Lanzamiento de OpenBSD 7.5

Se ha presentado el lanzamiento del sistema operativo de código abierto similar a UNIX OpenBSD 7.5. El proyecto OpenBSD fue fundado por Theo de Raadt en 1995 tras un conflicto con los desarrolladores de NetBSD, lo que resultó en el cierre del acceso de Theo al repositorio CVS de NetBSD. Posteriormente, Theo de Raadt, junto con un grupo de colaboradores, creó un nuevo sistema operativo abierto basado en el árbol de código fuente de NetBSD, cuyo desarrollo se centra en la portabilidad (compatibilidad con 13 plataformas de hardware), estandarización, correcta operación, seguridad proactiva y herramientas criptográficas integradas. El tamaño de la imagen ISO completa del sistema base OpenBSD 7.5 es de 630 MB.

Además del propio sistema operativo, el proyecto OpenBSD es conocido por sus componentes, que se han difundido en otros sistemas y se han consolidado como algunas de las soluciones más seguras y de mayor calidad. Entre ellos se encuentran: LibreSSL (fork de OpenSSL), OpenSSH, el filtro de paquetes PF, demonios de enrutamiento OpenBGPD y OpenOSPFD, servidor NTP OpenNTPD, servidor de correo OpenSMTPD, multiplexor de terminal de texto (análogo a GNU screen) tmux, demonio identd con implementación del protocolo IDENT, alternativa BSDL al paquete GNU groff — mandoc, protocolo para la organización de sistemas tolerantes a fallos CARP (Common Address Redundancy Protocol), servidor http liviano, herramienta de sincronización de archivos OpenRSYNC.

Principales mejoras:

• El instalador ha añadido soporte para el cifrado de la partición raíz. En el modo de instalación automatizada (autoinstall) se proporciona la opción de habilitar el cifrado de discos estableciendo una contraseña en texto claro o suministrando claves en un dispositivo separado. Las compilaciones para la arquitectura AMD64 cdXX.iso y installXX.iso están adaptadas para arrancar en modo EFI.
• Se ha añadido la llamada al sistema pinsyscalls, que permite restringir el acceso a las llamadas al sistema solo desde ciertas ubicaciones en el espacio de direcciones del proceso. El núcleo y ld.so pueden registrar el lugar exacto de entrada en cada llamada al sistema utilizada por el programa y la biblioteca libc.so, para bloquear posteriormente el envío de llamadas al sistema desde ubicaciones no registradas.
• Se ha eliminado el soporte para el acceso indirecto a las llamadas al sistema mediante la función syscall. Combinado con pinsyscalls, este cambio permite prohibir el acceso directo a las llamadas al sistema sin el uso de las envolturas proporcionadas en libc. Los paquetes que contienen accesos directos a las llamadas al sistema, como Perl y Go, han sido modificados para utilizar solo funciones de libc.
• En los sistemas ARM64, se ha ampliado el uso de los mecanismos de autenticación de punteros (PAC - Pointer Authentication) y de identificación de ramas (BTI - Branch Target Identification).
• Se ha añadido al interfaz de red ppp soporte para IPv6.
• En la herramienta netstat se ha implementado la salida de estadísticas sobre la eficacia de la caché de rutas (en la salida «netstat -s» ahora se muestran los contadores de aciertos y fallos de cache).
• En el filtro de paquetes pf se han tenido en cuenta los cambios en la pila de red relacionados con la paralelización de operaciones en sistemas multiprocesador. Al ejecutar la utilidad tcpdump con la interfaz de red pflog, se asegura la visualización de los paquetes descartados al activarse la regla por defecto con la acción 'block'. Para las reglas con la acción 'pass', se asegura la visualización de paquetes incorrectos bloqueados. Se ha añadido una comprobación de la validez de la configuración de opciones en paquetes IPv4.
• Se ha mejorado el soporte para sistemas multiprocesador (SMP). Se han convertido a la categoría de mp-safe los controladores de temporización en la pila de red, el conteo de paquetes para la interfaz de loopback y el módulo vscsi_filtops. Se ha garantizado la posibilidad de ejecutar simultáneamente llamadas al sistema bind y connect, así como operaciones con tablas UDP para IPv4 e IPv6. Se ha añadido soporte para el envío simultáneo de paquetes UDP desde diferentes hilos.
• Se ha mejorado el manejo de situaciones de desbordamiento de la sección de intercambio de memoria, se han añadido cambios para evitar bloqueos mutuos.
• En el núcleo para sistemas arm64 se ha implementado el almacenamiento en caché del contenido de los pools de tablas de páginas de memoria y descriptores PTE, lo que ha acelerado significativamente el funcionamiento en sistemas multinúcleo.
• Se han realizado mejoras en el hipervisor VMM. La implementación del dispositivo vionet ha sido reescrita para soportar multiprocesamiento y la transferencia de datos entre el host y el sistema invitado en modo zero-copy, sin almacenamiento intermedio. Se ha mejorado la estabilidad del hipervisor en sistemas con instrucciones Intel VMX. Se ha añadido protección adicional contra vulnerabilidades recientemente descubiertas en procesadores, relacionadas con la ejecución especulativa de instrucciones y filtraciones de datos residuales de registros.
• Para sistemas amd64 se ha añadido sysctl machdep.retpoline para gestionar la habilitación del mecanismo retpoline para protegerse contra ataques del tipo Spectre.
• La implementación del marco drm (Direct Rendering Manager) se ha sincronizado con el núcleo Linux 6.6.19 (en la versión anterior fue 6.1.55).
• Se ha añadido soporte para nuevo hardware y se han incorporado nuevos controladores relacionados con componentes de varios SoC, soporte de controladores Ethernet y la carga de trabajo de operaciones de red en las tarjetas de red.
• En el subsistema de sonido uaudio se permite la conexión de múltiples controladores para dispositivos de sonido.
• Se han añadido los controladores apldcp y apldrm para los controladores de pantalla utilizados en dispositivos Apple. Para el Apple Powerbook, se ha implementado la opción de controlar la retroiluminación del teclado.
• Se ha añadido el controlador qwx para los chips inalámbricos Qualcomm IEEE 802.11ax, creado mediante la portación del controlador ath11k del núcleo de Linux (incluido en el núcleo desde la rama 5.6). El controlador permite habilitar adaptadores inalámbricos utilizados en portátiles como el Lenovo ThinkPad X13s y el DELL XPS 9500. Para el funcionamiento del controlador, se requiere la instalación de archivos con el firmware.
• La utilidad pax ha añadido la funcionalidad de escritura en archivos pax, y la utilidad tar ha incorporado soporte para archivos pax de más de 8 GB.
• La utilidad ifconfig ha añadido soporte para especificar números de puerto para interfaces de red vinculadas a túneles, como gif y gre.
• En bgpd, el mecanismo de transmisión de mensajes y la mayoría de los analizadores de protocolos se han trasladado a una nueva API para un manejo seguro de la memoria.
• En rpki-client se ha añadido soporte experimental para el algoritmo de firmas digitales P-256. Se ha implementado la capacidad de restringir la acción del RPKI Trust Anchor solo a ciertos números de sistemas autónomos. Se ha añadido soporte para listas de prefijos firmados RPKI (Signed Prefix List).
• En smtpd se ha agregado soporte para RFC 7505 ("Null MX" para identificar dominios, que no reciben correo) y se ha habilitado la posibilidad de incrustar tablas y listas multilínea con filtros en smtpd.conf.
• Se ha proporcionado la opción de instalar el entorno de usuario KDE Plasma 5.27 a partir de paquetes kde-plasma y kde-plasma-extra (después de que se finalizara el soporte para KDE4, el uso del escritorio KDE Plasma 5 aún permanecía inoperante en OpenBSD). Se han propuesto las versiones KDE Plasma 5.27.10, KDE Applications 23.08.4 y KDE Frameworks 5.115.0 para la instalación.
• Se han actualizado los paquetes LibreSSL y OpenSSH. Una descripción detallada de las mejoras se puede consultar en las reseñas de LibreSSL 3.9.0, OpenSSH 9.6 y OpenSSH 9.7.
• El número de puertos para la arquitectura AMD64 ha sido: 12309 (antes 11845), para aarch64 — 12145 (antes 11508), para i386 — 10830 (antes 10603). Entre las versiones de aplicaciones en los puertos:
  • Asterisk 16.30.1, 18.21.0, 20.6.0
  • Audacity 3.4.2
  • CMake 3.28.3
  • Chromium 122.0.6261.111
  • FFmpeg 4.4.4
  • Firefox 123.0.1, ESR 115.8.0
  • GCC 8.4.0, 11.2.0
  • GHC 9.6.4
  • GNOME 45
  • Go 1.22.1
  • JDK 8u402, 11.0.22, 17.0.10, 21.0.2
  • Krita 5.2.2
  • LLVM/Clang 13.0.0, 16.0.6, 17.0.6
  • LibreOffice 24.2.1.2
  • Lua 5.1.5, 5.2.4, 5.3.6, 5.4.6
  • MariaDB 10.9.8
  • Mono 6.12.0.199
  • Mutt 2.2.13 y NeoMutt 20240201
  • Node.js 18.19.1
  • OCaml 4.14.1
  • OpenLDAP 2.6.7
  • PHP 7.4.33, 8.0.30, 8.1.27, 8.2.16, 8.3.3
  • Postfix 3.8.6
  • PostgreSQL 16.2
  • Python 2.7.18, 3.9.18, 3.10.13, 3.11.8
  • Qt 5.15.12 (+ parches kde), 6.6.1
  • R 4.2.3
  • Ruby 3.1.4, 3.2.3, 3.3.0
  • Rust 1.76.0
  • SQLite 3.44.2
  • Shotcut 23.07.29
  • Sudo 1.9.15.5
  • Suricata 7.0.3
  • Tcl/Tk 8.5.19, 8.6.13
  • TeX Live 2023
  • Thunderbird 115.8.1
  • Vim 9.1.139, Neovim 0.9.5
  • Xfce 4.18.1
• Componentes de terceros actualizados incluidos en OpenBSD 7.5:
  • Stack gráfico Xenocara basado en X.Org 7.7 con xserver 21.1.11 + parches, freetype 2.13.0, fontconfig 2.14.2, Mesa 23.1.9, xterm 378, xkeyboard-config 2.20, fonttosfnt 1.2.3.
  • LLVM/Clang 16.0.6 (+ parches)
  • GCC 4.2.1 (+ parches) y 3.3.6 (+ parches)
  • Perl 5.36.3 (+ parches)
  • NSD 4.8.0
  • Unbound 1.18
  • Ncurses 5.7
  • Binutils 2.17 (+ parches)
  • Gdb 6.3 (+ parche)
  • Awk 22.01.2024
  • Expat 2.6.0.
  • zlib 1.3.1 (+ parches).

Fuente: opennet.ru