Software-update: OpenBSD 6.4

Enkele dagen geleden is de nieuwe halfjaarlijkse release van OpenBSD uitgekomen. Op deze pagina is een uitgebreide lijst van ftp- en http-downloadlocaties te vinden. OpenBSD stamt af van de originele Berkeley Software Distribution en heeft als kenmerk dat de ontwikkelaars alleen opensourcesoftware willen gebruiken. Verder staat het besturingssysteem bekend om zijn uitstekende documentatie en veiligheid. Uitgebreide releasenotes kunnen op deze pagina worden gevonden; hieronder is een overzicht te vinden van de belangrijkste verbeteringen:

BSD Release: OpenBSD 6.4
The project has released OpenBSD 6.4 which includes many driver improvements, a feature which allows OpenSSH's configuration files to use service names instead of port numbers, and the Clang compiler will now replace some risky ROP instructions with safe alternatives.

Perhaps the most interesting feature is the unveil() system call which allows applications to sandbox themselves, blocking their own access to the file system. This is especially useful for programs which operate on unknown data which may try to exploit or crash the application: "New unveil(2) system call to restrict file system access of the calling process to the specified files and directories. It is most powerful when properly combined with privilege separation and pledge(2)."

Other security improvements include: "Implemented MAP_STACK option for mmap(2); new RETGUARD security mechanism on amd64 and arm64 - use per-function random cookies to protect access to function return instructions, making them harder to use in ROP gadgets...."

Versienummer	6.4
Releasestatus	Final
Besturingssystemen	BSD
Website	OpenBSD
Download	https://www.openbsd.org/
Licentietype	Voorwaarden (GNU/BSD/etc.)

Reacties (31)

[Sandor_Clegane]

Man, time flies weet nog dat ik dit op mijn Sparc Station 5 installeerde om mijn @Home verbinding te Natten. Good times en de documentatie is echt goed vergeleken met een hoop andere OS'en.

Die Sun pizza dozen waren echt goed.......

Edit: Toch maar eens kijken hoe dit onder KVM draait, PFsense is leuk, maar dit is leuker.

[Reactie gewijzigd door Sandor_Clegane op 23 juli 2024 09:34]

[UPPERKEES]

Wat is er precies zoveel beter aan de OpenBSD documentatie? Net even een random doc pagina geopend, op de networking configuration wordt nog steeds ifconfig, netstat en andere deprecated tools gebruikt.

Als je dat vergelijkt met Fedora of Arch dan lijkt mij dat argument nogal dated (IMHO net zoals wel meer opvattingen over *BSD).

Volgens mij is de documentatie van elke grote *nix ruim voldoende.

[Sandor_Clegane]

Ik snap je punt niet echt. Welke deprecated tools? Omdat Linux ze niet meer gebruikt?

Toen ik OpenBSD gebruikte was hun documentatie altijd up to date en correct, ik maakte de aanname dat dat nog steeds zo is.

[UPPERKEES]

De tool zelf is deprecated, om onder andere de reden hieronder en wanneer je multiple IP's onder 1 interface brengt kan ifconfig onvoorspelbaar zijn. Maar goed, als dat geen reden is, dan alsnog is het nog wel een dated argument dat *BSD hun documentatie zo goed op orde heeft. Want andere *nix systemen hebben dat (tegenwoordig misschien?) ook heel goed op orde.

[code]
Ifconfig uses the ioctl access method to get the full address information, which limits hardware addresses to 8 bytes.
Because Infiniband address has 20 bytes, only the first 8 bytes are displayed correctly.
Ifconfig is obsolete! For replacement check ip.
[/code]

[Jerie]

Dat je bij qua documentatie van Arch altijd maar naar een Wiki moet wijzen ipv een statische bron of een offline source zegt mij genoeg. Het handige van de *BSDs is dat het base systeem offline en online uitstekend gedocumenteerd is.

Die oude ifconfig, route, netstat commandos van Linux zijn niet 1:1 dezelfde code als die in *BSD. De source code en manuals die je online had kunnen lezen vertellen je dat al. Bovendien heeft OpenBSD AFAIK geen InfiniBand ondersteuning. Verder heeft FreeBSD ook geen ip commando. Windows heeft 't ook niet. De waarheid is dat commandos als ip en ss Linux-specifiek zijn, en dat heeft voor- en nadelen. Voor macOS is er een (incomplete) wrapper iproute2mac.

[Z80]

Je bent appels met peren aan het vergelijken.
*BSD is een Unix OS. Linux heeft er tegen aan gelegen, maar is geen Unix vork.
Dat maakt ook meteen dat de tools voor beide OS smaken anders is.

[PaultheWEiRD]

De tool is deprecated onder Linux. Het argument om ifconfig te deprecaten bestaat niet onder OpenBSD (of de andere BSDs): OpenBSD is een compleet besturingssysteem, waarbij kernel en userland als een worden onderhouden. Dit betekent dat als er een wijziging is waar interfaces meer bits nodig hebben om bepaalde gegevens te communiceren van kernel naar userland, dat dan de API (in dit geval ioctl) aangepast kan worden in zowel kernel als userland (in dit geval ifconfig) om dezelfde tool dezelfde functionaliteit met de nieuwe interfaces te laten bieden.

Linux daarentegen houdt angstvallig vast aan backward-compatibiliteit. Een tool die nu API X gebruikt zal immer en altijd diezelfde API kunnen blijven gebruiken; de linux kernel wil die backwardcompatibiliteit niet breken. Ook als de API te beperkt is. Dat leidt dan vervolgens tot de introductie van een nieuwe, vergelijkbare API die eigenlijk hetzelfde doet maar dan de tekortkoming wegneemt. Vervolgens dienen kernelontwikkelaars beide APIs tot in lengte van jaren te onderhouden. Belangrijkste reden hiervoor is dat "Linux" alleen de kernel is, userland komt van je distributie (Fedora / Ubuntu / Arch / etc.) Linux is dus niet een compleet besturingssysteem.

Gevolg is dat OpenBSD minder legacy APIs hoeft te ondersteunen (en actief oude APIs op kan ruimen en dat ook daadwerkelijk doet). Hierdoor is er minder code die onderhouden moet worden, maar ook minder code die bugs kan bevatten, wat de veiligheid van het systeem weer ten goede komt.

Een ander voordeel is dat 'vingergeheugen' van gebruikers blijft werken. Je hoeft niet ineens een nieuwe tool te leren omdat de kernel een ander type interface ondersteunt. Mensen die 30 jaar geleden met UNIX werkten, kunnen nu nog steeds 'ifconfig' typen op hun OpenBSD systeem en zo de informatie krijgen die ze zoeken. Wie nu net komt kijken op UNIX gebied kan niet zo heel veel met zijn kennis van 'ip' als hij of zij voor zijn werk ineens verteld wordt "log maar even in op die oude Solaris server daar in de hoek en pas daar het IP adres van aan". (of van die net nieuw geinstalleerd OpenBSD 6.4 firewall)

[Reactie gewijzigd door PaultheWEiRD op 23 juli 2024 09:34]

[denPes]

OpenBSD is niet alleen leuk, maar is gewoon een goed OS voor dagelijks gebruik. En tegenwoordig is het vrij gemakkelijk te installeren, zelfs met full disk encryptie.

Ouderwetse eenvoud waarop je recente applicaties kan gebruiken. Ondanks de encryptie op vele niveaus is het snel, zeker door de weinige achtergrond processen (idle is ook echt idle). Geschikt voor office, internetapplicaties, en multimedia (behalve games).

[Reactie gewijzigd door denPes op 23 juli 2024 09:34]

[mrmrmr]

Idle kan wel idle zijn, maar ze hebben nog niet uitgevonden hoe alle energiebesparende functies werken. Drivers zijn altijd het zwakke punt van BSD's geweest.

[denPes]

heb ik op mijn laptop geen last mee. Werkt niet minder lang dan andere Osén die ik er ooit op heb gehad.

Cpu Frequency scaling, sleep/suspend, lid open/dicht detectie, backlight + en -. etc werkt allemaal. Dus ik weet ook niet echt waar je op doelt.

[mrmrmr]

Het verschil met Linux is tekent zich duidelijk af:
https://mrmrmr.tweakblogs...-zuinige-productie-server

De slaapstadia van diverse hardwareonderdelen zijn belangrijk: cpu, gpu, sata, pcie, video output, etc.

Laptopinstellingen helpen wel mee, maar dat is niet voldoende. Met Linux+powertop zal je laptop langer meekunnen met de batterij.

[Tozz]

OpenBSD is toch vooral een server-OS, nog meer dan Linux. Ik kan mij daarom goed voorstellen dat het regelen van allerlei slaapstadia van hardware daar minder relevant is dan voor een Desktop OS

[mrmrmr]

Een datacenter rekent af op kilowatturen en de server staat altijd aan, dat is dus zeker wel van belang. 10 jaar geleden was dat misschien nog niet zo, maar ondertussen is de techniek gevorderd en de drivers ook, maar niet bij BSD. Er zijn diverse slaapstadia, en de term is misschien een beetje misleidend, het zijn eigenlijk low power states, die snel kunnen schakelen. Mits er driverondersteuning voor is. Daarmee loopt BSD inmiddels jaren achter bij Mac, Linux en Windows.

OpenBSD als OS-distributie is overigens prima, het heeft diverse zaken die beter werken dan Linux of Windows. Bijvoorbeeld pf.

[Tozz]

Je zegt het zelf al, 'de server staat altijd aan'. Servers laten disken niet stil staan, die draaien gewoon 24/7. Op een beetje fatsoenlijke RAID controller wordt bijna 24/7 media patrol reads gedaan.

Wij zetten zelfs alle CPU energy performance opties uit, omdat het er aanzienlijk trager door wordt (het aanzetten van cores die uitgezet zijn kost +/- een miliseconde en dat is duidelijk zichtbaar in de performance).

Mijn punt is: In een datacenter omgeving wil je performance, die 2 kWh die je op jaarbasis bespaard is niet relevant. Als een server in een datacenter in een of andere power save modus terecht kan komen dan moet je je afvragen of die server nog wel een zinvolle rol vervult.

Zeker met virtualisatie is dit ondergeschikt. De hypervisor heeft altijd wel wat te doen (als het goed is) en VMs kunnen geen hardware uitschakelen.

[mrmrmr]

Er zijn verschillende modes voor power saving. In de eerste plaats hoeft niet alles voluit aan te staan wat weinig of niet gebruikt wordt, denk aan GPU, PCIe slots, SATA/SAS, USB, BMC, etc.

Het is zo dat processoren in oudere systemen sneller reageren als ze voluit staan, maar dat wil niet zeggen dat bespaarstanden daarom maar niet hoeven te worden geimplementeerd in BSD. Ze zijn altijd nodig en BSD loopt niet in de pas met de andere besturingssystemen.

Het gaat over veel meer meer energiebesparing dan je denkt. Zuinige rackservers verbruiken 25W, niet-zuinige servers (d.w.z. zonder bespaarmodes) beginnen vanaf 50W en dat kan nog vele keren meer zijn. 25W is 228 kWh per jaar.

Virtualisatie bespaart op een andere manier, daar gaat het over besparing door minder hardware. Veel virtualisatiesystemen hebben helemaal geen of beperkte bespaarstanden, eigenlijk zoals BSD zelf. Het type server is dus van belang.

[Jerie]

Gelukkig zit PF tegenwoordig ook in macOS, FreeBSD, en NetBSD. Een up-to-date Linux port is er vziw niet (pf4linux is 11 jaar oud en niet portable).

[PaultheWEiRD]

Mits er driverondersteuning voor is.

Die is er. OpenBSD ondersteunt verschillende ACPI sleep states en draait (op mijn server in het datacenter, op mijn werkstation thuis en op mijn laptop onderweg) in 'zuinige' modus.

Dat wil niet zeggen dat de huidige status niet voor verbetering vatbaar is, wat er nog mogelijk is zal de toekomst uitwijzen. Maargoed, daar is OpenBSD 6.5 dan weer goed voor. Continue incrementele vooruitgang, met elk half jaar een nieuwe release.

[mrmrmr]

Ik help het hopen, maar realistisch gezien denk ik niet dat er snel een verbetering komt, deze situatie bestaat al meer dan 8 jaar. In tussentijd kan BSD wel een tegenhanger van powertop gebruiken. Dat geeft gebruikers meer inzicht en die gaan dan vanzelf wel vragen om verbetering. Niet dat het meteen effect heeft, er zijn te weinig BSD ontwikkelaars met driverkennis die zich geroepen voelen er iets aan te doen.

BSD wil natuurlijk ook geen binaries, drivers van fabrikanten worden niet vaak meegeleverd. Ik waardeer deze aanpak overigens wel, het is goed dat er geen non-auditable (binair) materiaal ongezien wordt doorgezet. BSD ontwikkelaars zelf klagen vaak over een gebrek aan openheid van fabrikanten en ze zijn wars van het ondertekenen van non-disclosure agreements. Daar kunnen ze soms nog 15 jaar na dato naar verwijzen. Ik denk dat er aan beide kanten iets moet gebeuren om het geheel te verbeteren.

[PaultheWEiRD]

Maar er is dus al goede support voor powermanagement in OpenBSD. In het datacenter waar ik mijn server heb draaien hangt een identieke machine van een vriend van me, deze draait Linux. Het stroomverbruik is zo goed als hetzelfde, scheelt misschien 0.06 kWh per maand. Dat is nog geen kWh per jaar, wat wat mij betreft in de ruis van de meting valt.

[mrmrmr]

Grote kans dat op de Linux server besparende instelling ook niet actief zijn. powertop oid moet actief zijn en dat moet je handmatig doen na een installatie. Na herstart zijn de instellingen verdwenen. OpenBSD ontbeert zo'n tool.

Ik heb het getest in gecontroleerde testomstandigheden met een zuinig C236 moederbord. Uit de test blijkt duidelijk dat OpenBSD en FreeBSD het slechtst uit de bus komen in idle. Windows verbruikt maar de helft van OpenBSD.

Veel hangt af van wat de hardware precies is. De aard van onzuinige hardware kun je niet veranderen.

[blorf]

Ik denk bij OpenBSD, als je niks draait heb je ook echt volledig idle op een paar kernel loops na.
Wat wil je nog in "slaapstand" zetten, afgezien van je SCSI harde schijf uit '95 ? Overal de power afhalen gaat je waarschijnlijk weinig opleveren. We zitten sowieso in de meeste gevallen achter een zelfschakelende actief gekoelde voeding. Een SSD meer of minder "offline" in plaats van idle maakt in stroomverbruik volgens mij geen verschil dat de moeite waard is.

[Reactie gewijzigd door blorf op 23 juli 2024 09:34]

[jurroen]

OpenBSD is niet alleen leuk, maar is gewoon een goed OS voor dagelijks gebruik. En tegenwoordig is het vrij gemakkelijk te installeren, zelfs met full disk encryptie.

Helemaal mee eens. Ik kan mij wel voorstellen dat de full disk encryptie voor nieuwe gebruikers even zoeken kan zijn, gezien het geen onderdeel is van de installer. Maar het staat goed uitgelegd in de docs. Helaas ontbreekt ondersteuning voor RAID stacking nog; het is nu nog kiezen uit bijvoorbeeld (soft-)RAID 1 of FDE.

Ouderwetse eenvoud waarop je recente applicaties kan gebruiken. Ondanks de encryptie op vele niveaus is het snel, zeker door de weinige achtergrond processen (idle is ook echt idle). Geschikt voor office, internetapplicaties, en multimedia (behalve games).

Het is zeker snel; voor desktop gebruik zijn er tweaks beschikbaar om het nog sneller te maken. Wat betreft gaming, dat ben ik niet met je eens. Er is een hele community voor gaming op OpenBSD. Op mijn workstation met een ATi R9 draaien alle ondersteunde 3D games snel en vloeiend, zonder framedrops etc.

[Reactie gewijzigd door jurroen op 23 juli 2024 09:34]

[denPes]

Interessante links, vooral de resource allocation in die tweaking guide. Ik gebruik openBSD zelf nog niet zo lang, dus dit soort info kan er altijd goed bij.

[daemonix]

Vergeet dan niet een specifieke KVM patch mee te geven: kvm-intel.preemption_timer=0

(uit de kernel mailing lijsten van OpenBSD), zie ook https://www.reddit.com/r/..._guest_on_a_kvmqemu_host/

[Sandor_Clegane]

Vergeet dan niet een specifieke KVM patch mee te geven: kvm-intel.preemption_timer=0

(uit de kernel mailing lijsten van OpenBSD), zie ook https://www.reddit.com/r/..._guest_on_a_kvmqemu_host/

Goed om te weten, thanks.

[blorf]

Het eerste wat ik dan zou proberen is /etc/motd eruit gooien en /etc/rc.conf voorzien van sendmail_enable="NONE". Kunnen ze daar niet een keer mee ophouden?

[84hannes]

Misschien kun je de geïnteresseerde noob uitleggen waarom?

[blorf]

Dan hoef je niet elke keer je root mail te checken en tegen dit beginscherm aan te kijken.

[Jerie]

De root mail is anders behoorlijk handig om bij te houden welke belangrijke meldingen je hebt gezien, en die standaard motd ook. Als het je niet zint bouw je maar diffs voor /etc/rc.conf zo lastig is dat niet.

[blorf]

Geen idee waar je het over hebt. Ik type in: rm /etc/motd && printf "sendmail_enable=\"NONE\"\n" >> /etc/rc.conf. Min of meer...

[Reactie gewijzigd door blorf op 23 juli 2024 09:34]

[nopcode]