שחרור של OpenBSD 6.7

שהוגש על ידי שחרור של מערכת הפעלה חוצה פלטפורמות חינמית דמוית UNIX OpenBSD 6.7. פרויקט OpenBSD נוסד על ידי תיאו דה ראאדט בשנת 1995 לאחר מכן סְתִירָה עם מפתחי NetBSD, כתוצאה מכך נדחתה ל-Teo גישה למאגר NetBSD CVS. לאחר מכן, תיאו דה ראאדט וקבוצה של אנשים בעלי דעות דומות יצרו מערכת הפעלה פתוחה חדשה המבוססת על עץ המקור של NetBSD, שמטרותיה העיקריות היו ניידות (נתמך על ידי 12 פלטפורמות חומרה), סטנדרטיזציה, פעולה נכונה, אבטחה אקטיבית וכלי הצפנה משולבים. גודל התקנה מלא תמונת ISO מערכת הבסיס OpenBSD 6.7 היא 470 מגה-בייט.

בנוסף למערכת ההפעלה עצמה, פרויקט OpenBSD ידוע ברכיביו, שהפכו נפוצים במערכות אחרות והוכיחו את עצמם כאחד הפתרונות המאובטחים והאיכותיים ביותר. ביניהם: LibreSSL (מזלג OpenSSL), OpenSSH, מסנן מנות PF, ניתוב דמונים OpenBGPD ו-OpenOSPFD, שרת NTP OpenNTPD, שרת דואר OpenSMTPD, מרבב מסוף טקסט (בדומה למסך GNU) tmux, דמון זהה עם יישום של פרוטוקול IDENT, חלופה BSDL לחבילת GNU groff - מנדוק, פרוטוקול לארגון מערכות סובלנות תקלות CARP (Common Address Redundancy Protocol), קל משקל שרת http, כלי עזר לסנכרון קבצים OpenRSYNC.

העיקרי שיפורים:

• מערכת הקבצים FFS2, המשתמשת בערכי זמן 64 סיביות וחסימה, מופעלת כברירת מחדל בהתקנות חדשות עבור כמעט כל הארכיטקטורות הנתמכות במקום FFS (למעט landisk, luna88k ו-sgi).
• נוספה שיטה חדשה לבדיקת תקפות קריאות המערכת, מה שמקשה עוד יותר על ניצול נקודות התורפה. השיטה מאפשרת לבצע קריאות מערכת רק אם הגישה אליהן מתבצעת מאזורי זיכרון שנרשמו בעבר. קריאה חדשה למערכת msyscall() הוצעה כדי לסמן אזורי זיכרון ולהפעיל הגנה.
• מספר המחיצות שניתן ליצור בדיסק אחד הוגדל מ-7 ל-15.
• קוד ניתוח האפשרות cron נכתב מחדש כדי לתמוך בתכונות דמויות getopt כגון "-ns" וציון מחדש של אותם דגלים. השדה "אפשרויות" ב-crontab שונה ל"דגלים". נוסף דגל "-s" ל-crontab כך שרק מופע אחד של עבודה יכול לפעול בכל פעם. נוסף אופרטור "~" כדי לציין ערך זמן אקראי.
• מנהל החלונות של cwm מיישם את היכולת לקבוע את גודל החלון כאחוז מגודל החלון הראשי בפריסת אריחים.
• ארכיטקטורת ה-powerpc עברה לשימוש ב-Clang כברירת מחדל ואיפשרה יישום בלתי תלוי בארכיטקטורה של mplock.
• apmd שיפרה תמיכה בהמתנה אוטומטית ותרדמה (-z/-Z) - הדמון מגיב כעת להודעות שינוי טעינת הסוללה שנשלחות על ידי מנהל התקן ניטור הספק. המעבר לשינה מתרחש באיחור של 60 שניות, מה שנותן למשתמש זמן להשתלט.
• הוספת משתנה תצורה של $REQUEST_SCHEME לשרת ה-HTTP המובנה כדי לשמר את הפרוטוקול המקורי (http או https) בעת ההפניה מחדש, כמו גם אפשרות "סטריפ" לאפשר מספר chroots ב-/var/www עבור שרתי FastCGI.
• כלי השירות העליון תומך כעת בגלילה באמצעות מקשי 9 ו-0.
• הוכנס מנגנון לשחרור דפי זיכרון בסדר הפוך, אשר מגביר משמעותית את היעילות של שחרור פעיל של מספר רב של דפים.
• בדיקת DNSSEC מופעלת כברירת מחדל בשרת ה-DNS הבלתי מאוגד.
• שיחות מערכת משוחררות מחסימה גלובלית
  __thrsleep(2), __thrwakeup(2), close(2), closefrom(2), dup(2), dup2(2), dup3(2), flock(2), fcntl(2), kqueue(2), pipe(2), pipe2(2) ו-nanosleep(2), כמו גם החלק הבסיסי של ioctl(2).

• תמיכת חומרה מורחבת. מנהל התקן iwx חדש נוסף עבור שבבים אלחוטיים של Intel AX200, ומנהל ההתקן של iwm הוסיף תמיכה עבור התקני Intel 9260 ו- 9560. מנהל ההתקן rge נוסף עבור Realtek 8125 PCI Express 2.5Gb. דרייברים חדשים רבים הוצעו לשיפור הביצועים בלוחות arm64 ו-armv7, כולל תמיכה נוספת בלוח Raspberry Pi 4 ותמיכה משופרת עבור Raspberry Pi 2 ו-3.
• תת-מערכת הסאונד sndio הורחבה. הוספה של sioctl_open API ו-sndioctl לשליטה בסאונד באמצעות sndiod. /dev/mixer הוסר וכל היציאות הועברו ל-sndio במקום לממשק מיקסר הקרנל. Sndiod מספקת שימוש במנגנוני בקרת עוצמת הקול של החומרה. כדי לשפר את האבטחה, גישה רגילה של משתמשים ל-/dev/audio* ו-/dev/rmidi* אסורה.
• המחסנית האלחוטית מפסיקה להתחבר לכל רשת Wi-Fi זמינה שאינה תומכת בהצפנה, למעט קריאה מפורשת לפקודה "ifconfig join". אפשר את ההשקה של סריקת רקע של רשתות זמינות כאשר הפקודה "ifconfig scan" מבוצעת על ידי משתמש השורש. המטמון של תוצאות הסריקה הוגדל. הוסיף את הדגל "nwflag nomimo", שהוגדר באמצעות ifconfig, שעוזר להיפטר מאובדן מנות במצב 11n אם למכשיר יש מחברי אנטנה לא מחוברים. נוספה תמיכה במצב סריקה פעיל עבור מנהל ההתקן bwfm. מעבר אוטומטי משופר בין רשתות אלחוטיות על ידי הורדת העדיפות לרשתות שלא ניתן היה להתחבר אליהן.
• מנהל התקן pppac חדש הופיע בערימת הרשת, הכולל את הטמעת ממשק PPP Access Concentrator. שינו את הגדרות npppd.conf לשימוש ב-pppac במקום tun. כאשר ניתוב מחדש של מנות מושבת, נוספה סימון כדי לבדוק אם כתובת היעד בחבילה תואמת את הכתובת של ממשק הרשת. תמיכת Mobileip הוסרה.
• על משתמשים שאינם שורשיים נאסר להשתמש ב-ioctl כדי לשנות את כתובת ממשק הרשת ולשנות את הפרמטרים של ממשקי pppoe.
• sysupgrade מבטיח שעדכוני קושחה (fw_update) יופעלו לפני אתחול מחדש לפני השדרוג.
• קריאת החשיפה למערכת שופרה כדי לספק בידוד גישה למערכת הקבצים. מספר האפליקציות ממערכת הבסיס שעבורן מיושמת הגנה באמצעות unveil גדל ל-82. כולל vmstat, iostat ו-systat שהועברו ל-unveil.
• תמיכת RSA-PSS נוספה ל-crypto(3).
• תמיכה ב-DoT (DNS over TLS) נוספה לפותר ה-DNS להירגע. נוספה פקודת "unwindctl status memory".
• היישום של ipsec עבר מודרניזציה משמעותית. נוספה תמיכה להעברת תעבורה אוטומטית בין rdomains במהלך הצפנה ופענוח כדי להגן מפני התקפות של ערוץ צדדי. נוספה תמיכה בשינוי rdomain ל-iked, והוספה אפשרות 'rdomain' ל-iked.conf
  רמת ברירת המחדל עבור iked ו-isakmpd היא IPSEC_LEVEL_REQUIRE, המונעת עיבוד של מנות לא מוצפנות התואמות לזרימה. האלגוריתמים curve25519, ecp256, ecp384, ecp521, modp3072 ו-modp4096 נוספו להגדרות קבוצת Diffie-Hellman עבור IKE SA. ב-iked, שיטת האימות המוגדרת כברירת מחדל שונתה לאימות חתימה דיגיטלית (RFC 7427). הוספת הגדרות ESN ל iked.conf. נוספה אפשרות "-p" לבחירת מספר יציאת UDP לא סטנדרטי.

• היכולות של מרבבי המסוף tmux הורחבו ונוספו אפשרויות חדשות רבות.
• הגרסה של שרת הדואר OpenSMTPD עודכנה. המסננים המובנים מיישמים את מילת המפתח "עקוף" כדי לדלג על עיבוד בתנאים שצוינו. מאפשר להשתמש בשם המשתמש של הפעלת smtpd הנוכחית במסננים. ב-smtpd.conf, הפרמטרים מאפשרים שימוש ב-mail-from ו-rctp-to.
• חבילת OpenSSH 8.2 עודכנה וכוללת תמיכה באסימוני אימות דו-גורמי FIDO/U2F. אתה יכול לראות סקירה מפורטת של השיפורים כאן.
• מְעוּדכָּן חבילת LibreSSL, שבה הושלמה הטמעת TLS 1.3 המבוססת על מכונת מצב סופי חדשה ותת-מערכת לעבודה עם רשומות. כברירת מחדל, רק חלק הלקוח של TLS 1.3 מופעל לעת עתה; חלק השרת מתוכנן להיות מופעל כברירת מחדל באחת מהגרסאות העתידיות. ניתן לראות רשימה של שינויים נוספים בהכרזות השחרור 3.1.0 и 3.1.1.
• מספר היציאות עבור ארכיטקטורת AMD64 היה 11268, עבור aarch64 - 10848, עבור i386 - 10715. רכיבים ממפתחי צד שלישי הכלולים ב-OpenBSD 6.7 עודכנו:
  • ערימת גרפיקה של Xenocara מבוססת על X.Org 7.7 עם xserver 1.20.8 + תיקונים, freetype 2.10.1, fontconfig 2.12.4, Mesa 19.2.8, xterm 351, xkeyboard-config 2.20;
  • LLVM/Clang 8.0.1 (עם תיקונים)
  • GCC 4.2.1 (עם תיקונים) ו-3.3.6 (עם תיקונים)
  • Perl 5.30.2 (עם תיקונים)
  • NSD 4.2.4
  • לא קשור 1.10.0
  • Ncurses 5.7
  • Binutils 2.17 (עם תיקונים)
  • Gdb 6.3 (עם תיקונים)
  • Awk 20 בדצמבר, 2012
  • Expat 2.2.8

  מקור: OpenNet.ru