rilascio di un sistema operativo simile a UNIX multipiattaforma . Il progetto OpenBSD è stato fondato da Theo de Raadt nel 1995 dopo con gli sviluppatori di NetBSD, a seguito del quale l'accesso di Theo al repository CVS di NetBSD è stato bloccato. Dopo questo, Theo de Raadt insieme a un gruppo di sostenitori ha creato un nuovo sistema operativo open source basato sull'albero dei sorgenti di NetBSD, i cui principali obiettivi di sviluppo sono stati la portabilità ( 12 piattaforme hardware), standardizzazione, funzionamento corretto, sicurezza attiva e strumenti crittografici integrati. La dimensione dell'installazione completa del sistema di base OpenBSD 6.7 è di 470 MB.
Oltre al sistema operativo stesso, il progetto OpenBSD è noto per i suoi componenti, che hanno trovato diffusione in altri sistemi e si sono distinti come tra le soluzioni più sicure e di qualità. Tra questi: ( OpenSSL), , filtro pacchetto , demoni di routing , server NTP , server di posta , multiplexer di terminale testuale (analogo a GNU screen) , demone con l'implementazione del protocollo IDENT, un'alternativa BSDL al pacchetto GNU groff — , protocollo per l'organizzazione di sistemi fault-tolerant CARP (Common Address Redundancy Protocol), leggero , utility di sincronizzazione dei file .
Principali :
- Il file system FFS2, che utilizza valori temporali e numeri di blocco a 64 bit, è attivato per impostazione predefinita nelle nuove installazioni per quasi tutte le architetture supportate, invece di FFS (ad eccezione di landisk, luna88k e sgi).
- È stata aggiunta una nuova metodologia di verifica della validità delle chiamate di sistema, rendendo più complessa l'esploitazione delle vulnerabilità. Il metodo consente l'esecuzione di chiamate di sistema solo se richiamate da aree di memoria precedentemente registrate. È stata proposta una nuova chiamata di sistema msyscall() per contrassegnare le aree di memoria e attivare la protezione.
- Il numero di partizioni che possono essere create su un singolo disco è stato aumentato da 7 a 15.
- Il codice di parsing delle opzioni in cron è stato riscritto per supportare funzionalità simili a getopt, come «-ns» e la reinvocazione degli stessi flag. Il campo «options» nel crontab è stato rinominato in «flags». Nel crontab è stato aggiunto il flag «-s», che consente l'esecuzione di un solo esemplare del job contemporaneamente. È stato aggiunto l'operatore «~» per specificare un valore casuale di tempo.
- Nel gestore di finestre cwm è stata implementata la possibilità di definire la dimensione della finestra come percentuale delle dimensioni della finestra principale durante il layout a mosaico.
- Per l'architettura powerpc è stata effettuata la transizione predefinita all'uso di Clang e è stata adottata un'implementazione di mplock indipendente dall'architettura.
- In apmd è migliorato il supporto per la transizione automatica in modalità attesa e sospensione (-z/-Z) — il demone ora risponde ai messaggi di cambiamento della carica della batteria inviati dal driver di controllo dell'energia. La transizione in sospensione avviene con un ritardo di 60 secondi, dando all'utente il tempo di riprendere il controllo.
- È stata aggiunta una variabile di configurazione $REQUEST_SCHEME al server HTTP incorporato per mantenere il protocollo originale (http o https) durante il reindirizzamento, insieme all'opzione "strip", che consente di utilizzare più chroot in /var/www per i server FastCGI.
- Nell'utilità top è stata introdotta la supporto per lo scrolling tramite i tasti 9 e 0.
- È stato presentato un meccanismo per il rilascio delle pagine di memoria in ordine inverso, che aumenta notevolmente l'efficienza del rilascio attivo di un grande numero di pagine.
- Nel server DNS unbound, il controllo DNSSEC è abilitato per impostazione predefinita.
- Le chiamate di sistema sono state liberate dal blocco globale.
__thrsleep(2), __thrwakeup(2), close(2), closefrom(2), dup(2), dup2(2), dup3(2), flock(2), fcntl(2), kqueue(2), pipe(2), pipe2(2) e nanosleep(2), così come parte base di ioctl(2). - È stato ampliato il supporto hardware. È stato aggiunto un nuovo driver iwx per i chip wireless Intel AX200, e nel driver iwm è stato aggiunto il supporto per i dispositivi Intel 9260 e 9560. È stato aggiunto il driver rge per il PCI Express 2.5Gb Realtek 8125. Sono stati proposti molti nuovi driver per migliorare le prestazioni sulle schede arm64 e armv7, inclusa l'aggiunta del supporto per la scheda Raspberry Pi 4 e il miglioramento del supporto per Raspberry Pi 2 e 3.
- È stata ampliata la sottosistema audio sndio. Aggiunti le API sioctl_open e l'utilità sndioctl per gestire il suono tramite sndiod. Rimosso /dev/mixer, con tutti i porti trasferiti su sndio invece dell'interfaccia mixer del kernel. In sndiod è garantito l'uso dei meccanismi hardware di controllo del volume. Per aumentare la sicurezza, l'accesso degli utenti normali a /dev/audio* e /dev/rmidi* è stato vietato.
- Nel stack wireless è stata interrotta la connessione a qualsiasi rete Wi-Fi disponibile che non supporta la crittografia, tranne per l'esplicita chiamata al comando «ifconfig join». È garantita l'esecuzione della scansione in background delle reti disponibili quando viene eseguito il comando «ifconfig scan» dall'utente root. È aumentata la cache dei risultati della scansione. Aggiunto un flag «nwflag nomimo» installabile tramite ifconfig, che aiuta a ridurre la perdita di pacchetti in modalità 11n in presenza di connettori per antenne non collegati. Per il driver bwfm è stato aggiunto il supporto per la modalità di scansione attiva. Migliorato il passaggio automatico tra le reti wireless abbassando la priorità per le reti a cui non è stato possibile connettersi.
- È stato introdotto un nuovo driver pppac nello stack di rete, che implementa l'interfaccia PPP Access Concentrator. Le impostazioni di npppd.conf sono state aggiornate per utilizzare pppac al posto di tun. Con il reindirizzamento dei pacchetti disattivato, è stata aggiunta un controllo della corrispondenza tra l'indirizzo di destinazione nel pacchetto e l'indirizzo dell'interfaccia di rete. È stata rimossa la supporto per mobileip.
- Agli utenti senza diritti root è vietato utilizzare ioctl per modificare l'indirizzo dell'interfaccia di rete e modificare i parametri delle interfacce pppoe.
- In sysupgrade è garantito l'avvio dell'aggiornamento dei firmware (fw_update) prima del riavvio durante l'aggiornamento.
- È stata migliorata la system call unveil, che garantisce l'isolamento dell'accesso al file system. Il numero di applicazioni nel sistema di base per cui è stata implementata la protezione tramite unveil è stato portato a 82. Tra queste, vmstat, iostat e systat sono state trasferite su unveil.
- Nel crypto(3) è stato aggiunto il supporto per RSA-PSS.
- Nel resolver DNS unwind è stato aggiunto il supporto per DoT (DNS over TLS). È stato aggiunto il comando “unwindctl status memory”.
- È stata significativamente migliorata l'implementazione di ipsec. È stata aggiunta la supporto per lo spostamento automatico del traffico tra rdomain durante la crittografia e la decrittografia per proteggersi dagli attacchi su canali esterni. In iked è stata aggiunta la possibilità di modificare rdomain, e in iked.conf è stata aggiunta l'opzione 'rdomain'.
Per iked e isakmpd, il livello IPSEC_LEVEL_REQUIRE è impostato di default, vietando il trattamento dei pacchetti non crittografati che corrispondono al flusso. Sono stati aggiunti algoritmi curve25519, ecp256, ecp384, ecp521, modp3072 e modp4096 alle impostazioni del gruppo Diffie-Hellman per IKE SA. In iked, il metodo di autenticazione predefinito è stato cambiato in autenticazione a firma digitale (RFC 7427). Sono state aggiunte impostazioni ESN in iked.conf. È stata aggiunta l'opzione '-p' per selezionare un numero di porta UDP non standard. - Sono state ampliate le funzionalità del multiplexer terminale tmux, con molte nuove opzioni aggiunte.
- È stata aggiornata la versione del server di posta OpenSMTPD. Nei filtri integrati è stata implementata la parola chiave 'bypass' per saltare l'elaborazione in determinate condizioni. È stato autorizzato l'uso nel filtro del nome utente della sessione smtpd corrente. In smtpd.conf, è stato consentito l'uso di mail-from e rctp-to nei parametri.
- È stato aggiornato il pacchetto OpenSSH 8.2, che ora supporta i token di autenticazione a due fattori FIDO/U2F. È possibile visualizzare una panoramica dettagliata delle migliorie. .
- Il pacchetto LibreSSL ha raggiunto la fase finale dell'implementazione di TLS 1.3 basata su un nuovo automa e sottosistema per la gestione dei record. Attualmente, è attivata solo la parte client di TLS 1.3, mentre la parte server sarà attivata di default in una delle prossime versioni. Un elenco delle altre modifiche è disponibile negli annunci delle versioni. e .
- Il numero di porte per l'architettura AMD64 è di 11268, per aarch64 è di 10848, e per i386 è di 10715. Sono stati aggiornati i componenti di terze parti inclusi in OpenBSD 6.7:
- Il sistema grafico Xenocara basato su X.Org 7.7 con xserver 1.20.8 + patch, freetype 2.10.1, fontconfig 2.12.4, Mesa 19.2.8, xterm 351, xkeyboard-config 2.20;
- LLVM/Clang 8.0.1 (con patch)
- GCC 4.2.1 (con patch) e 3.3.6 (con patch)
- Perl 5.30.2 (con patch)
- NSD 4.2.4
- Unbound 1.10.0
- Ncurses 5.7
- Binutils 2.17 (con patch)
- Gdb 6.3 (con patch)
- Awk dal 20 dicembre 2012.
- Expat 2.2.8
Fonte: opennet.ru
