{"id":110888,"date":"2023-10-17T03:10:16","date_gmt":"2023-10-17T01:10:16","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/vypusk-openbsd-7-4"},"modified":"2023-10-17T03:10:16","modified_gmt":"2023-10-17T01:10:16","slug":"vypusk-openbsd-7-4","status":"publish","type":"post","link":"https:\/\/prohoster.info\/da\/blog\/news\/vypusk-openbsd-7-4","title":{"rendered":"Udgivelsen af OpenBSD 7.4","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Den nye version af det frie UNIX-lignende operativsystem OpenBSD 7.4 er blevet pr\u00e6senteret. OpenBSD-projektet blev grundlagt af Theo de Raadt i 1995 efter en konflikt med udviklerne af NetBSD, hvilket resulterede i, at Theo mistede adgangen til CVS-repositoriet for NetBSD. Efter dette skabte Theo de Raadt med en gruppe ligesindede et nyt \u00e5bent operativsystem baseret p\u00e5 kildetr\u00e6et fra NetBSD, hvor de vigtigste m\u00e5l for udviklingen blev b\u00e6rbarhed (underst\u00f8tter 13 hardwareplatforme), standardisering, korrekt funktion, proaktiv sikkerhed og integrerede kryptografiske midler. St\u00f8rrelsen p\u00e5 den komplette installations-ISO af den grundl\u00e6ggende OpenBSD 7.4-system er 630 MB. <\/p>\n
Udover selve operativsystemet er OpenBSD-projektet kendt for sine komponenter, som har f\u00e5et udbredelse i andre systemer og har bevist sig som nogle af de mest sikre og kvalitetsbevidste l\u00f8sninger. Blandt dem er: LibreSSL (en fork af OpenSSL), OpenSSH, pakkefilteret PF, routing daemonerne OpenBGPD og OpenOSPFD, NTP-serveren OpenNTPD, mailserveren OpenSMTPD, multiplexeren til tekstterminalen (analog til GNU screen) tmux, identd daemon med implementation af IDENT-protokollen, BSDL-alternativet til GNU groff-pakken \u2014 mandoc, protokollen til opbygning af fejltolerante systemer CARP (Common Address Redundancy Protocol), en letv\u00e6gts http-server samt v\u00e6rkt\u00f8jet til synkronisering af filer OpenRSYNC. <\/p>\n
Hovedforbedringer: <\/p>\n
\n
Komponenter til opdatering af mikrokoden til AMD-processorer er blevet tilf\u00f8jet for arkitekturerne amd64 og i386. Nye versioner af mikrokoden installeres automatisk ved opstart. For distribution af bin\u00e6re filer med mikrokod er der lavet en port ved navn «ports\/sysutils\/firmware\/amd». Installation af den nye mikrokode sker med det indbyggede v\u00e6rkt\u00f8j fw_update. Lignende support til opdatering af mikrokoden for Intel-processorer blev implementeret i 2018 og tilbudt i udgivelsen OpenBSD 6.3.\n
Beskyttelsesmekanismerne IBT (Indirect Branch Tracking, amd64) og BTI (Branch Target Identification, arm64) er blevet inkluderet i kernen og brugerens rum, som er designet til at blokere for brud p\u00e5 den normale udf\u00f8relsesr\u00e6kkef\u00f8lge (control flow) som f\u00f8lge af udnyttelse, der \u00e6ndrer de i hukommelsen gemte funktionspegere (den implementerede beskyttelse forhindrer ondsindet kode i at springe midt ind i en funktion).\n
P\u00e5 systemer med arm64-arkitektur er der blevet inkluderet pegerautentifikation (Pointer Authentication) for at beskytte brugerens rum. Teknologien g\u00f8r det muligt at bruge specialiserede ARM64-instruktioner til at kontrollere returadresser ved hj\u00e6lp af digitale signaturer, der gemmes i de ubenyttede \u00f8verste bits af selve pegeren.\n
Indstillingerne for systemkompilatoren clang samt clang og gcc fra portene er blevet \u00e6ndret for at anvende de ovenn\u00e6vnte beskyttelsesmekanismer, hvilket har \u00f8get beskyttelsen af alle grundl\u00e6ggende applikationer og de fleste applikationer fra portene mod exploits, der bruger metoder til return-oriented programming (ROP - Return-Oriented Programming). Ved brug af ROP-teknikken fors\u00f8ger angriberen ikke at placere sin kode i hukommelsen, men arbejder med eksisterende stykker maskinkode i de indl\u00e6ste biblioteker, der slutter med en returkommando (normalt afslutningerne af biblioteksfunktioner). Exploitet best\u00e5r i at bygge en k\u00e6de af kald til s\u00e5danne blokke («gadgets») for at opn\u00e5 den \u00f8nskede funktionalitet.\n
En ny systemopkald kqueue1 er tilf\u00f8jet, som adskiller sig fra kqueue ved at overf\u00f8re flag. I \u00f8jeblikket underst\u00f8tter kqueue1 kun flaget O_CLOEXEC (close-on-exec) for automatisk at lukke filbeskrivelser i b\u00f8rneprocessen efter kaldet til exec().\n
For arkitekturerne amd64 og i386 er der implementeret support for pseudoudstyr dt til at organisere dynamisk sporing af systemet og applikationer. Der er tilf\u00f8jet et systemopkald utrace til at inds\u00e6tte brugerdefinerede logposter i ktrace.\n
Fejlrettelser, der fjerner usikkert adf\u00e6rd ved brug af MS-DOS-filsystemer, er overf\u00f8rt fra FreeBSD.\n
Muligheden for at montere softdep, der anvendes til udsat gruppering af metadataopdateringer, er deaktiveret.\n
Programmer, der er beskyttet ved hj\u00e6lp af systemopkaldet unveil, f\u00e5r tilladelse til at gemme core dumps i den nuv\u00e6rende arbejdsmappe.\n
For ARM64-arkitekturen er muligheden for at g\u00e5 ind i dybe inaktive tilstande (idle), tilg\u00e6ngelige i Apple M1\/M2-chips, aktiveret for at spare energi og implementere hviletilstand.\n
En omg\u00e5else af beskyttelse mod Zenbleed-s\u00e5rbarheden i AMD-processorer er blevet tilf\u00f8jet.\n
St\u00f8tten til multiprocessorsystemer (SMP) er forbedret. Funktionen arprequest(), koden til h\u00e5ndtering af indkommende ARP-pakker og implementeringen af naboidentifiering i IPv6-stakken er blevet befriet for l\u00e5sninger.\n
Gr\u00e6nsefladen til synkronisering af pfsync-pakkefiltertabellerne er blevet omskrevet for at forbedre arbejdet med l\u00e5sninger og kompatibilitet med fremtidigt arbejde med parallelisering af netv\u00e6rksstakken.\n
Implementeringen af drm (Direct Rendering Manager) er synkroniseret med Linux-kernen 6.1.55 (den tidligere udgivelse var 6.1.15). Ydelsen er forbedret p\u00e5 systemer med Intel-processorer baseret p\u00e5 mikroarkitekturerne Alder Lake og Raptor Lake.\n
Der er foretaget forbedringer i hypervisoren VMM. I vmd er der implementeret underst\u00f8ttelse af en multiprocessormodel for block- og netv\u00e6rks virtio-enheder. Der er tilf\u00f8jet underst\u00f8ttelse af vektoreindgang\/udgang i zero-copy mode til block virtio-enheden. Adgangen for g\u00e6stesystemer til AMD-processorer iht. p-state er begr\u00e6nset. Ejere virtual machines<\/a> har tilladelse til at overskrive det indl\u00e6ste kerne via vmctl.\n