{"id":110888,"date":"2023-10-17T03:10:16","date_gmt":"2023-10-17T01:10:16","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/vypusk-openbsd-7-4"},"modified":"2023-10-17T03:10:16","modified_gmt":"2023-10-17T01:10:16","slug":"vypusk-openbsd-7-4","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/news\/vypusk-openbsd-7-4","title":{"rendered":"Release von OpenBSD 7.4","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Die Ver\u00f6ffentlichung des freien UNIX-\u00e4hnlichen Betriebssystems OpenBSD 7.4 wurde vorgestellt. Das Projekt OpenBSD wurde 1995 von Theo de Raadt gegr\u00fcndet, nachdem es zu Konflikten mit den Entwicklern von NetBSD gekommen war, die dazu f\u00fchrten, dass Theo der Zugriff auf das CVS-Repository von NetBSD verwehrt wurde. Daraufhin gr\u00fcndete Theo de Raadt mit einer Gruppe Gleichgesinnter auf der Basis des NetBSD-Quellbaum eine neue offene Betriebssystem, dessen Hauptziele Portabilit\u00e4t (unterst\u00fctzt 13 Hardware-Plattformen), Standardisierung, korrekte Funktionalit\u00e4t, proaktive Sicherheit und integrierte kryptografische Mittel sind. Die Gr\u00f6\u00dfe des vollst\u00e4ndigen Installations-ISO-Abbilds des Basissystems OpenBSD 7.4 betr\u00e4gt 630 MB. <\/p>\n
Neben dem Betriebssystem selbst ist das OpenBSD-Projekt bekannt f\u00fcr seine Komponenten, die in anderen Systemen verbreitet sind und sich als eines der sichersten und hochwertigsten L\u00f6sungen etabliert haben. Dazu geh\u00f6ren: LibreSSL (ein Fork von OpenSSL), OpenSSH, der Paketfilter PF, die Routing-Daemons OpenBGPD und OpenOSPFD, der NTP-Server OpenNTPD, der Mailserver OpenSMTPD, der Multiplexer f\u00fcr Textterminals (vergleichbar mit GNU screen) tmux, der daemon identd mit einer Implementierung des IDENT-Protokolls, die BSDL-Alternative zum GNU-Paket groff \u2014 mandoc, das Protokoll zur Einrichtung von Hochverf\u00fcgbarkeitssystemen CARP (Common Address Redundancy Protocol) und ein leichter HTTP-Server, sowie das Tool zur Dateisynchronisierung OpenRSYNC. <\/p>\n
Wesentliche Verbesserungen: <\/p>\n
\n
F\u00fcr die architekturen amd64 und i386 wurden Komponenten zur Aktualisierung des Mikrocodes von AMD-Prozessoren hinzugef\u00fcgt. Neue Mikrocodedateien werden beim Booten automatisch installiert. F\u00fcr die Verbreitung der Bin\u00e4rdateien mit Mikrocodes wurde der Port \u201eports\/sysutils\/firmware\/amd\u201c vorbereitet. Die Installation des neuen Mikrocodes erfolgt \u00fcber das Standard-Tool fw_update. Eine \u00e4hnliche Unterst\u00fctzung f\u00fcr die Mikrocodetests von Intel-Prozessoren wurde 2018 implementiert und in der Ver\u00f6ffentlichung von OpenBSD 6.3 angeboten.\n
Im Kernel und im Benutzerspeicher wurden Schutzmechanismen f\u00fcr IBT (Indirect Branch Tracking, amd64) und BTI (Branch Target Identification, arm64) aktiviert, die darauf abzielen, die normale Ausf\u00fchrungsreihenfolge (control flow) zu blockieren, um Angriffen entgegenzuwirken, die die in der Speicherspeicher gehaltenen Funktionszeiger \u00e4ndern (der implementierte Schutz l\u00e4sst keinen sch\u00e4dlichen Code zu, um mitten in einer Funktion einen Sprung durchzuf\u00fchren).\n
Auf Systemen mit arm64-Architektur ist zur Absicherung des Benutzerspeichers die Pointer-Authentifizierung aktiviert. Diese Technologie erm\u00f6glicht die Nutzung spezialisierter ARM64-Instruktionen zur \u00dcberpr\u00fcfung von R\u00fcckgabeadressen mittels digitaler Signaturen, die in den ungenutzten oberen Bits des Zeigers gespeichert werden.\n
Die Einstellungen des Systemcompilers clang sowie clang und gcc aus den Ports wurden ge\u00e4ndert, um die oben genannten Schutzmechanismen anzuwenden, was die Sicherheit aller grundlegenden Anwendungen und der meisten Anwendungen aus den Ports erheblich verbessert hat, um Exploits, die Return-Oriented Programming (ROP) nutzen, abzuwehren. Bei der ROP-Technik versucht der Angreifer nicht, eigenen Code in den Speicher zu laden, sondern nutzt bereits vorhandene Maschinencodesnippets in geladenen Bibliotheken, die mit einer R\u00fccksprunganweisung enden (in der Regel die Enden von Bibliotheksfunktionen). Die Funktionsweise eines Exploits beschr\u00e4nkt sich auf den Aufbau einer Kette von solchen Bl\u00f6cken (\u201eGadgets\u201c), um die ben\u00f6tigte Funktionalit\u00e4t zu gewinnen.\n
Ein neuer Systemaufruf kqueue1 wurde hinzugef\u00fcgt, der sich von kqueue dadurch unterscheidet, dass er Flags \u00fcbergibt. Derzeit wird im kqueue1 nur das Flag O_CLOEXEC (close-on-exec) unterst\u00fctzt, um offene Dateideskriptoren im untergeordneten Prozess nach dem Aufruf von exec() automatisch zu schlie\u00dfen.\n
F\u00fcr die Architekturen amd64 und i386 wurde die Unterst\u00fctzung des Pseudoger\u00e4ts dt implementiert, um die dynamische System- und Anwendungs\u00fcberwachung zu organisieren. Der Systemaufruf utrace wurde hinzugef\u00fcgt, um benutzerdefinierte Eintr\u00e4ge in das ktrace-Log einzuf\u00fcgen.\n
Fehlerbehebungen aus FreeBSD wurden \u00fcbernommen, die undefiniertes Verhalten bei der Verwendung von MS-DOS-Dateisystemen beseitigen.\n
Die Option zur Verwendung von softdep, die f\u00fcr das verz\u00f6gerte Sammeln von Metadaten zust\u00e4ndig ist, wurde deaktiviert.\n
F\u00fcr Programme, die durch den Systemaufruf unveil gesch\u00fctzt sind, wurde das Speichern von Core-Dumps im aktuellen Arbeitsverzeichnis erlaubt.\n
F\u00fcr die ARM64-Architektur wird die M\u00f6glichkeit zur \u00dcbergabe in tiefe Inaktivit\u00e4tszust\u00e4nde (idle) aktiviert, die in Apple M1\/M2-Chips verf\u00fcgbar sind, um Energie zu sparen und den Schlafmodus zu realisieren.\n
Ein Umgehungsschutz gegen die Zenbleed-Schwachstelle in AMD-Prozessoren wurde hinzugef\u00fcgt.\n
Verbesserte Unterst\u00fctzung f\u00fcr Multiprozessorsysteme (SMP). Die Funktionen arprequest(), die Verarbeitung eingehender ARP-Pakete sowie die Implementierung der Nachbarkeitsbestimmung im IPv6-Stack wurden von Sperren befreit.\n
Die Schnittstelle zur Synchronisation der Paketfiltertabelle pfsync wurde neu geschrieben, um die Handhabung von Sperren zu verbessern und die Kompatibilit\u00e4t mit zuk\u00fcnftigen Arbeiten zur Parallelisierung des Netzwerkstacks zu gew\u00e4hrleisten.\n
Die Implementierung des DRM-Frameworks (Direct Rendering Manager) wurde mit dem Linux-Kernel 6.1.55 synchronisiert (in der vorherigen Version - 6.1.15). Die Leistung auf Systemen mit Intel-Prozessoren basierend auf der Mikroarchitektur Alder Lake und Raptor Lake wurde verbessert.\n
Verbesserungen wurden im Hypervisor VMM vorgenommen. In vmd wurde Unterst\u00fctzung f\u00fcr ein multiprozessuales Modell f\u00fcr blockorientierte und netzwerkbasierte Virtio-Ger\u00e4te implementiert. F\u00fcr blockbasierte Virtio-Ger\u00e4te wurde die Unterst\u00fctzung f\u00fcr Vektoreingabe\/Ausgabe im Zero-Copy-Modus hinzugef\u00fcgt. Der Zugang von Gastsystemen zu den p-state Modi von AMD-Prozessoren wurde eingeschr\u00e4nkt. Besitzern virtuellen Maschinen<\/a> ist es erlaubt, \u00fcber vmctl den zu ladenden Kernel zu \u00fcberschreiben.\n