Utgivning av OpenBSD 6.7

Presenteras utgåvan av det fria plattformsoberoende UNIX-liknande operativsystemet OpenBSD 6.7. Projektet OpenBSD grundades av Theo de Raadt 1995 efter konflikten med utvecklarna av NetBSD, vilket ledde till att Theo fick avbrott i sin åtkomst till CVS-repositoriet för NetBSD. Efter detta skapade Theo de Raadt tillsammans med en grupp medarbetare ett nytt öppet operativsystem baserat på källkodsträdet av NetBSD, vars huvudmål för utveckling blev portabilitet (endast manuellt via läget «about:debugging» och kräver tillämpning av en patch. 12 hårdvaruplattformar), standardisering, korrekt funktion, aktiv säkerhet och integrerade kryptografiska verktyg. Storleken på den fullständiga installationsfilen ISO-avbilden för OpenBSD 6.7 är 470 MB.

Förutom själva operativsystemet är projektet OpenBSD känt för sina komponenter, som har blivit populära i andra system och har visat sig vara några av de mest säkra och kvalitativa lösningarna. Bland dem finns: LibreSSL (fork OpenSSL), OpenSSH, paketfilter PF, routingdemoner OpenBGPD och OpenOSPFD, NTP-server OpenNTPD, e-postserver OpenSMTPD, terminalmultiplexer (motsvarande GNU screen) tmux, demon identd med implementation av IDENT-protokollet, BSDL-alternativ för GNU groff — mandoc, protokoll för att organisera redundanta system CARP (Common Address Redundancy Protocol), lättviktig http-server, filsynkroniseringsverktyg OpenRSYNC.

Huvud förbättringar:

• FFS2-filsystemet, som använder 64-bitars tids- och blocknummer, är som standard aktiverat i nya installationer för nästan alla stödda arkitekturer istället för FFS (med undantag för landisk, luna88k och sgi).
• En ny metod för att kontrollera giltigheten av anrop till systemanrop har lagts till, vilket ytterligare försvårar utnyttjande av sårbarheter. Metoden tillåter utförande av systemanrop endast om de anropas från förregistrerade minnesområden. För att markera minnesområden och aktivera skyddet har en ny systemanrop introduced: msyscall().
• Antalet partitioner som kan skapa på en enda disk har ökat från 7 till 15.
• Koden som parsar alternativ i cron har skrivits om för att stödja getopt-liknande funktioner, såsom "-ns" och möjligheten att ange samma flaggor flera gånger. Fältet "options" i crontab har döpts om till "flags". En flagga "-s" har lagts till i crontab, där endast ett instans av en uppgift kan köras samtidigt. En operator "~" har lagts till för att ange ett slumpmässigt tidsvärde.
• I fönsterhanteraren cwm har möjligheten att definiera fönsterstorleken i förhållande till den primära fönsterstorleken i mosaiklayout införts.
• För powerpc-arkitekturen har det skett ett standardbyte till användning av Clang och en arkitekturoberoende implementering av mplock har införts.
• I apmd har stödet för automatisk övergång till vänteläge och sömnläge förbättrats (-z/-Z) – demon reagerar nu på meddelanden om ändrat batteriladdning som skickas av strömhanteringsdrivrutinen. Övergången till sömn sker med en fördröjning på 60 sekunder, vilket ger användaren tid att ta kontroll.
• I den inbyggda HTTP-servern har en konfigurationsvariabel $REQUEST_SCHEME lagts till för att bevara det ursprungliga protokollet (http eller https) vid omdirigering, samt alternativet "strip", som gör det möjligt att använda flera chroot i /var/www för FastCGI-servrar.
• I verktyget top har stöd för rullning med hjälp av tangenterna 9 och 0 lagts till.
• En ny mekanism för att frigöra minnessidor i omvänd ordning har introducerats, vilket avsevärt ökar effektiviteten av aktiv frigöring av ett stort antal sidor.
• I DNS-servern unbound är DNSSEC-kontroll aktiverad som standard.
• Globala blockering av systemanrop har avlägsnats.
  __thrsleep(2), __thrwakeup(2), close(2), closefrom(2), dup(2), dup2(2), dup3(2), flock(2), fcntl(2), kqueue(2), pipe(2), pipe2(2) och nanosleep(2), samt den grundläggande delen av ioctl(2).
• Hårdvarustödet har utvidgats. En ny drivrutin iwx för Intel AX200 trådlösa chip har lagts till, och drivrutinen iwm har fått stöd för Intel 9260 och 9560 enheter. En rge-drivrutin för Realtek 8125 PCI Express 2.5Gb har lagts till. Många nya drivrutiner har föreslagits för att förbättra prestandan på platser med arm64 och armv7, inklusive stöd för Raspberry Pi 4 och förbättrat stöd för Raspberry Pi 2 och 3.
• Ljudsystemet sndio har utvidgats. API sioctl_open och verktyget sndioctl för att hantera ljud via sndiod har lagts till. /dev/mixer har tagits bort, och istället har alla portar överförts till sndio istället för kärnans mixergränssnitt. I sndiod säkerställs användning av hårdvarumekanismer för volymkontroll. För att öka säkerheten har åtkomst för vanliga användare till /dev/audio* och /dev/rmidi* förbjudits.
• I det trådlösa stacken har anslutning till alla tillgängliga Wi-Fi-nätverk som inte stöder kryptering upphört, förutom vid explicit anrop av kommandot 'ifconfig join'. Bakgrundsskanning av tillgängliga nätverk utförs när kommandot 'ifconfig scan' körs av root-användaren. Cache för skanningsresultat har ökats. En flagga 'nwflag nomimo' har lagts till via ifconfig för att hjälpa till att förhindra paketförlust i 11n-läget när det finns oanslutna antennkontakter på enheten. Drivrutinen bwfm har fått stöd för aktiv skanning. Automatiskt byte mellan trådlösa nätverk har förbättrats genom att sänka prioriteten för nätverk som inte gick att ansluta till.
• I nätverksstacken har en ny drivrutin pppac introducerats, där implementeringen av PPP Access Concentrator-gränssnittet har flyttats. Inställningarna i npppd.conf har övergått till användning av pppac istället för tun. Vid avstängd paketvidaredirigering har en kontroll lagts till för att säkerställa att destinationsadressen i paketet överensstämmer med nätverksgränssnittets adress. Stödet för mobileip har tagits bort.
• Användare utan root-behörigheter får inte använda ioctl för att ändra adressen för nätverksgränssnittet och ändra inställningarna för PPPoE-gränssnitt.
• I sysupgrade säkerställs att firmwareuppdateringar (fw_update) körs före omstart innan uppdateringen.
• Det systemanrop som kallas unveil har förbättrats och möjliggör isolering av åtkomst till filsystemet. Antalet applikationer från basystemet som har skydd med unveil har ökat till 82. Både vmstat, iostat och systat har översatts till unveil.
• I crypto(3) har stöd för RSA-PSS lagts till.
• I DNS-resolvern unwind har stöd för DoT (DNS över TLS) lagts till. Kommandot "unwindctl status memory" har lagts till.
• Implementeringen av ipsec har genomgått betydande uppgraderingar. Stöd för automatisk trafikflyttning mellan rdomain vid kryptering och dekryptering för att skydda mot attacker via sidokanaler har lagts till. I iked har stöd för att ändra rdomain lagts till, och i iked.conf har alternativet 'rdomain' lagts till.
  För iked och isakmpd är standardnivån IPSEC_LEVEL_REQUIRE inställd, vilket förbjuder behandling av okrypterade paket kopplade till flödet. I inställningarna för Diffie-Hellman-gruppen för IKE SA har algoritmerna curve25519, ecp256, ecp384, ecp521, modp3072 och modp4096 lagts till. I iked har standardmetoden för autentisering ändrats till autentisering med digital signatur (RFC 7427). ESN-inställningar har lagts till i iked.conf. Alternativet "-p" har lagts till för att välja ett icke-standard UDP-portnummer.
• Möjligheterna hos terminalmultiplexern tmux har utökats med många nya alternativ.
• Versionen av e-postservern OpenSMTPD har uppdaterats. I de inbyggda filtren har nyckelordet "bypass" implementerats för att hoppa över behandling under vissa förhållanden. Användning av aktuell sessions användarnamn i smtpd-filter har tillåtits. I smtpd.conf har användning av mail-from och rctp-to tillåtits i inställningarna.
• Paketet OpenSSH 8.2 har uppdaterats, vilket har lagt till stöd för FIDO/U2F tvåfaktorsautentiseringstokens. En detaljerad översikt över förbättringarna kan ses här.
• Uppdaterad paketet LibreSSL, där implementeringen av TLS 1.3 har nått klarhet baserat på en ny tillståndsmask och subsystem för arbete med poster. För närvarande är endast klientdelen av TLS 1.3 aktiverad som standard, medan serverdelen planeras att aktiveras som standard i en av framtida utgåvor. En lista över övriga ändringar kan ses i utgivningsmeddelandena. 3.1.0 och 3.1.1.
• Antalet portar för AMD64-arkitekturen uppgick till 11268, för aarch64 till 10848 och för i386 till 10715. Komponenter från tredjepartsutvecklare som ingår i OpenBSD 6.7 har uppdaterats:
  • Grafikstacken Xenocara baserad på X.Org 7.7 med xserver 1.20.8 + patchar, freetype 2.10.1, fontconfig 2.12.4, Mesa 19.2.8, xterm 351, xkeyboard-config 2.20;
  • LLVM/Clang 8.0.1 (med patchar)
  • GCC 4.2.1 (med patchar) och 3.3.6 (med patchar)
  • Perl 5.30.2 (med patchar)
  • NSD 4.2.4
  • Unbound 1.10.0
  • Ncurses 5.7
  • Binutils 2.17 (med patchar)
  • Gdb 6.3 (med patchar)
  • Awk från 20 december 2012.
  • Expat 2.2.8

  Källa: opennet.ru