Die Ver\u00f6ffentlichung des freien UNIX \u00e4hnlichen Betriebssystems OpenBSD 7.4 wurde vorgestellt. Das Projekt OpenBSD wurde 1995 von Theo de Raadt nach einem Konflikt mit den Entwicklern von NetBSD gegr\u00fcndet, der dazu f\u00fchrte, dass Theo der Zugang zum CVS-Repository von NetBSD verwehrt wurde. Daraufhin schuf Theo de Raadt mit einer Gruppe Gleichgesinnter auf Basis des Quelltextbaums von NetBSD ein neues offenes Betriebssystem, dessen Hauptziele Portabilit\u00e4t (Unterst\u00fctzung von 13 Hardware-Plattformen), Standardisierung, korrekte Funktionsweise, proaktive Sicherheit und integrierte kryptografische Mittel sind. Die Gr\u00f6\u00dfe des vollst\u00e4ndigen Installations-ISO-Images des Basis-Systems OpenBSD 7.4 betr\u00e4gt 630 MB. <\/p>\n
Neben dem Betriebssystem selbst ist das OpenBSD-Projekt f\u00fcr seine Komponenten bekannt, die in anderen Systemen verbreitet sind und sich als einige der sichersten und qualitativ hochwertigsten L\u00f6sungen etabliert haben. Dazu geh\u00f6ren: LibreSSL (Fork von OpenSSL), OpenSSH, das Paketfilter PF, die Routing-Demons OpenBGPD und OpenOSPFD, der NTP-Server OpenNTPD, der Mailserver OpenSMTPD, der Textterminal-Multiplexer (vergleichbar mit GNU screen) tmux, der identd-Daemon mit Implementierung des IDENT-Protokolls, die BSDL-Alternative zum GNU-Paket groff \u2014 mandoc, das Protokoll zur Einrichtung fehlertoleranter Systeme CARP (Common Address Redundancy Protocol), ein leichter HTTP-Server sowie das Hilfsprogramm zur Dateisynchronisierung OpenRSYNC. <\/p>\n
Hauptverbesserungen: <\/p>\n
\n
F\u00fcr die Architekturen amd64 und i386 wurden Komponenten zur Aktualisierung des Mikrocode f\u00fcr AMD-Prozessoren hinzugef\u00fcgt. Neue Mikrocode-Versionen werden automatisch beim Booten installiert. Zur Verteilung der Bin\u00e4rdateien mit Mikrocode wurde der Port \u201eports\/sysutils\/firmware\/amd\u201c vorbereitet. Die Installation des neuen Mikrocodes erfolgt mithilfe des Standardtools fw_update. Eine \u00e4hnliche Unterst\u00fctzung f\u00fcr die Aktualisierung des Mikrocode f\u00fcr Intel-Prozessoren wurde 2018 eingef\u00fchrt und in der Version OpenBSD 6.3 angeboten.\n
F\u00fcr den Kernel und den Benutzerraum wurden die Schutzmechanismen IBT (Indirect Branch Tracking, amd64) und BTI (Branch Target Identification, arm64) aktiviert, die dazu dienen, die Verletzung der normalen Ausf\u00fchrungsreihenfolge (control flow) durch Exploits zu blockieren, die die in den Speicher geschriebenen Funktionszeiger \u00e4ndern (der implementierte Schutz erlaubt es Schadcode nicht, einen Sprung in die Mitte einer Funktion auszuf\u00fchren).\n
Auf Systemen mit der Architektur arm64 wurde zur Sicherung des Benutzerraums die Zeiger-Autentifizierung (Pointer Authentication) aktiviert. Diese Technologie erm\u00f6glicht die Verwendung spezieller ARM64-Befehle zur \u00dcberpr\u00fcfung von R\u00fcckgabeadressen mithilfe digitaler Signaturen, die in den ungenutzten oberen Bits des Zeigers gespeichert sind.\n
Die Einstellungen des Systemcompilers clang sowie clang und gcc aus den Ports wurden ge\u00e4ndert, um die oben genannten Schutzmechanismen zu nutzen, was den Schutz aller grundlegenden Anwendungen und der meisten Anwendungen aus den Ports gegen Exploits, die Methoden des Return-Oriented Programming (ROP) verwenden, erheblich verst\u00e4rkt hat. Bei der Verwendung der ROP-Technik versucht der Angreifer nicht, eigenen Code im Speicher abzulegen, sondern arbeitet mit bereits vorhandenen Maschinencodes in den geladenen Bibliotheken, die mit einer R\u00fcckkehranweisung enden (in der Regel das Ende von Bibliotheksfunktionen). Die Funktionsweise des Exploits besteht darin, eine Kette von Aufrufen solcher Bl\u00f6cke (\u201eGadgets\u201c) zu erstellen, um die gew\u00fcnschte Funktionalit\u00e4t zu erhalten.\n
Ein neuer Systemaufruf kqueue1 wurde hinzugef\u00fcgt, der sich von kqueue durch die \u00dcbergabe von Flags unterscheidet. Derzeit wird in kqueue1 nur das Flag O_CLOEXEC (close-on-exec) zur automatischen Schlie\u00dfung von Dateideskriptoren im Kindprozess nach dem exec()-Aufruf unterst\u00fctzt.\n
F\u00fcr die Architekturen amd64 und i386 wurde die Unterst\u00fctzung des Pseudoger\u00e4ts dt zur Organisation der dynamischen Nachverfolgung von Systemen und Anwendungen implementiert. Zur Einf\u00fcgung benutzerdefinierter Eintr\u00e4ge in das ktrace-Protokoll wurde der Systemaufruf utrace hinzugef\u00fcgt.\n
Es wurden Korrekturen aus FreeBSD \u00fcbernommen, die undefiniertes Verhalten bei der Verwendung von MS-DOS-Dateisystemen beheben.\n
Die Option zum Mounten von softdep, die f\u00fcr verz\u00f6gertes gruppiertes Schreiben von Metadaten verwendet wird, wurde deaktiviert.\n
Programme, die durch den Systemaufruf unveil gesch\u00fctzt sind, d\u00fcrfen Core-Dumps im aktuellen Arbeitsverzeichnis speichern.\n
F\u00fcr die ARM64-Architektur wurde die M\u00f6glichkeit genutzt, in die tiefen Leerlaufzust\u00e4nde (idle) zu wechseln, die in den Apple M1\/M2-Chips verf\u00fcgbar sind, um Energie zu sparen und den Standby-Modus zu realisieren.\n
Ein Umgehungsschutz gegen die Zenbleed-Sicherheitsanf\u00e4lligkeit in AMD-Prozessoren wurde hinzugef\u00fcgt.\n
Die Unterst\u00fctzung f\u00fcr Multiprozessorsysteme (SMP) wurde verbessert. Die Funktion arprequest(), der Code zur Verarbeitung eingehender ARP-Pakete und die Implementierung zur Bestimmung benachbarter Knoten im IPv6-Stack sind von Sperren befreit worden.\n
Die Schnittstelle zur Synchronisierung der Paketfiltertabelle pfsync wurde neu geschrieben, um die Arbeit mit Sperren zu verbessern und die Kompatibilit\u00e4t mit zuk\u00fcnftigen Arbeiten zur Parallelisierung des Netzwerkstacks zu gew\u00e4hrleisten.\n
Die Implementierung des Frameworks drm (Direct Rendering Manager) wurde mit dem Linux-Kernel 6.1.55 synchronisiert (in der vorherigen Version \u2014 6.1.15). Die Leistung auf Systemen mit Intel-Prozessoren, die auf den Mikroarchitekturen Alder Lake und Raptor Lake basieren, wurde verbessert.\n
Verbesserungen wurden im Hypervisor VMM vorgenommen. In vmd wurde die Unterst\u00fctzung f\u00fcr ein multiprozessorbasiertes Modell f\u00fcr blockbasierte und Netzwerk-Virtio-Ger\u00e4te implementiert. F\u00fcr das blockbasierte Virtio-Ger\u00e4t wurde die Unterst\u00fctzung f\u00fcr vectorgest\u00fctzte Ein-\/Ausgabe im Zero-Copy-Modus hinzugef\u00fcgt. Der Zugriff von Gast-Systemen auf die p-state-Modi von AMD-Prozessoren wurde eingeschr\u00e4nkt. Eigent\u00fcmern virtuelle Maschinen<\/a> wurde die Erlaubnis erteilt, den zu ladenden Kernel \u00fcber vmctl zu \u00fcberschreiben.\n