{"id":110888,"date":"2023-10-17T03:10:16","date_gmt":"2023-10-17T01:10:16","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/vypusk-openbsd-7-4"},"modified":"2023-10-17T03:10:16","modified_gmt":"2023-10-17T01:10:16","slug":"vypusk-openbsd-7-4","status":"publish","type":"post","link":"https:\/\/prohoster.info\/fr\/blog\/news\/vypusk-openbsd-7-4","title":{"rendered":"Sortie de OpenBSD 7.4","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
La version du syst\u00e8me d'exploitation UNIX libre OpenBSD 7.4 a \u00e9t\u00e9 annonc\u00e9e. Le projet OpenBSD a \u00e9t\u00e9 fond\u00e9 par Theo de Raadt en 1995 apr\u00e8s un conflit avec les d\u00e9veloppeurs de NetBSD, qui a entra\u00een\u00e9 la fermeture de l'acc\u00e8s de Theo au d\u00e9p\u00f4t CVS de NetBSD. Apr\u00e8s cela, Theo de Raadt et un groupe de sympathisants ont cr\u00e9\u00e9 un nouveau syst\u00e8me d'exploitation ouvert bas\u00e9 sur l'arborescence des codes sources de NetBSD, dont les principaux objectifs sont la portabilit\u00e9 (soutien de 13 plates-formes mat\u00e9rielles), la normalisation, le bon fonctionnement, la s\u00e9curit\u00e9 proactive et les moyens cryptographiques int\u00e9gr\u00e9s. La taille de l'image ISO compl\u00e8te de la version de base d'OpenBSD 7.4 est de 630 Mo. <\/p>\n
En plus du syst\u00e8me d'exploitation lui-m\u00eame, le projet OpenBSD est connu pour ses composants qui ont \u00e9t\u00e9 adopt\u00e9s par d'autres syst\u00e8mes et se sont affirm\u00e9s comme des solutions parmi les plus s\u00fbres et de la plus haute qualit\u00e9. Parmi eux : LibreSSL (un fork d'OpenSSL), OpenSSH, le filtre de paquets PF, les d\u00e9mons de routage OpenBGPD et OpenOSPFD, le serveur NTP OpenNTPD, le serveur de messagerie OpenSMTPD, le multiplexeur de terminal texte (analogue \u00e0 GNU screen) tmux, le d\u00e9mon identd avec mise en \u0153uvre du protocole IDENT, l'alternative BSDL au paquet GNU groff \u2014 mandoc, le protocole pour l'organisation de syst\u00e8mes tol\u00e9rants aux pannes CARP (Common Address Redundancy Protocol), un serveur http l\u00e9ger, et l'outil de synchronisation de fichiers OpenRSYNC. <\/p>\n
Am\u00e9liorations principales : <\/p>\n
\n
Pour les architectures amd64 et i386, des composants pour la mise \u00e0 jour du microcode des processeurs AMD ont \u00e9t\u00e9 ajout\u00e9s. Les nouvelles versions du microcode s'installent automatiquement au d\u00e9marrage. Un port a \u00e9t\u00e9 pr\u00e9par\u00e9 pour la distribution des fichiers binaires contenant le microcode : 'ports\/sysutils\/firmware\/amd'. L'installation du nouveau microcode se fait via l'outil standard fw_update. Un support similaire pour la mise \u00e0 jour du microcode pour les processeurs Intel a \u00e9t\u00e9 mis en \u0153uvre en 2018 et propos\u00e9 dans la version OpenBSD 6.3.\n
Des m\u00e9canismes de protection IBT (Indirect Branch Tracking, amd64) et BTI (Branch Target Identification, arm64) ont \u00e9t\u00e9 int\u00e9gr\u00e9s au noyau et \u00e0 l'espace utilisateur, visant \u00e0 bloquer les violations de l'ordre normal d'ex\u00e9cution (control flow) r\u00e9sultant de l'utilisation d'exploits modifiant les pointeurs de fonction stock\u00e9s en m\u00e9moire (la protection mise en \u0153uvre emp\u00eache le code malveillant d'effectuer un saut au milieu d'une fonction).\n
Sur les syst\u00e8mes \u00e0 architecture arm64, l'authentification des pointeurs (Pointer Authentication) a \u00e9t\u00e9 int\u00e9gr\u00e9e pour prot\u00e9ger l'espace utilisateur. Cette technologie permet d'utiliser des instructions ARM64 sp\u00e9cialis\u00e9es pour v\u00e9rifier les adresses de retour \u00e0 l'aide de signatures num\u00e9riques qui sont stock\u00e9es dans les bits sup\u00e9rieurs inutilis\u00e9s du pointeur lui-m\u00eame.\n
Les param\u00e8tres du compilateur syst\u00e8me clang, ainsi que clang et gcc des ports, ont \u00e9t\u00e9 modifi\u00e9s pour appliquer les m\u00e9canismes de protection mentionn\u00e9s ci-dessus, ce qui renforce consid\u00e9rablement la s\u00e9curit\u00e9 de toutes les applications de base et de la plupart des applications des ports contre les exploits utilisant des techniques de programmation orient\u00e9e retour (ROP - Return-Oriented Programming). Lorsqu'une attaque utilise la technique ROP, l'attaquant ne cherche pas \u00e0 placer son code en m\u00e9moire, mais utilise des morceaux d'instructions machine d\u00e9j\u00e0 pr\u00e9sents dans les biblioth\u00e8ques charg\u00e9es, se terminant par une instruction de retour (g\u00e9n\u00e9ralement, ce sont des terminaisons de fonctions de biblioth\u00e8que). Le fonctionnement de l'exploit se r\u00e9duit \u00e0 la construction d'une cha\u00eene d'appels de tels blocs ('gadgets') pour obtenir la fonctionnalit\u00e9 requise.\n
Un nouvel appel syst\u00e8me kqueue1 a \u00e9t\u00e9 ajout\u00e9, qui diff\u00e8re de kqueue par le passage de drapeaux. Actuellement, seul le drapeau O_CLOEXEC (close-on-exec) est pris en charge dans kqueue1 pour fermer automatiquement les descripteurs de fichiers dans le processus fils apr\u00e8s l'appel de exec().\n
Pour les architectures amd64 et i386, une prise en charge du pseudo-dispositif dt a \u00e9t\u00e9 mise en \u0153uvre pour organiser le tra\u00e7age dynamique du syst\u00e8me et des applications. Pour ins\u00e9rer des enregistrements utilisateur dans le journal ktrace, un appel syst\u00e8me utrace a \u00e9t\u00e9 ajout\u00e9.\n
Des correctifs ont \u00e9t\u00e9 transf\u00e9r\u00e9s depuis FreeBSD pour \u00e9liminer les comportements ind\u00e9finis lors de l'utilisation des syst\u00e8mes de fichiers MS-DOS.\n
L'option de montage softdep, appliqu\u00e9e pour l'\u00e9criture group\u00e9e diff\u00e9r\u00e9e des m\u00e9tadonn\u00e9es, a \u00e9t\u00e9 d\u00e9sactiv\u00e9e.\n
Les programmes prot\u00e9g\u00e9s par l'appel syst\u00e8me unveil sont autoris\u00e9s \u00e0 sauvegarder des dumps core dans le r\u00e9pertoire de travail actuel.\n
Pour l'architecture ARM64, la possibilit\u00e9 de passer \u00e0 des \u00e9tats d'inactivit\u00e9 profonds (idle) disponibles dans les puces Apple M1\/M2 a \u00e9t\u00e9 activ\u00e9e, pour \u00e9conomiser de l'\u00e9nergie et r\u00e9aliser un mode veille.\n
Une protection par contournement contre la vuln\u00e9rabilit\u00e9 Zenbleed dans les processeurs AMD a \u00e9t\u00e9 ajout\u00e9e.\n
La prise en charge des syst\u00e8mes multiprocesseurs (SMP) a \u00e9t\u00e9 am\u00e9lior\u00e9e. Les fonctions arprequest(), le code de traitement des paquets ARP entrants et la mise en \u0153uvre de la d\u00e9tection des n\u0153uds voisins dans la pile IPv6 ont \u00e9t\u00e9 d\u00e9barrass\u00e9s des verrous.\n
L'interface de synchronisation des tables de filtrage des paquets pfsync a \u00e9t\u00e9 r\u00e9\u00e9crite pour am\u00e9liorer le fonctionnement avec les verrous et la compatibilit\u00e9 avec les travaux futurs de parall\u00e9lisation de la pile r\u00e9seau.\n
La mise en \u0153uvre du framework drm (Direct Rendering Manager) est synchronis\u00e9e avec le noyau Linux 6.1.55 (dans la version pr\u00e9c\u00e9dente - 6.1.15). Les performances ont \u00e9t\u00e9 am\u00e9lior\u00e9es sur les syst\u00e8mes avec des processeurs Intel bas\u00e9s sur les microarchitectures Alder Lake et Raptor Lake.\n
Des am\u00e9liorations ont \u00e9t\u00e9 apport\u00e9es \u00e0 l'hyperviseur VMM. Le support d'un mod\u00e8le multiprocessus pour les p\u00e9riph\u00e9riques virtio de bloc et r\u00e9seau a \u00e9t\u00e9 impl\u00e9ment\u00e9 dans vmd. Le p\u00e9riph\u00e9rique virtio de bloc a ajout\u00e9 le support de l'E\/S vectorielle en mode zero-copy. L'acc\u00e8s des syst\u00e8mes invit\u00e9s aux modes p-state des processeurs AMD est limit\u00e9. Aux propri\u00e9taires machines virtuelles<\/a> il est permis de red\u00e9finir le noyau de d\u00e9marrage via vmctl.\n