Software-update: OpenBSD 7.3

OpenBSD logo (75 pix) De nieuwe halfjaarlijkse release van OpenBSD is uitgekomen. Op deze pagina is een uitgebreide lijst van ftp- en http(s)-downloadlocaties te vinden. OpenBSD stamt af van de originele Berkeley Software Distribution en heeft als kenmerk dat de ontwikkelaars alleen opensourcesoftware willen gebruiken. Verder staat het besturingssysteem bekend om zijn uitstekende documentatie en veiligheid. De complete releasenotes kunnen op deze pagina worden gevonden; dit is de aankondiging voor deze uitgave:

OpenBSD 7.3 released

We are pleased to announce the official release of OpenBSD 7.3. This is our 54th release. We remain proud of OpenBSD's record of more than twenty years with only two remote holes in the default install.

As in our previous releases, 7.3 provides significant improvements, including new features, in nearly all areas of the system.

OpenBSD screenshot (620 pix)

Versienummer 7.3
Releasestatus Final
Besturingssystemen BSD
Website OpenBSD
Download https://www.openbsd.org/faq/faq4.html#Download
Licentietype Voorwaarden (GNU/BSD/etc.)

Door Bart van Klaveren

Downloads en Best Buy Guide

10-04-2023 • 19:30

34

Bron: OpenBSD

Update-historie

28-04 OpenBSD 7.7 0
10-'24 OpenBSD 7.6 20
04-'24 OpenBSD 7.5 6
10-'23 OpenBSD 7.4 6
04-'23 OpenBSD 7.3 34
10-'22 OpenBSD 7.2 12
04-'22 OpenBSD 7.1 9
10-'21 OpenBSD 7.0 11
05-'21 OpenBSD 6.9 40
10-'20 OpenBSD 6.8 0
Meer historie

Reacties (34)

34
34
12
1
0
20
Wijzig sortering
Als ze nou eens de strijdbijl zouden begraven met freebsd en gewoon één secure en user friendly alternatief neer zouden zetten…..
Dan zou het kans van slagen hebben…..

[Reactie gewijzigd door divvid op 25 juli 2024 00:22]

Welke strijdbijl?

De BSD deratives zijn verschillende operating systems. Ze hebben verschillende doelen. Jij lijkt te impliceren dat er een strijd is - wat niet het geval is.

De focus van OpenBSD ligt op security, goede documentatie en cleane code. Vanuit een praktisch oogpunt is dit niet echt verenigbaar met de codebase van FreeBSD. Zo is de ZFS codebase vele malen groter en complexer dan de OpenBSD kernel. Om maar een simpel voorbeeld te geven.

Dat is niet verkeerd, noch zorgt het voor strijd tussen de projecten. Het betekend dat je als user wel een keuze moet maken - wat misschien niet heel fijn voelt.

Als je om welke reden dan ook wat dingen uit FreeBSD nodig hebt of wilt gebruiken, zou je kunnen kijken naar HardenedBSD. Wat gewoon FreeBSD is, maar met kernel en userspace hardening (oa exploit mitigations).

Ik ben zelf een enorme fan van OpenBSD, heb de mascotte zelfs op mijn arm zitten. Maarrr, voor mijn grote storage arrays (NAS, SAN, hoe je het wilt noemen) gebruik ik HardenedBSD in verband met ZFS. En ook voor sommige andere edge-cases (wat complexere virtualisatie).

Maakt dat OpenBSD minder? Totaal niet. Het is simpelweg scenario afhankelijk wat een meer geschikte keuze is.
Know your history. It went pretty ugly.

Men had moeite met uitspraken als. (theo.c)

"Quite frankly, SSE's alignment requirement is the most utterly retarded idea since eating your own shit."
&
"You're not allowed to have an opinion.",

Popcorn time for me. Love it.
Ja, ik ben daar zeker bekend mee :)

Dat speelde (bijna) drie decennia geleden. Maar een échte strijd tussen OpenBSD en FreeBSD zoals @divvid lijkt te impliceren is er niet. Natuurlijk, individuele developers kunnen het oneens met elkaar ziijn.

Maar er zijn ook genoeg dingen die samen gedaan worden, zoals (wifi) interface drivers van stsp.

Ik deel je popcorn time wel :) Voorheen was t vaste prik op de donderdagavond, bier open en de mailinglijsten doorspitten.
HOLUP, niet denken. De MP kernel doet het jaren, maar JUIST door de keuze 'Security uber aller'
schrijf je Niks plain weg, swap is encrypted, alles is compiled

Kernel randomization / Memory protection / W^X zijn geen zaken waar je performance uit trekt.
x86_64 per design is flawed voor deze taak. Niet voor niks dan AMD nu SEV instructies heeft, maar zijn een berg pleisters die, de boel in goede banen moeten laten varen. Waarom denk je dat dat de overheid 2 eigen datacenters in gronigen heeft staan. Niet omdat ze nu te boek staan als IT Projecten Ninja's :)
/s (En ja, ik mocht mee gluren bij 4V HueHue)

En Theo being Theo.. gonna Theo :)

Voor deze grappen, lekker FreeBSD gaan, kernel/numa patches die hier uit voort kwamen zitten vandaag in Linux/ESX, zoals het hoort.

https://papers.freebsd.or...-netflix-freebsd-400gbps/
Nee, zeker niet! Maar als de devs van OpenBSD meer multithreading inbouwen kun je er wel vanuit gaan dat het op een doordachte manier is en geen MacGuyver-ductape werk. Ook als je er geen 400G doorheen trekt of zelfs maar een verdubbeling van de snelheid ziet. Alles is mooi meegenomen. En ze implementeren het niet omdat anderen het willen, maar omdat ze het zélf willen.

Dat praatje van Netflix over de 400G per server is overigens bijster interessant. Live bijgewoond op een BSD conferentie :)
Ah the good old times O+
During these hostile and trying times and what-not
OpenBSD may be your family's only line of defense

I'm secure by default

They that can give up liberty to obtain a little temporary safety
deserve neither liberty nor safety

RELEASE TIME!!!!

Stay off, stay off, stay off...
I'm secure by default
stay off, stay off, stay off
Holly f* waar is de tijd gebleven :?
The IT Renaissance era...

Mijn manager: Regel jij de logistics, stuur ze 6 hagel nieuwe HP NetServers & wat Catalist switches & je kent een paar van die port maint. devs toch ? Yup.. Hier, company credit card. Go wild.
Wait what ? Trust me.... okay ....

Toen IPF naar PF ging moesten er zo'n 40 DMZ firewalls met 1000 tot 3000 rules overgezet gaan worden voor een niet nader te noemen market maker, 5 weken later, all included amsterdam vacation voor een core OpenBSD dev die ons heeft geholpen. Waren 2 hele coole dagen.
Uurtje factuurtje uiteraard, tikkie meer dan normaal zelfs, maar het feit dat wij in aanmerking kwamen voor een core dev, die HP Netserver servers ... drinks, 10Gbs nics...

Toen viel het plaatje :)

Genius....
Bedenk en besef dat ja, er is in het verleden onenigheid geweest binnen de ontwikkeling. Het grote voordeel van opensource ontwikkelingen is hier dat het 'eenvoudig' is om af te splitsen en elk een eigen kant op te gaan. In het geval van bsd blijkt dat er ondertussen meerdere paden levensvatbaar blijken te zijn.

Ondertussen is de strijdbijl wel begraven, de diverse bsd-varianten hebben elk hun bestaansrecht. Naar mijn idee zijn de verschillende bsd-varianten te vergelijken met de verschillende linux distributies die er zijn. Dan valt het binnen de bsd-wereld wel mee.
OK. Thanks, ik ken de verhalen zoals @ViPER_DMRT die aanstipt. Als je dan iets higher level kijkt is er gelukkig ook veel kruisbestuiving.
Ik raad je aan om je te verdieping hoe en waarom OpenBSD van NetBSD is geforkt :)
Ik raad je aan om je te verdieping hoe en waarom OpenBSD van NetBSD is geforkt :)
Ooofff

Theo doet niet aan filters, I love it. Some hate it.
Iemand in OpenBSD Misc met een serieuze vraag omtrent virtualization.

> Virtualization seems to have a lot of security benefits. [rip]

Inmidels komt OpenBSD met z'n eigen Hypervisor, daar niet van. Maar geen politiek, geen bs.
Gast achter IPF begon ineens natte voeten te krijgen over Licenties, BAM.. 1 hackaton later PF was born. Lean, mean... Secure & beter, sneller, duidelijker. En ja, dat komt met een prijs. Tuurlijk kun je grome draaien op je OpenBSD laptop, maar dat wil je niet.

(Tuurlijk zal iemand die dagelijks 4K foto's bewerkt in gimp op OpenBSD vanaf een Sun Netra 240 server daar heel anders over denken, maar daar hebben daar dan ook de tijd nog voor tussen het laden.)


In short

FreeBSD Runs on the Server / HPC node / Workstations / Laptops / Firewalls
OpenBSD Runs on the DMZ Servers / PF Firewalling / HA Carp nodes.
Linux Runs on the Infra / Workstations
NetBSD runs on the table (joke...)

TL;TR: It helps to know about Theo, the guy behind OpenBSD.
https://www.youtube.com/watch?v=WwCZuN4qQPI

[Reactie gewijzigd door ViPER_DMRT op 25 juli 2024 00:22]

Theo doet niet aan filters, I love it. Some hate it.
Iemand in OpenBSD Misc met een serieuze vraag omtrent virtualization.

> Virtualization seems to have a lot of security benefits. [rip]
Je kan hem ergens wel geen ongelijk geven wat betreft de inhoud, als je bekijkt hoeveel exploits er de afgelopen jaren geweest zijn. (En dan hebben we het nog niet over Spectre en Meltdown, maar goed).

Dat virtualisatie andere voordelen had, daar rept hij met geen woord over :-D
[...]
Je kan hem ergens wel geen ongelijk geven wat betreft de inhoud, als je bekijkt hoeveel exploits er de afgelopen jaren geweest zijn. (En dan hebben we het nog niet over Spectre en Meltdown, maar goed).

Dat virtualisatie andere voordelen had, daar rept hij met geen woord over :-D
Securitywise ? None.
Maar tuurlijk, je kunt nu 5 Miljoen IOPS halen, 100Gb/s lezen/schrijven Troughtput in een 1U Server met 2TB RAM 192 Cores... Leuke compile bak sure, maar rackspace & stroom ... DUUUR ... Geheugen/NVME Cheap (Relatief). Laten we VM's Draaien ..... Blijkt nog 2'3e uit z'n neus vreet..... Hey... containers.... Met Idioot slimme scheds ... Behold BORG.... toen het google's eigen was, nu beter bekent als K8S. Prachtig... maar again ... if it go's bad, it go's REALLY bad. Priv. Escalation in een 2TB wolkje.... oh lawd, de private keys die daar in vliegen alleen al....

Niks is 100% Secure, Maar hier kun je op wachten zeg maar, as we have seen.
Vergelijk dat eens met waarom linux van minix afgesplitst (als je daar al van kan spreken). Natuurlijk, ergens in de geschiedenis was er een reden om af te splitsen. Maar dat houdt niet in dat de strijd blijft voortbestaan.

Aan de andere kant: Kijk dan naar de hele geschiedenis: Waarom unix? Waarom BSD? Waarom open-/free-/net-bsd? En welke bsd afgeleiden zijn er nog meer? Wat is daar van over? (Next -> Apple...)
Als 20 jaar FreeBSD-gebruiker, en in minder mate ook de andere gangbare versies: ik zou mee werken aan een omvattend systeem. Dat hoeft geen universele kernel te zijn maar minstens een distributie die ernaar streeft de verschillende kernels allemaal bruikbaar tte maken op dezelfde directory-tree. Een memstickje met opties voor de verschillende BSD-kernels en RAM-based autoconfiguratie van de per kernel verschillende verdere vereisten. Dat is the ultimate toolbox. 8-)
Wat zou het voordeel van zo'n Frankenstein monster? Ik zie vooral een hoop complexiteit - één van de voordelen van de BSD deratives is juist een KISS approach. Zeker voor OpenBSD.

De userland is ook verre van compatible. Kijk alleen al eens naar de import van LibreSSL naar FreeBSD welke ook erg snel weer ongedaan is gemaakt.

Of doas op Linux. Ja, het werkt, maar is niet veiliger omdat doas niet portable is en leunt op beveiliging die OpenBSD in de kernel heeft.
Ik denk dat het voor allemaal dingen zou kunnen verbeteren. Ze zijn dan allemaal non-profit maar een klein beetje marketing zou geen kwaad kunnen. Iets als die meer uitgebreide packet filter bij Openbsd is technisch interessant. Waar ligt het aan dat FreeBSD dat niet toepast?
Het is allemaal software. In het geval van amd64 zou je het verschil kunnen omzeilen met een virtuele kaalgestripte OpenBSD-installatie waarvan alleen nog de netwerk-gerelateerde functionaliteit intact is gehouden in een brug, dus als enige verbinding naar buiten. Dat past wel in een mini-omgeving zoals mfsroot. (Geen idee hoe dat bij OpenBSD heet) Natuurlijk kost dat zwaar netwerk-performance, maar het laat zien hoe dicht het bij elkaar zit.
Tenzij je zelf een dergelijk initiatief gaat beginnen zal dit er (gelukkig!) nóóit komen :+

Je bedoelt het ongetwijfeld goed, maar slaat de plank flink mis. Om te beginnen: voor wie zou het dingen verbeteren?

Niet voor de ontwikkelaars. OpenBSD wordt gemaakt door én voor de ontwikkelaars. Dat klinkt wellicht heel egocentrisch - het is de reden waarom ze een trouwe schare volgelingen hebben. Ze kunnen een laser-focus op de doelen van het project (veiligheid, stabiliteit, documentatie, schone code, etc) hebben juist omdat er geen andere stakeholders zijn.

Een dergelijk Frankenstein-monster zou extreem veel complexiteit toevoegen. Bij mij gaan de haren al recht overeind staan van alleen het idee.

Dan het tweede: marketing. Zie de uitleg hierboven. Door dingen goed te doen zetten ze zichzelf beter op de kaart dan een fancy website, slicke reclamecampagne of whatever. Een voorbeeld: jij hebt innovaties van het OpenBSD project in je broekzak. Letterlijk. Jouw Android of iPhone heeft bijvoorbeeld OpenSSH. Als het een iPhone is, heb je ook LibreSSL. Jouw computer bevat heel waarschijnlijk ook beiden. Oók Windows 10 heeft OpenSSH (gecompileerd tegen LibreSSL) standaard in base zitten.

Als er voor elke installatie van OpenSSH 50 cent naar OpenBSD zou gaan, zou het project nooit meer zorgen hebben om enige vorm van funding. Maar helaas, lang niet iedere partij die OpenBSD gebruikt geeft daar iets voor terug. Wat veel belangrijker is dan marketing.

En kaalgestripte OpenBSD? Heb je enig idee hoe kaal een standaard installatie al is? Ja, er zit een webserver in, een mail daemon - maar de eerste staat standaard niet aan, de tweede alleen met een configuratie voor lokale mail. Een volledig geboote OpenBSD, multiuser en met grafische omgeving (cwm) kost ~175MB werkgeheugen. En daar heb ik dan al zelf bloat aan toegevoegd, zoals een non-standard shell, terminal en wallpaper app.

Dat krijg je bij FreeBSD niet voor elkaar. Maar dat hoeft dan ook niet - want FreeBSD is weer voor andere scenario's perfect geschikt. Zoals flinke storage arrays waarbij data integriteit belangrijk is (ZFS). Of complexere virtualisatie (Bhyve). Of servers met een extreme throughput (zoals Netflix gebruikt en contribute).

De bouwstenen daarvoor hebben daarvoor verschillende eisen die niet compatible zijn met "het andere OS' (of dat nu OpenBSD of FreeBSD is).

Last but not least, wat jij hebt bedacht klinkt een beetje als een stripped-down, BSD based versie van QubesOS ;)
Vooral het misplaatste fanaticisme verknalt een hoop perspectrieven...
Ok.

[Reactie gewijzigd door jurroen op 25 juli 2024 00:22]

Wat wil je hebben? De Openbsd opgeleukte berkeley packet filter op een FreeBSD-systeem.? Moet me in een dag lukken. Helemaal gedocumenteerd een week.
Maar zo belangrijk is dat niet. De BSD's hebben niet aantoonbaar verschillende beveiliginsniveau's. Bij een professioneel systeem komen alle facetten in alle gevallen aan bod. Als die hele pf-constrcutie alsnog op een of andere manier wordt gesandboxed of jailed is het al bijna overbodig. Of je hebt nog steeds de speciale OpenBSD pf nodig voor 1 poort omdat je je doel-proces niet vertrouwt, maar de rest al buiten bereik is...

Is er ook een auditd-achtig iets in OpenBSD? En procfs? Dan kun je system-wide alle bestanden die na een dag draaien niet aangesproken zijn eruit gooien. Voor alleen pf blijft er een kernel en minder dan 1% van de userland over. Dat stouw je in een vm. Qemu is mooi om te testen. Vervolgens wordt dat een "programma" in je target UNIX-systeem waar je netwerklijn denkbeeldig door heen gaat.

Veel interessanter zou ik het vinden als specialisten van Open en FreeBSD de boel op elkaar houden om te zien wat de verschillen zijn.
Dat is in principe te beschouwen als tekortkoming van een van beide of allebei.

[Reactie gewijzigd door blorf op 25 juli 2024 00:22]

De echte hardcore geek gaat uiteraard "Designing BSD rootkits" lezen en bouwt een op pf toegespitste OpenBSD omgeving in een FreeBSD kernel lus. }>
Ben er ooit mee begonnen met 4.4. Blijft een mooi OS, al gebruik ik tegenwoordig FreeBSD.
Ha! Ik ben ooit begonnen met FreeBSD 4.4 voor router gebruik en ben eind 2015 overstapt op OpenBSD, vooral vanwege 'pf' en betere integratie met PPPoE (RFC 4638 / MTU). Gebruik ondertussen ook specifieke OpenBSD zaken zoals 'relayd' en 'ifstated'. Werkt prima, de performance is misschien iets minder, maar dat compenseer ik met snellere hardware.
Momenteel wordt er heel hard gewerkt aan multithreading op OpenBSD. De pf versie die FreeBSD heeft is veel minder feature complete, maar heeft wel multithreading.

Een kwestke van tijd. In deze release zijn al veel verbeteringen voor SMP, maar er gaat nog veel meer volgen :)
HOLUP, niet denken. De MP kernel doet het jaren, maar JUIST door de keuze 'Security uber aller'
schrijf je Niks plain weg, swap is encrypted, alles is compiled.... CPU's houden daarnaast echt op bij 40Gbs, ASIC's from there on.... En die zijn niet open... lachen... Toch blij dat Nvidia erachter zit (Mellanox buyout) Ondanks hun streken bijf ik ze waarderen.

Kernel randomization / Memory protection / W^X zijn geen zaken waar je performance uit trekt.
x86_64 per design is flawed voor deze taak. Niet voor niks dan AMD nu SEV instructies heeft, maar zijn een berg pleisters die, de boel in goede banen moeten laten varen. Waarom denk je dat dat de overheid 2 eigen datacenters in gronigen heeft staan. Niet omdat ze nu te boek staan als IT Projecten Ninja's :)
/s (En ja, ik mocht mee gluren bij 4V HueHue)

En Theo being Theo.. gonna Theo :)

Voor deze grappen, lekker FreeBSD gaan, kernel/numa patches die hier uit voort kwamen zitten vandaag in Linux/ESX, zoals het hoort.

https://papers.freebsd.or...-netflix-freebsd-400gbps/
Heb twee wireguard gateways draaien op OpenBSD. Na het geneuzel van PfSense and OpnSense (geen werkte zoals ik het wilde) was het echt wel even weer fijn om terug te zijn.
Ik ken een toko die is zo super para dat hun hele 19" 41" colo rack met 10/40 en 100Gbs interconnect over WG gaat.... De overhead is natuurlijk merkbaar, maar slechts 20/30% meen ik. Moet je met OpenVPN/Swan proberen :D

wg is life !

DPU's zijn de nieuwe GPU's (Oh gawd, dat klonk erg infosec-jaarbeur-sales-droid...)
Die 400Gbs's zijn wat steap voor thuis, maar 10/40Gbs Mellanox kaartjes op ebay ... 10tjes werk :)
Ik zou dan voor MACsec gaan, wordt door de meeste professionele apparatuur prima ondersteund op linerate, en 0% performance hit. Wireguard lijkt me een beetje overkill dan. Ik kom om heel eerlijk te zijn amper Wireguard tegen voor inter-dc interconnects en heel veel MACsec.
0% Performance hit ? :) My bother in Christ, there is no such thing :)

A Tunnel uses, crypto etc etc. AES-NI, dus CPU/DPU Offloaded, maar je gooit iets door een pijp. MTU Size is key, net altijd onder de 9000K zitten ivb encapsulation frame. Zelfde verhaal dat je geen 10Gb/s haalt op een 10Gb NIC. Veel Ruis op lijn, sort of :) Had die AES-NI liever volledig aan vmware gegunt, dan zijn de vmotions net nog even wat sneller, maar goed. CEO was er heilig van overtuigd dat de <$RANDOM
Mossad> achter de IP van zijn bedrijf zit.

Onzin natuurlijk, Als ze intresse zouden hebben, dan hadden ze die al. Same with the NSA, them boys have `real` budgets =]
0% performance hit omdat moderne switches dit in ASIC's doen. Echt 0%, met MACsec encrypted is gewoon raw 100Gbit/s over de lijn rammen. MTU size blijft hetzelfde aangezien het op layer 2 loopt.
Het is goud voor hibrate cloud geneuzel, Netflix zonder opa/oma,tante heffing, zit al in de kernel...

It's .... simple which is weird.

Op dit item kan niet meer gereageerd worden.