystem til behandling af post. Standard er kun klientdelen af TLS 1.3 aktiveret, mens serverdelen planlægges aktiveret som standard i en af de kommende versioner. En liste over øvrige ændringer kan ses i udgivelsesannoncerne. 3.1.0 og 3.1.1.
• Antallet af porte for AMD64-arkitekturen er 11268, for aarch64 er det 10848, og for i386 er det 10715. Komponenter fra tredjepartsudviklere medtaget i OpenBSD 6.7 er opdateret:
  • Grafikstakken Xenocara baseret på X.Org 7.7 med xserver 1.20.8 + patches, freetype 2.10.1, fontconfig 2.12.4, Mesa 19.2.8, xterm 351, xkeyboard-config 2.20;
  • LLVM/Clang 8.0.1 (med patches)
  • GCC 4.2.1 (med patches) og 3.3.6 (med patches)
  • Perl 5.30.2 (med patches)
  • NSD 4.2.4
  • Unbound 1.10.0
  • Ncurses 5.7
  • Binutils 2.17 (med patches)
  • Gdb 6.3 (med patches)
  • Awk fra 20. december 2012.
  • Expat 2.2.8

  Kilde: opennet.ru