{"id":110888,"date":"2023-10-17T03:10:16","date_gmt":"2023-10-17T01:10:16","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/vypusk-openbsd-7-4"},"modified":"2023-10-17T03:10:16","modified_gmt":"2023-10-17T01:10:16","slug":"vypusk-openbsd-7-4","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/novosti-interneta\/vypusk-openbsd-7-4","title":{"rendered":"Rilascio di OpenBSD 7.4","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
\u00c8 stata rilasciata la versione del sistema operativo open source simile a UNIX, OpenBSD 7.4. Il progetto OpenBSD \u00e8 stato fondato da Theo de Raadt nel 1995 dopo un conflitto con gli sviluppatori di NetBSD, che ha portato alla chiusura dell'accesso di Theo al repository CVS di NetBSD. Successivamente, Theo de Raadt e un gruppo di sostenitori hanno creato un nuovo sistema operativo open source basato sull'albero dei sorgenti di NetBSD, i cui principali obiettivi sono stati la portabilit\u00e0 (supporto per 13 piattaforme hardware), la standardizzazione, il corretto funzionamento, la sicurezza proattiva e strumenti crittografici integrati. La dimensione dell'immagine ISO completa della base del sistema OpenBSD 7.4 \u00e8 di 630 MB. <\/p>\n
Oltre al sistema operativo stesso, il progetto OpenBSD \u00e8 noto per i suoi componenti, che hanno trovato applicazione in altri sistemi e si sono affermati come tra le soluzioni pi\u00f9 sicure e di alta qualit\u00e0. Tra questi: LibreSSL (fork di OpenSSL), OpenSSH, il filtro di pacchetti PF, i demoni di routing OpenBGPD e OpenOSPFD, il server NTP OpenNTPD, il server di posta OpenSMTPD, il multiplexer di terminale testuale (simile a GNU screen) tmux, il demone identd con implementazione del protocollo IDENT, l'alternativa BSDL al pacchetto GNU groff \u2014 mandoc, il protocollo per la gestione dei sistemi ad alta disponibilit\u00e0 CARP (Common Address Redundancy Protocol), un leggero server http, l'utility di sincronizzazione dei file OpenRSYNC. <\/p>\n
Miglioramenti principali: <\/p>\n
\n
Per le architetture amd64 e i386 sono stati aggiunti componenti per l'aggiornamento del microcodice dei processori AMD. Le nuove versioni del microcodice vengono installate automaticamente al momento dell'avvio. \u00c8 stato preparato un port per la distribuzione dei file binari del microcodice chiamato «ports\/sysutils\/firmware\/amd». L'installazione del nuovo microcodice avviene tramite l'utilit\u00e0 fw_update. Un analogo supporto per l'aggiornamento del microcodice per i processori Intel \u00e8 stato implementato nel 2018 e offerto nella versione OpenBSD 6.3.\n
Per il kernel e lo spazio utente sono stati inclusi meccanismi di protezione IBT (Indirect Branch Tracking, amd64) e BTI (Branch Target Identification, arm64), destinati a bloccare le violazioni dell'ordine normale di esecuzione (control flow) a causa di exploit che alterano i puntatori alle funzioni memorizzati in memoria (la protezione implementata impedisce al codice dannoso di eseguire un salto a met\u00e0 funzione).\n
Nei sistemi con architettura arm64 \u00e8 stata attivata l'autenticazione dei puntatori (Pointer Authentication) per proteggere lo spazio utente. Questa tecnologia consente di usare istruzioni ARM64 specializzate per verificare gli indirizzi di ritorno mediante firme digitali, che sono memorizzate nei bit superiori non utilizzati dello stesso puntatore.\n
Le impostazioni del compilatore di sistema clang, cos\u00ec come clang e gcc dai port, sono state modificate per applicare i meccanismi di protezione sopra citati, il che ha notevolmente aumentato la sicurezza di tutte le applicazioni di base e della maggior parte delle applicazioni dai port contro exploit che utilizzano tecniche di Return-Oriented Programming (ROP). Utilizzando la tecnica ROP, l'attaccante non cerca di inserire il proprio codice in memoria, ma opera su porzioni di istruzioni di macchina gi\u00e0 presenti nelle librerie caricate, che terminano con l'istruzione di ritorno dal controllo (di solito si tratta di funzioni di libreria). Il funzionamento dell'exploit consiste nel costruire una catena di chiamate a tali blocchi ('gadget') per ottenere la funzionalit\u00e0 desiderata.\n
\u00c8 stata aggiunta una nuova chiamata di sistema kqueue1, che si differenzia da kqueue per il passaggio di flag. Attualmente in kqueue1 \u00e8 supportato solo il flag O_CLOEXEC (close-on-exec) per la chiusura automatica dei descrittori di file nei processi figlio dopo la chiamata a exec().\n
Per le architetture amd64 e i386 \u00e8 stata implementata la supporto per il pseudo-dispositivo dt per organizzare il tracciamento dinamico del sistema e delle applicazioni. \u00c8 stata aggiunta una chiamata di sistema utrace per inserire registrazioni utente nel log ktrace.\n
Sono stati trasportati correzioni da FreeBSD che eliminano comportamenti indefiniti durante l'uso dei file system MS-DOS.\n
\u00c8 stata disattivata l'opzione di montaggio softdep, utilizzata per la scrittura in ritardo dei metadati raggruppati.\n
Ai programmi protetti tramite la chiamata di sistema unveil \u00e8 consentito salvare i core dump nella cartella di lavoro corrente.\n
Per l'architettura ARM64 \u00e8 stata implementata la possibilit\u00e0 di passare a stati di inattivit\u00e0 profondi (idle), disponibili nei chip Apple M1\/M2, per risparmiare energia e implementare la modalit\u00e0 di sospensione.\n
\u00c8 stata aggiunta una protezione bypass della vulnerabilit\u00e0 Zenbleed nei processori AMD.\n
\u00c8 stato migliorato il supporto per i sistemi multiprocessore (SMP). Sono stati eliminati i blocchi nelle funzioni arprequest(), nel codice di gestione dei pacchetti ARP in ingresso e nell'implementazione della determinazione dei nodi vicini nello stack IPv6.\n
L'interfaccia di sincronizzazione delle tabelle del filtro dei pacchetti pfsync \u00e8 stata riscritta per migliorare il funzionamento con i blocchi e la compatibilit\u00e0 con i futuri lavori di parallelizzazione dello stack di rete.\n
L'implementazione del framework drm (Direct Rendering Manager) \u00e8 stata sincronizzata con il kernel Linux 6.1.55 (nell'ultima versione era 6.1.15). \u00c8 stato migliorato il funzionamento sui sistemi con processori Intel basati sulle microarchitetture Alder Lake e Raptor Lake.\n
Sono stati apportati miglioramenti all'ipervisore VMM. In vmd \u00e8 stata implementata la supporto per il modello multiprocessore per dispositivi virtio a blocchi e di rete. In un dispositivo virtio a blocchi \u00e8 stata aggiunta la supporto per l'input\/output vettoriale in modalit\u00e0 zero-copy. \u00c8 stato limitato l'accesso dei sistemi ospite ai modi p-state dei processori AMD. di macchine virtuali<\/a> \u00e8 consentito sovrascrivere il kernel di avvio tramite vmctl.\n