שחרור של OpenBSD 6.5

ראה את האור שחרור של מערכת הפעלה חינמית, חוצת פלטפורמות דמוי UNIX OpenBSD 6.5. פרויקט OpenBSD נוסד על ידי תיאו דה ראאדט ב-1995, לאחר מכן סְתִירָה עם מפתחי NetBSD, כתוצאה מכך נדחתה ל-Teo גישה למאגר NetBSD CVS. לאחר מכן, תיאו דה ראאדט וקבוצה של אנשים בעלי דעות דומות יצרו מערכת הפעלה פתוחה חדשה המבוססת על עץ המקור של NetBSD, שמטרותיה העיקריות היו ניידות (נתמך על ידי 13 פלטפורמות חומרה), סטנדרטיזציה, פעולה נכונה, אבטחה אקטיבית וכלי הצפנה משולבים. גודל התקנה מלא תמונת ISO מערכת הבסיס OpenBSD 6.5 היא 407 מגה-בייט.

בנוסף למערכת ההפעלה עצמה, פרויקט OpenBSD ידוע ברכיביו, שהפכו נפוצים במערכות אחרות והוכיחו את עצמם כאחד הפתרונות המאובטחים והאיכותיים ביותר. ביניהם: LibreSSL (מזלג OpenSSL), OpenSSH, מסנן מנות PF, ניתוב דמונים OpenBGPD ו-OpenOSPFD, שרת NTP OpenNTPD, שרת דואר OpenSMTPD, מרבב מסוף טקסט (בדומה למסך GNU) tmux, דמון זהה עם יישום של פרוטוקול IDENT, חלופה BSDL לחבילת GNU groff - מנדוק, פרוטוקול לארגון מערכות סובלנות תקלות CARP (Common Address Redundancy Protocol), קל משקל שרת http, כלי עזר לסנכרון קבצים OpenRSYNC.

בין השינויים הבולטים: הוצגה גרסה ניידת של bgpd, שהותאמה לעבודה במערכות הפעלה אחרות, בוטל השימוש בהרשאות השורש של Xenocara ו-tcpdump, מקשר ה-LDD מופעל כברירת מחדל עבור amd64 ו-i386, תמיכה ב-MPLS השתפרה באופן משמעותי, וההגנה מפני ניצולים באמצעות טכניקות מעקב לאחור התחזקה. תכנות מכוון (ROP), התווספה ה-Recursive Recursive Server DNS, הפיתוח הפשוט ביותר של שרת DNS, גלאי התנהגות לא מוגדר שולב בקרנל, והיישום שלנו של כלי השירות rsync הוצג.

העיקרי שיפורים:

• בעת בנייה עבור ארכיטקטורות amd64 ו-i386, נעשה שימוש בקישור LDD שפותח על ידי פרויקט LLVM כברירת מחדל. עבור ארכיטקטורת mips64, נוספה תמיכה בבנייה באמצעות Clang;
• מנהלי התקנים של pvclock חדשים לטיימר KVM הפרוירטואליזציה ו-ixl עבור Intel Ethernet 700. מנהל ההתקן של uaudio הוחלף ביישום חדש עם תמיכה ב-USB Audio 2.0.
• ביצועים משופרים של מנהלי התקנים אלחוטיים bwfm, iwn, iwm ו-athn. תמיכה בהודעות RTM_80211INFO נוספה למחסנית האלחוטית כדי להעביר מידע מפורט על מצב הממשק ל-dhclient ולפקודות המסלול. ההתנהגות השקטה בעת חיבור לרשתות אלחוטיות שונתה - אם יש לך רשימת חיבור אוטומטי מוגדרת, OpenBSD כבר לא מתחבר לרשתות פתוחות לא ידועות (כדי להחזיר את ההתנהגות הקודמת, אתה יכול להוסיף רשת ריקה לרשימה);
• מחסנית הרשת מציגה מנהלי התקנים פסאודו-התקנים חדשים של bpe (Backbone Provider Edge) ו-mpip (MPLS IP layer 2). נוספה תמיכה בהגדרת תחומי ניתוב חלופיים עבור ממשקי MPLS. מנהל התקן vlan הופעל לעקוף עיבוד תור ופלט ישירות לממשק רשת האב. נוסף מצב txprio ל-ifconfig כדי לשלוט בקידוד עדיפות בכותרות של מנות במנהור (נתמך עבור מנהלי התקנים vlan, gre, gif ו-etherip);
• ביישום מסנן bpf, ניתן היה להשתמש במנגנון הירידה ללא לכידת מנות. תכונה זו משמשת ב-tcpdump כדי לסנן בשלב הראשוני של חבילה המתקבלת על ידי התקן;
• תוכנית ההתקנה מספקת תמיכה rdsetroot כדי להוסיף תמונת דיסק לליבה RAMDISK. הבטיח הסרה של חלק מהרכיבים של מהדורות ישנות במהלך תהליך עדכון המערכת;
• שיחת מערכת משופרת לַחשׂוֹף, המספק בידוד גישה למערכת הקבצים. הגרסה החדשה מוסיפה זיהוי של התאמות ביחס לספריית העבודה של התהליך הנוכחי בעת ניתוח נתיבים יחסיים. השימוש בסטטיסטיקה וגישה לרכיבי נתיב קבצים מוגבלים אסורים. עבור יישומים ospfd, ospf6d, rebound, getconf, kvm_mkdb, bdftopcf, Xserver, passwd, spamlogd, spamd, sensorsd, snmpd, htpasswd ו-ifstated, מיושמת הגנה באמצעות unveil;
• Clang שיפר כלים לחסימת השימוש בטכניקות תכנות מונחה החזרה (ROP), מה שהפחית משמעותית את מספר הגאדג'טים הפולימורפיים שנמצאו בקבצי ההפעלה שהתקבלו עבור הארכיטקטורות i386 ו-amd64;
• Clang שיפר ביצועים ואבטחה בעת השימוש
  מנגנון הגנה שומר, שמטרתו לסבך את הביצוע של ניצולים שנבנו באמצעות השאלת פיסות קוד וטכניקות תכנות מוכוונות החזרה. כדי להאיץ את הפעולה, הנתונים ממוקמים ברגיסטרים במקום במחסנית במידת האפשר, והמטמון של המעבד משמש בצורה יעילה יותר בעת החזרה. RETGUARD משמש כעת גם במקום הגנת מחסנית מסורתית במערכות amd64 ו-arm64;

• כלי עזר הקשורים לערימת הרשת שופרו: נוספה תמיכה בסינון מנות MPLS ל-pcap-filter. היכולת להגדיר עדיפויות ניתוב נוספה ל-ospfd, ospf6d ו-ripd. IN
  ripd הוסיף הגנה מבוססת מנגנון משכון. הוסיפו מצבי sff ו-sffdump ל-ifconfig כדי לקבל מידע אבחון ממשדרים אופטיים;

• הוצגה מהדורה ראשונה של פותר חדש להירגע, המעבד שאילתות DNS רקורסיביות ומקבל חיבורים רק בממשק 127.0.0.1.
  Unwind מיועד לשימוש במערכות לקוח, כגון מחשבים ניידים, הנעים בין רשתות אלחוטיות שונות. אם הוא מזהה חסימה של תעבורת DNS ברשת המקומית, שחרר את המעבר לשימוש בכתובת שרת ה-DNS הרקורסי המועבר באמצעות DHCP, אך ממשיך לנסות מעת לעת לפתור באופן עצמאי וברגע שבקשות ישירות מתחילות לעבור, הוא חוזר לגשת באופן עצמאי שרתי DNS;

• ב-bgpd נעשתה עבודה לצמצום צריכת הזיכרון, נוסף מייעל כללים פשוט (ממזג כללי סינון הנבדלים רק בקבוצות המסננים), תהליך תצורת ה-BGP MPLS VPN שונה, נוספה תמיכה ב-IPv6 BGP MPLS VPN , ופונקציונליות "כמו-עקיפה" יושמה כדי להחליף את ה-AS השכן ל-AS המקומי בנתיבים, הוסיפה את היכולת להתאים עם מספר קהילות בכלל אחד, הוסיפה תכונות התאמה חדשות "*", "local-as" ו-"שכנה -as", עבודה משופרת עם קבוצות גדולות של כללים, הוספת פקודות חדשות לעבודה עם קבוצות שכנות למערכות אוטונומיות שכנות ("קבוצת שכנים של bgpctl", "bgpctl show neighbor group", "bgpctl show rib neighbor group"), היכולת להוסיף רשתות לטבלאות BGP VPN נוסף ל-bgpctl. לראשונה, הוכנה גרסה ניידת של OpenBGPD-portable, המוכנה לעבודה על מערכות שאינן OpenBSD;
• נוספה אפשרות קובסן כדי לזהות מקרים של התנהגות לא מוגדרת בליבת OpenBSD.
• כלי השירות tcpdump מבטל לחלוטין את השימוש בהרשאות שורש;
• ביצועי malloc משופרים ביישומים עם ריבוי הליכים;
• הגרסה הראשונית של התוכנית נוספה להרכב OpenRSYNC עם יישום משלו של כלי הסנכרון של קבצי rsync;
• הגרסה של שרת הדואר OpenSMTPD עודכנה, בה נוסף קריטריון השוואה חדש "מ-rdns" ל-smtpd.conf, המאפשר לבחור סשנים על סמך רזולוציית DNS הפוכה (קביעת שם המארח לפי IP). בעת חיפוש בטבלאות, נוספה היכולת להשתמש בביטויים רגולריים;
• חבילת OpenSSH 8.0 עודכנה, ניתן למצוא סקירה מפורטת של השיפורים כאן;
• חבילת LibreSSL עודכנה, סקירה מפורטת של השיפורים ניתן למצוא בהכרזות השחרור 2.9.0 и 2.9.1;
• Mandoc שיפרה משמעותית את פלט HTML, שיפרה את עיבוד הטבלה והוסיפה דגל "-O" כדי לפתוח דף עם ההגדרה של המונח שצוין;
• היכולות של המחסנית הגרפית של Xenocara הורחבו: שרת X כבר לא דורש התקנה עם דגל setuid כדי לפעול. מנהל ההתקן של radeonsi Mesa כולל תמיכה בהאצת חומרה עבור ה-GPUs של האיים הדרומיים (Radeon HD 7000) ו- Sea Islands (Radeon HD 8000);
• יציאות C++ עבור ארכיטקטורות שאינן נתמכות על ידי Clang מורכבות כעת באמצעות GCC מיציאות. מספר היציאות עבור ארכיטקטורת AMD64 היה 10602, עבור aarch64 - 9654, עבור i386 - 10535. מבין היישומים הממוקמים ביציאות, מצוינים הבאים:
  • כוכבית 16.2.1
  • האומץ 2.3.1
  • CMake 3.10.2
  • כרום 73.0.3683.86
  • ffmpeg 4.1.3
  • GCC 4.9.4 ו-8.3.0
  • GNOME 3.30.2.1
  • עבור אל 1.12.1
  • JDK 8u202 ו-11.0.2+9-3
  • LLVM/Clang 7.0.1
  • LibreOffice 6.2.2.2
  • Lua 5.1.5, 5.2.4 ו-5.3.5
  • MariaDB 10.0.38
  • מונו 5.18.1.0
  • Mozilla Firefox 66.0.2 ו-ESR 60.6.1
  • מוזילה ת'אנדרבירד 60.6.1
  • Node.js 10.15.0
  • OpenLDAP 2.3.43 ו-2.4.47
  • PHP 7.1.28, 7.2.17 ו-7.3.4
  • Postfix 3.3.3 ו-3.4.20190106
  • פוסטגרסל 11.2
  • Python 2.7.16 ו-3.6.8
  • R 3.5.3
  • רובי 2.4.6, 2.5.5 ו-2.6.2
  • חלודה 1.33.0
  • Sendmail 8.16.0.41
  • SQLite3 3.27.2
  • סוריקטה 4.1.3
  • Tcl/Tk 8.5.19 ו-8.6.8
  • TeX Live 2018
  • Vim 8.1.1048 ו- Neovim 0.3.4
  • Xfce 4.12
• רכיבי צד שלישי הכלולים ב-OpenBSD 6.5:
  • מחסנית גרפיקה של Xenocara מבוססת על שרת X.Org 1.19.7 עם תיקונים, freetype 2.9.1, fontconfig 2.12.4, Mesa 18.3.5, xterm 344, xkeyboard-config 2.20;
  • LLVM/Clang 7.0.1 (עם תיקונים)
  • GCC 4.2.1 (עם תיקונים) ו-3.3.6 (עם תיקונים)
  • Perl 5.28.1 (עם תיקונים)
  • NSD 4.1.27
  • לא קשור 1.9.1
  • Ncurses 5.7
  • Binutils 2.17 (עם תיקונים)
  • Gdb 6.3 (עם תיקונים)
  • Awk 10 באוגוסט, 2011
  • Expat 2.2.6

מקור: OpenNet.ru