Veröffentlichung eines freien, plattformübergreifenden UNIX-ähnlichen Betriebssystems . Das OpenBSD-Projekt wurde 1995 von Theo de Raadt gegründet, nachdem mit den Entwicklern von NetBSD kam, wodurch Theo der Zugang zum CVS-Repository von NetBSD verwehrt wurde. Daraufhin gründete Theo de Raadt mit einer Gruppe Gleichgesinnter auf der Basis des Quellbaum von NetBSD ein neues offenes Betriebssystem, dessen Hauptziele die Portabilität ( 12 Hardwareplattformen), Standardisierung, korrekte Funktion, aktive Sicherheit und integrierte kryptografische Mittel. Die Größe des vollständigen Installationspakets der Basisversion von OpenBSD 6.7 beträgt 470 MB.
Neben dem Betriebssystem selbst ist das OpenBSD-Projekt bekannt für seine Komponenten, die in anderen Systemen verbreitet sind und sich als eine der sichersten und qualitativ hochwertigsten Lösungen etabliert haben. Zu ihnen gehören: ( OpenSSL), , der Paketfilter , die Routing-Demons , der NTP-Server , der Mailserver , der Multiplexer für Terminal-Fenster (ähnlich wie GNU Screen) , der Demon mit der Realisierung des IDENT-Protokolls, BSDL-Alternative zum GNU groff-Paket — , Protokoll zur Organisation von ausfallsicheren Systemen CARP (Common Address Redundancy Protocol), leichtgewichtig , Synchronisationswerkzeug für Dateien .
Haupt :
- Das Dateisystem FFS2, das 64-Bit-Zeit- und Blockanzahlwerte verwendet, ist standardmäßig in neuen Installationen für fast alle unterstützten Architekturen aktiv, anstelle von FFS (ausgenommen landisk, luna88k und sgi).
- Eine neue Methode zur Überprüfung der Zulässigkeit von Systemaufrufen wurde hinzugefügt, die die Ausnutzung von Sicherheitsanfälligkeiten zusätzlich erschwert. Diese Methode erlaubt die Ausführung von Systemaufrufen nur, wenn sie aus zuvor registrierten Speicherbereichen aufgerufen werden. Ein neuer Systemaufruf msyscall() wurde vorgeschlagen, um Speicherbereiche zu kennzeichnen und den Schutz zu aktivieren.
- Die Anzahl der Partitionen, die auf einer Festplatte erstellt werden können, wurde von 7 auf 15 erhöht.
- Der Code zur Analyse der Optionen in cron wurde umgeschrieben, um getopt-ähnliche Möglichkeiten wie „-ns“ und die mehrfache Angabe derselben Flags zu unterstützen. Das Feld „options“ in crontab wurde in „flags“ umbenannt. In crontab wurde das Flag „-s“ hinzugefügt, das ermöglicht, dass nur eine Instanz eines Jobs gleichzeitig ausgeführt werden kann. Der Operator „~“ wurde hinzugefügt, um einen zufälligen Zeitwert anzugeben.
- Im Fenstermanager cwm wurde die Möglichkeit implementiert, die Fenstergröße prozentual zur Größe des primären Fensters bei der Mosaik-Anordnung zu bestimmen.
- Für die PowerPC-Architektur wurde standardmäßig auf die Nutzung von Clang umgestellt, und es wird eine architekturunabhängige Implementierung von mplock verwendet.
- Im apmd wurde die Unterstützung für den automatischen Wechsel in den Ruhezustand und den Schlafmodus (-z/-Z) verbessert – der Daemon reagiert nun auf Nachrichten zur Änderung des Akkuladestands, die vom Energieverwaltungstreiber gesendet werden. Der Übergang in den Schlafmodus erfolgt mit einer Verzögerung von 60 Sekunden, was dem Benutzer Zeit gibt, die Kontrolle zu übernehmen.
- Im integrierten HTTP-Server wurde die Konfigurationsvariable $REQUEST_SCHEME hinzugefügt, um das ursprüngliche Protokoll (http oder https) bei der Umleitung zu speichern. Zudem gibt es die Option „strip“, die es ermöglicht, mehrere chroot in /var/www für FastCGI-Server zu verwenden.
- Das Tool top unterstützt jetzt das Scrollen mit den Tasten 9 und 0.
- Ein Mechanismus zur rückwärtsgerichteten Freigabe von Arbeitsspeicherseiten wurde eingeführt, der die Effizienz der aktiven Freigabe einer großen Anzahl von Seiten erheblich steigert.
- Im DNS-Server unbound ist standardmäßig die DNSSEC-Überprüfung aktiviert.
- Systemaufrufe wurden von der globalen Sperrung befreit.
__thrsleep(2), __thrwakeup(2), close(2), closefrom(2), dup(2), dup2(2), dup3(2), flock(2), fcntl(2), kqueue(2), pipe(2), pipe2(2) und nanosleep(2), sowie der grundlegende Teil von ioctl(2). - Die Unterstützung für Hardware wurde erweitert. Ein neuer Treiber iwx wurde für die Intel AX200 Wireless-Chips hinzugefügt, während im iwm-Treiber die Unterstützung für die Geräte Intel 9260 und 9560 integriert wurde. Der Treiber rge für Realtek 8125 PCI Express 2.5Gb wurde hinzugefügt. Viele neue Treiber wurden vorgeschlagen, um die Leistung auf arm64- und armv7-Platinen zu verbessern, darunter die Unterstützung für die Raspberry Pi 4-Platine sowie verbesserte Unterstützung für Raspberry Pi 2 und 3.
- Das Audio-Subsystem sndio wurde erweitert. Die APIs sioctl_open und das Tool sndioctl für die Tonverwaltung über sndiod wurden hinzugefügt. /dev/mixer wurde entfernt und alle Ports wurden auf sndio anstelle des Kernel-Mixer-Interfaces umgestellt. In sndiod wurde die Nutzung der Hardware-Mechanismen zur Lautstärkeregelung implementiert. Um die Sicherheit zu erhöhen, wurde der Zugriff normaler Benutzer auf /dev/audio* und /dev/rmidi* untersagt.
- Im WLAN-Stack wurde die Verbindung zu allen verfügbaren Wi-Fi-Netzwerken, die keine Verschlüsselung unterstützen, eingestellt, mit Ausnahme des expliziten Aufrufs des Befehls „ifconfig join“. Das Hintergrund-Scannen nach verfügbaren Netzwerken wird jetzt beim Ausführen des Befehls „ifconfig scan“ durch den Benutzer root aktiviert. Der Cache für Scanning-Ergebnisse wurde vergrößert. Ein über ifconfig einstellbares Flag „nwflag nomimo“ wurde hinzugefügt, um Paketverluste im 11n-Modus bei ungenutzten Antennenanschlüssen im Gerät zu reduzieren. Für den Treiber bwfm wurde die Unterstützung des aktiven Scannens hinzugefügt. Die automatische Umschaltung zwischen WLAN-Netzwerken wurde verbessert, indem die Priorität für Netzwerke, die nicht verbunden werden konnten, gesenkt wurde.
- Im Netzwerk-Stack wurde ein neuer pppac-Treiber eingeführt, der die Implementierung der PPP Access Concentrator-Schnittstelle enthält. Die Einstellungen in npppd.conf wurden auf die Verwendung von pppac anstelle von tun umgestellt. Bei deaktivierter Paketweiterleitung wurde eine Überprüfung hinzugefügt, die sicherstellt, dass die Zieladresse im Paket mit der Adresse der Netzwerkschnittstelle übereinstimmt. Die Unterstützung für mobileip wurde entfernt.
- Benutzern ohne Root-Rechte ist es untersagt, ioctl zu verwenden, um die Adresse der Netzwerkschnittstelle oder die Parameter der pppoe-Schnittstellen zu ändern.
- Im sysupgrade wurde sichergestellt, dass das Firmware-Update (fw_update) vor einem Neustart eingeleitet wird.
- Der Systemaufruf unveil wurde verbessert, um den Zugriff auf das Dateisystem zu isolieren. Anzahl der Anwendungen im Basissystem, die mit unveil geschützt sind, wurde auf 82 erhöht. Dazu zählen vmstat, iostat und systat, die nun ebenfalls auf unveil umgestellt wurden.
- In crypto(3) wurde die Unterstützung für RSA-PSS hinzugefügt.
- Im DNS-Resolver unwind wurde die Unterstützung für DoT (DNS over TLS) hinzugefügt. Der Befehl „unwindctl status memory“ wurde ergänzt.
- Die Implementierung von IPsec wurde erheblich verbessert. Unterstützung für die automatische Verlagerung des Datenverkehrs zwischen rdomain während der Verschlüsselung und Entschlüsselung wurde hinzugefügt, um Angriffe über externe Kanäle zu verhindern. In iked wurde die Unterstützung für die Änderung von rdomain hinzugefügt, und in iked.conf wurde die Option ‚rdomain‘ ergänzt.
Für iked und isakmpd ist standardmäßig das Niveau IPSEC_LEVEL_REQUIRE eingestellt, welches die Verarbeitung unverschlüsselter Pakete verweigert, die dem Datenstrom entsprechen. In die Diffie-Hellman-Gruppeneinstellungen für IKE SA wurden die Algorithmen curve25519, ecp256, ecp384, ecp521, modp3072 und modp4096 aufgenommen. In iked wurde die Standardauthentifizierung auf digitale Signatur (RFC 7427) geändert. ESN-Einstellungen wurden in iked.conf hinzugefügt. Eine Option ‚-p‘ zur Auswahl einer benutzerdefinierten UDP-Portnummer wurde ergänzt. - Die Funktionen des Terminal-Multiplexers tmux wurden erweitert, viele neue Optionen wurden hinzugefügt.
- Die Version des Mailservers OpenSMTPD wurde aktualisiert. In den integrierten Filtern wurde das Schlüsselwort ‚bypass‘ implementiert, um die Verarbeitung unter bestimmten Bedingungen zu überspringen. Die Verwendung des Benutzernamens der aktuellen Sitzung smtpd in den Filtern wurde erlaubt. In smtpd.conf wurde die Verwendung von mail-from und rctp-to in den Parametern erlaubt.
- Das OpenSSH-Paket 8.2 wurde aktualisiert und unterstützt jetzt FIDO/U2F-Zwei-Faktor-Authentifizierungstokens. Eine detaillierte Übersicht der Verbesserungen finden Sie hier. .
- Das LibreSSL-Paket hat die Implementierung von TLS 1.3 auf Basis eines neuen Endautomaten und einer Subsystemarbeit mit Aufzeichnungen abgeschlossen. Derzeit ist nur der Client-Teil von TLS 1.3 aktiviert; der Server-Teil soll in einer der zukünftigen Versionen standardmäßig aktiviert werden. Eine Liste der weiteren Änderungen finden Sie in den Release-Ankündigungen. und .
- Die Anzahl der Ports für die AMD64-Architektur beträgt 11268, für aarch64 – 10848, und für i386 – 10715. Aktualisierte Komponenten von Drittanbietern, die in OpenBSD 6.7 enthalten sind:
- Der grafische Stack Xenocara basiert auf X.Org 7.7 mit xserver 1.20.8 + Patches, freetype 2.10.1, fontconfig 2.12.4, Mesa 19.2.8, xterm 351, xkeyboard-config 2.20;
- LLVM/Clang 8.0.1 (mit Patches)
- GCC 4.2.1 (mit Patches) und 3.3.6 (mit Patches)
- Perl 5.30.2 (mit Patches)
- NSD 4.2.4
- Unbound 1.10.0
- Ncurses 5.7
- Binutils 2.17 (mit Patches)
- Gdb 6.3 (mit Patches)
- Awk vom 20. Dezember 2012.
- Expat 2.2.8
Quelle: opennet.ru
