{"id":110888,"date":"2023-10-17T03:10:16","date_gmt":"2023-10-17T01:10:16","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/vypusk-openbsd-7-4"},"modified":"2023-10-17T03:10:16","modified_gmt":"2023-10-17T01:10:16","slug":"vypusk-openbsd-7-4","status":"publish","type":"post","link":"https:\/\/prohoster.info\/es\/blog\/news\/vypusk-openbsd-7-4","title":{"rendered":"Lanzamiento de OpenBSD 7.4","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Se ha lanzado la versi\u00f3n del sistema operativo de c\u00f3digo abierto similar a UNIX, OpenBSD 7.4. El proyecto OpenBSD fue fundado por Theo de Raadt en 1995 tras un conflicto con los desarrolladores de NetBSD, que result\u00f3 en el cierre del acceso de Theo al repositorio CVS de NetBSD. Despu\u00e9s de esto, Theo de Raadt junto con un grupo de personas afines cre\u00f3 un nuevo sistema operativo abierto basado en el \u00e1rbol de c\u00f3digo fuente de NetBSD, cuyas principales metas de desarrollo fueron la portabilidad (se admiten 13 plataformas de hardware), la estandarizaci\u00f3n, el funcionamiento correcto, la seguridad proactiva y medios criptogr\u00e1ficos integrados. El tama\u00f1o de la imagen ISO de instalaci\u00f3n completa del sistema base OpenBSD 7.4 es de 630 MB. <\/p>\n
Adem\u00e1s del sistema operativo en s\u00ed, el proyecto OpenBSD es conocido por sus componentes, que se han extendido a otros sistemas y se han consolidado como algunas de las soluciones m\u00e1s seguras y de mayor calidad. Entre ellos se encuentran: LibreSSL (un fork de OpenSSL), OpenSSH, el filtro de paquetes PF, los demonios de enrutamiento OpenBGPD y OpenOSPFD, el servidor NTP OpenNTPD, el servidor de correo OpenSMTPD, el multiplexor de terminales de texto (similar a GNU screen) tmux, el demonio identd con implementaci\u00f3n del protocolo IDENT, la alternativa BSDL al paquete GNU groff \u2014 mandoc, el protocolo para organizar sistemas tolerantes a fallos CARP (Protocolo de Redundancia de Direcci\u00f3n Com\u00fan), un servidor http ligero y la utilidad de sincronizaci\u00f3n de archivos OpenRSYNC. <\/p>\n
Principales mejoras: <\/p>\n
\n
Se han a\u00f1adido componentes para actualizar el microc\u00f3digo para los procesadores AMD en las arquitecturas amd64 e i386. Las nuevas versiones del microc\u00f3digo se instalan autom\u00e1ticamente al arrancar. Se ha preparado un puerto para la distribuci\u00f3n de archivos binarios con el microc\u00f3digo: \u00abports\/sysutils\/firmware\/amd\u00bb. La instalaci\u00f3n del nuevo microc\u00f3digo se realiza mediante la herramienta est\u00e1ndar fw_update. Un soporte similar para la actualizaci\u00f3n del microc\u00f3digo de procesadores Intel se implement\u00f3 en 2018 y se ofreci\u00f3 en la versi\u00f3n OpenBSD 6.3.\n
Para el n\u00facleo y el espacio de usuario se han incluido mecanismos de protecci\u00f3n IBT (Indirect Branch Tracking, amd64) y BTI (Branch Target Identification, arm64), dise\u00f1ados para bloquear la violaci\u00f3n del orden normal de ejecuci\u00f3n (control flow) como resultado de la explotaci\u00f3n de exploits que modifican los punteros a funciones almacenados en memoria (la protecci\u00f3n implementada no permite que el c\u00f3digo malicioso salte a la mitad de una funci\u00f3n).\n
En sistemas con arquitectura arm64, se ha habilitado la autenticaci\u00f3n de punteros (Pointer Authentication) para proteger el espacio de usuario. La tecnolog\u00eda permite utilizar instrucciones especializadas de ARM64 para verificar las direcciones de retorno mediante firmas digitales almacenadas en los bits superiores no utilizados del propio puntero.\n
Se han modificado las configuraciones del compilador del sistema clang, as\u00ed como clang y gcc desde los puertos, para aplicar los mecanismos de protecci\u00f3n mencionados anteriormente, lo que ha reforzado significativamente la protecci\u00f3n de todas las aplicaciones b\u00e1sicas y de la mayor\u00eda de las aplicaciones de los puertos frente a exploits que utilizan t\u00e9cnicas de programaci\u00f3n orientada a retornos (ROP \u2014 Return-Oriented Programming). Al usar la t\u00e9cnica ROP, el atacante no intenta colocar su c\u00f3digo en la memoria, sino que opera con fragmentos de instrucciones de m\u00e1quina que ya est\u00e1n presentes en las bibliotecas cargadas, que terminan con una instrucci\u00f3n de retorno (generalmente, esto son el final de las funciones de biblioteca). El trabajo del exploit se reduce a construir una cadena de llamadas a bloques similares (\u00abgadgets\u00bb) para obtener la funcionalidad deseada.\n
Se ha a\u00f1adido una nueva llamada al sistema kqueue1, que se diferencia de kqueue en la transmisi\u00f3n de banderas. En este momento, kqueue1 solo soporta la bandera O_CLOEXEC (close-on-exec) para cerrar autom\u00e1ticamente los descriptores de archivo en el proceso hijo despu\u00e9s de la llamada a exec().\n
Para las arquitecturas amd64 e i386, se ha implementado soporte para el pseudodispositivo dt para organizar la trazabilidad din\u00e1mica del sistema y las aplicaciones. Se ha a\u00f1adido una llamada al sistema utrace para insertar registros de usuario en el log ktrace.\n
Se han transferido correcciones de FreeBSD que eliminan el comportamiento indefinido al usar sistemas de archivos MS-DOS.\n
Se ha deshabilitado la opci\u00f3n de montaje softdep, utilizada para la escritura de metadatos agrupados diferidos.\n
A los programas protegidos mediante la llamada al sistema unveil se les permite guardar core dumps en el directorio de trabajo actual.\n
Para la arquitectura ARM64 se ha habilitado la posibilidad de entrar en estados de inactividad profunda (idle), disponibles en los chips Apple M1\/M2, para ahorrar energ\u00eda y realizar el modo de espera.\n
Se ha a\u00f1adido una protecci\u00f3n de bypass contra la vulnerabilidad Zenbleed en los procesadores AMD.\n
Se ha mejorado el soporte para sistemas multiprocesador (SMP). Se han eliminado bloqueos de la funci\u00f3n arprequest(), el c\u00f3digo de procesamiento de paquetes ARP entrantes y la implementaci\u00f3n de la determinaci\u00f3n de nodos vecinos en la pila IPv6.\n
La interfaz de sincronizaci\u00f3n de la tabla del filtrado de paquetes pfsync ha sido reescrita para mejorar el funcionamiento con bloqueos y la compatibilidad con futuras labores de paralelizaci\u00f3n de la pila de red.\n
La implementaci\u00f3n del marco drm (Direct Rendering Manager) se ha sincronizado con el n\u00facleo de Linux 6.1.55 (en la versi\u00f3n anterior \u2014 6.1.15). Se ha mejorado el rendimiento en sistemas con procesadores Intel basados en las microarquitecturas Alder Lake y Raptor Lake.\n
Se han realizado mejoras en el hipervisor VMM. En vmd se ha implementado el soporte para un modelo multiprocesador para dispositivos virtio de bloques y de red. Se ha a\u00f1adido soporte para entrada\/salida vectorial en modo zero-copy en el dispositivo virtio de bloques. Se restringe el acceso de los sistemas invitados a los modos p-state de los procesadores AMD. A los propietarios m\u00e1quinas virtuales<\/a> se les permite sobrescribir el n\u00facleo de arranque mediante vmctl.\n