Sortie d'OpenBSD 7.2

La sortie du système d'exploitation libre de type UNIX OpenBSD 7.2 a été annoncée. Le projet OpenBSD a été fondé par Theo de Raadt en 1995, à la suite d'un conflit avec les développeurs de NetBSD, ce qui a conduit à la fermeture de son accès au dépôt CVS de NetBSD. Par la suite, Theo de Raadt et un groupe d'amis ont créé un nouveau système d'exploitation ouvert basé sur l'arbre de codes sources de NetBSD, avec comme principaux objectifs la portabilité (support de 13 plateformes matérielles), la normalisation, un fonctionnement correct, la sécurité proactive et des outils cryptographiques intégrés. La taille de l'image ISO d'installation complète de la version de base d'OpenBSD 7.2 est de 556 Mo.

En plus du système d'exploitation lui-même, le projet OpenBSD est connu pour ses composants qui ont été adoptés dans d'autres systèmes et qui se sont avérés être parmi les solutions les plus sûres et de la plus haute qualité. Parmi eux : LibreSSL (un fork d'OpenSSL), OpenSSH, le filtre de paquets PF, les démons de routage OpenBGPD et OpenOSPFD, le serveur NTP OpenNTPD, le serveur de messagerie OpenSMTPD, le multiplexeur de terminal texte (similaire à GNU screen) tmux, le démon identd implémentant le protocole IDENT, une alternative BSDL au paquet GNU groff — mandoc, le protocole pour la mise en place de systèmes tolérants aux pannes CARP (Common Address Redundancy Protocol), un serveur HTTP léger, et l'outil de synchronisation de fichiers OpenRSYNC.

Améliorations principales :

• Le support des systèmes basés sur l'architecture ARM a été amélioré, y compris l'ajout de la prise en charge des puces ARM Apple M2 et Ampere Altra. Ajout d'un support pour l'ordinateur portable Lenovo ThinkPad x13s et d'autres appareils basés sur SoC Qualcomm Snapdragon 8cx Gen 3 (SC8280XP).
• Ajout de la possibilité de démarrer dans les environnements Oracle Cloud avec un noyau pour disque RAM (bsd.rd) et un noyau pour systèmes multiprocesseurs (bsd.mp).
• Un dispositif kstat a été inclus, exportant des statistiques sur le fonctionnement du noyau, pouvant être consultées avec l'outil kstat.
• Des capteurs de fréquence CPU ont été implémentés pour chaque cœur de processeur prenant en charge MPERF/APERF. En fonctionnement sur batterie, un ajustement de la fréquence CPU en fonction de la charge est activé.
• Un support initial du mode veille a été ajouté sur les systèmes ARM64. La limite du nombre de CPU pris en charge a été augmentée à 256. Il est désormais possible de basculer depuis une console basée sur un framebuffer (glass console) vers une console série (serial console).
• Le code pour détecter les processeurs CPU 386sx/386dx, NexGen, Rise et les anciens processeurs Cyrix, sortis avant la puce Cyrix M2, a été supprimé.
• Le support des systèmes multiprocesseurs (SMP) a été amélioré. Les fonctions de limitation de bande passante (rate limit), de recherche d'enregistrements ARP et de minuteur de routage ont été mises à jour pour être mp-safe. La possibilité d'exécution parallèle d'opérations telles que la reconstruction de paquets IPv4 et le redirection des paquets IP a été mise en œuvre. Des verrous de sockets utilisant des mutex ont été ajoutés aux fonctions de traitement des paquets UDP et IP entrants. Les appels système kbind et pledge ont été débarrassés de verrous. Des verrous de sockets UNIX, fonctionnant au niveau des sockets individuels, ont été réalisés.
• La mise en œuvre du framework drm (Direct Rendering Manager) a été synchronisée avec le noyau Linux 5.15.69 (dans la version précédente — 5.15.26). Le pilote inteldrm a ajouté le support des puces Intel basées sur les microarchitectures Alder Lake et Raptor Lake. Le support des buffers de cadre non alignés sur les frontières de pages mémoire (utilisés, par exemple, dans le MacBook Pro 2021 14″ et 16″) a été réalisé.
• Des améliorations ont été apportées à l'hyperviseur VMM. Dans vmd, le support des gestionnaires en espace utilisateur basés sur MMIO a été ajouté. Dans vmm, l'émulation des ports d'entrée/sortie a été transférée dans l'espace utilisateur. Les structures internes et les interfaces de vmd, vmctl et vmm ont été unifiées. Une possibilité de surveillance a été ajoutée. machines virtuelles à l'aide de SNMP AgentX, en utilisant les paramètres VM-MIB (RFC7666).
• La variable $rcexec dans les scripts d'initialisation rc.d a été remplacée par la fonction rc_exec. Une nouvelle variable daemon_execdir a été ajoutée pour changer de répertoire avant d'exécuter la fonction rc_exec. Dans rc.d et rcctl, une nouvelle action configtest a été ajoutée pour vérifier la syntaxe de la configuration.
• L'utilitaire ts a été intégré, ajoutant à chaque ligne reçue via l'entrée standard un horodatage indiquant le moment de la réception de chaque ligne.
• L'utilitaire ps a ajouté l'option « -f » pour un regroupement des processus en arbre, reflétant les relations entre les processus parent et enfant.
• L'utilitaire openrsync a mis en œuvre l'option « —contimeout » pour définir un délai d'attente pour l'établissement de la connexion.
• L'utilitaire pkg_add inclut par défaut la mise en cache, optimisation du traitement des paquets et affichage d'une barre de progression lors de la transmission des données.
• Dans fdisk, le traitement des tables GPT et MBR a été amélioré, avec des avertissements ajoutés en cas de placement incorrect des partitions MBR et GPT.
• L'utilitaire disklabel a ajouté la prise en charge du mot-clé raid dans les modèles pour le placement automatique des partitions avec RAID. La prise en charge de l'édition des informations sur la géométrie du disque a été arrêtée. La prise en charge des attributs ‘bs’ (taille du bloc de démarrage), ‘sb’ (taille du superbloc) et d[0-4] (données du disque) a été arrêtée.
• Un ensemble de scripts utiles pour btrace pour le traçage dynamique et l'inspection des applications a été placé dans le répertoire /usr/share/btrace.
• La bibliothèque sonore sndio a ajouté la fonction sio_flush pour arrêter immédiatement la lecture.
• L'utilitaire llvm-profdata pour travailler avec des données de profilage a été inclus.
• L'utilitaire wc a accéléré le comptage des mots.
• Le support de nouveau matériel a été ajouté, y compris de nouveaux pilotes :
  • aplaudio (sous-système audio Apple).
  • aplmca (contrôleur MCA Apple).
  • aplsart (Apple SART).
  • alpdc, apldchidev, apldckbd, apldcms, aplrtk (clavier et trackpad Apple M2).
  • qcgpio, qciic (contrôleurs GPIO et GENI I2C pour Qualcomm Snapdragon).
  • sfgpio, stfclock, stfpinctrl, stftemp (pilotes pour GPIO, minuteur et capteurs des cartes SiFive).
  • sxirintc (contrôleur d'interruptions pour les puces Allwinner).
  • gpiorestart (pilote pour le rétablissement via GPIO).
  • Le support des capteurs d'alimentation a été élargi dans ipmi.
  • Dans ehci, le support du contrôleur utilisé sur les cartes Marvell 3720 a été ajouté.
• Dans le pilote igc pour les adaptateurs Ethernet gigabit Intel I225, l'accélération matérielle du calcul des sommes de contrôle pour IPv4, TCP et UDP a été incluse. Dans le pilote ix pour les adaptateurs Ethernet Intel 82598/82599/X540/X550, la prise en charge de l'accélération matérielle du traitement des segments TCP (Large Receive Offloading) a été mise en œuvre, activable avec l'option tso dans ifconfig.
• Le pilote iwx a ajouté la prise en charge des puces Intel AX210/AX211 et a élargi la gamme des dispositifs sans fil détectés.
• La possibilité de démarrer depuis des partitions RAID 1 logiciels (softraid) sur les systèmes amd64, sparc64 et arm64 a été ajoutée.
• Dans snmpd et xlock, la séparation des privilèges a été mise en œuvre.
• Dans les fonctions bind et connect pour les sockets UNIX, l'isolation basée sur l'appel système unveil a été assurée.
• Un nouvel appel système ypconnect a été ajouté pour créer un socket pour se connecter à serveur YP, en utilisant l'adresse IP du fichier bloqué ypbinding. Dans ypldap, un mode ‘local bind’ a été ajouté, où le socket RPC est lié à l'interface loopback pour exclure les connexions externes au serveur.
• Les programmes hcpleased, mountd, nfsd, pflogd, resolvd, slaacd et unwind répertoriés dans le répertoire /sbin ont été modifiés pour utiliser le liaison dynamique afin d'activer des mesures de sécurité supplémentaires applicables aux fichiers exécutables liés dynamiquement.
• Dans la pile réseau, les appels système sendmmsg et recvmmsg ont été implémentés, permettant d'organiser l'envoi et la lecture de plusieurs messages dans le cadre d'un seul appel système, qui auraient autrement nécessité des appels séparés sendmsg et recvmsg.
• Dans le filtre de paquets pf, le traitement des paquets IGMP et ICMP6 MLD (Multicast Listener Discovery) a été modifié, permettant de gérer les paquets multicast de contrôle dans la configuration par défaut. Une vérification plus stricte des messages IGMP / MLD a été mise en œuvre.
• Dans IPsec, la gestion des certificats a été améliorée. Dans iked, la compatibilité avec OpenIKED a été améliorée. La commande ikectl show stats a été étendue pour inclure des statistiques sur les connexions réussies et échouées vers iked.
• Dans bgpd, un filtre max-communities a été ajouté pour limiter le nombre de communautés permises, RFC 9234 (Prévention et détection des fuites de route à l'aide des rôles dans les messages UPDATE et OPEN) a été mis en œuvre, et un support complet de RFC 7911 (Annonce de plusieurs chemins dans BGP) a été assuré. Des hachages statiques ont été remplacés par des arbres RB pour améliorer les performances des grands systèmes. Un processus bgplgd a été ajouté avec la mise en œuvre d'un serveur FastCGI, fournissant une API REST pour les commandes bgpctl.
• Dans rpki-client, l'utilisation de plusieurs URI CRL dans les certificats est désormais autorisée, un paramètre skiplist a été implémenté pour ignorer les domaines, et la vérification d'ASPA (Autorisation de fournisseur de système autonome) et de fichiers sig a été ajoutée. Le décodage TAL (RFC 8630) a été mis en œuvre, le contrôle des certificats EE a été renforcé, et la compatibilité avec les spécifications HTTP a été améliorée.
• Dans snmpd, l'utilisation de noms d'objets dans snmpd.conf est désormais autorisée, en plus des OID. Il est désormais possible de définir une liste noire pour exclure les sous-arbres de la sortie. Le protocole AgentX a été amélioré avec le support de l'agent master.
• De nouvelles définitions de types MIME ont été proposées dans httpd.
• L'utilitaire ftp a été modifié pour utiliser des connexions gérées en mode non-bloquant via ppoll.
• Dans tmux (multiplexeur de terminal), la possibilité d'utiliser des ACL pour permettre la connexion de plusieurs utilisateurs via un seul socket a été ajoutée.
• Les paquets LibreSSL et OpenSSH ont été mis à jour. Un aperçu détaillé des améliorations est disponible dans les revues de LibreSSL 3.6.0 et OpenSSH 9.1.
• Le nombre de ports pour l'architecture AMD64 a atteint 11451 (contre 11301 auparavant), pour aarch64 — 11261 (contre 11081), pour i386 — 10225 (contre 10136). Parmi les versions des applications dans les ports :
  • Asterisk 16.28.0, 18.14.0 et 19.6.0
  • Audacity 2.4.2
  • CMake 3.24.2
  • Chromium 105.0.5195.125
  • Emacs 28.2
  • FFmpeg 4.4.2
  • GCC 8.4.0 et 11.2.0
  • GHC 9.2.4
  • GNOME 42.4
  • Go 1.19.1
  • JDK 8u342, 11.0.16 et 17.0.4
  • KDE Gear 22.08.1
  • KDE Frameworks 5.98.0
  • Krita 5.1.1
  • LLVM/Clang 13.0.0
  • LibreOffice 7.4.1.2
  • Lua 5.1.5, 5.2.4 et 5.3.6
  • MariaDB 10.9.3
  • Mono 6.12.0.182
  • Mozilla Firefox 105.0.1 et ESR 102.3.0
  • Mozilla Thunderbird 102.3.0
  • Mutt 2.2.7 et NeoMutt 20220429
  • Node.js 16.17.1
  • OCaml 4.12.1
  • OpenLDAP 2.6.3
  • PHP 7.4.30, 8.0.23 et 8.1.10
  • Postfix 3.7.2
  • PostgreSQL 14.5
  • Python 2.7.18, 3.9.14 et 3.10.7
  • Qt 5.15.6 et 6.3.1
  • R 4.2.1
  • Ruby 2.7.6, 3.0.4 et 3.1.2
  • Rust 1.63.0
  • SQLite 3.39.3
  • Shotcut 22.06.23
  • Sudo 1.9.11.2
  • Suricata 6.0.6
  • Tcl/Tk 8.5.19 et 8.6.12
  • TeX Live 2021
  • Vim 9.0.0192 et Neovim 0.7.2
  • Xfce 4.16
• Les composants des développeurs tiers inclus dans OpenBSD 7.2 ont été mis à jour :
  • La pile graphique Xenocara basée sur X.Org 7.7 avec xserver 1.21.4 + correctifs, freetype 2.12.1, fontconfig 2.13.94, Mesa 22.1.7, xterm 372, xkeyboard-config 2.20, fonttosfnt 1.2.2.
  • LLVM/Clang 13.0.0 (+ correctifs)
  • GCC 4.2.1 (+ patchs) et 3.3.6 (+ patchs)
  • Perl 5.32.1 (+ patchs)
  • NSD 4.6.0
  • Unbound 1.16.3
  • Ncurses 5.7
  • Binutils 2.17 (+ correctifs)
  • Gdb 6.3 (+ patch)
  • Awk 12.9.2022
  • Expat 2.4.9

Source : opennet.ru