Uniquement deux vulnérabilités à distance dans l'installation par défaut, durant plus de 10 ans !

Le projet OpenBSD fournit un système d'exploitation de type UNIX LIBRE, multi plates-formes et basé sur 4.4BSD. Nos efforts portent sur la portabilité, la standardisation, l'exactitude, la sécurité proactive et la cryptographie intégrée. OpenBSD supporte l'émulation des binaires SVR4 (Solaris), FreeBSD, Linux, BSD/OS, SunOS et HP-UX.

OpenBSD est disponible gratuitement depuis nos sites FTP, et également en un lot de 3 CD bon marché. La version actuelle est OpenBSD 4.1, sortie le 1er Mai 2007.

OpenBSD est développé par des volontaires. Le projet est financé par la vente de CD, de T-shirts, ainsi que par les donations d'organisations et de particuliers. Ces finances permettent d'assurer la survie d'OpenBSD, et son caractère libre d'utilisation et de réutilisation pour tous, comme bon leur semble.

Quoi de neuf ?

Ceci est une liste partielle des nouvelles fonctionnalités présentes dans OpenBSD 4.1. Pour une liste complète, voir le journal des changements jusqu'à la version 4.1.

• Nouvelles (ou améliorations de) plates-formes :
  • OpenBSD/landisk.
    Plusieurs systèmes embarqués basés sur SH4, fabriqués par IO-Data et certains revendus sous la marque Plextor.
  • OpenBSD/sparc64.
    Les machines basées sur de l'UltraSPARC III sont encore mieux supportées et fonctionnent à pleine vitesse !

   

• Plates-formes supprimées :
  • OpenBSD/cats.
    Car les machines deviennent très rares à trouver et les développeurs les haîssent.

   

• Meilleur support matériel incluant :
  • Support de nouveaux clients USB :
    • Support de la fonctionnalité client USB dans le pilote pxaudc(4) pour Zaurus.
    • Nouvelle couche client USB avec le pilote usbf(4).
    • Nouveau pilote cdcef(4) fournissant la fonction CDCE pour les contrôleurs USB.
  • Nouveau pilote cas(4) pour les périphériques Sun Cassini 10/100/Gigabit Ethernet.
  • Nouveau pilote uow(4) pour les périphériques Maxim/Dallas DS2490 USB 1-Wire.
  • Nouveau pilote owsbm(4) pour les sondes 1-Wire smart battery.
  • Nouveau pilote zyd(4) pour les périphériques réseaux sans-fil ZyDAS ZD1211/ZD1211B USB IEEE 802.11b/g.
  • Nouveau pilote moscom(4) pour les adaptateurs USB série basés sur du MosChip Semiconductor MCS7703.
  • Nouveau pilote glxsb(4) pour la génération de nombres aléatoires et l'accélération AES des processeurs AMD Geode LX.
  • Nouveau pilote vic(4) pour les contrôleurs VMware VMXnet Virtual Interface.
  • Nouveau pilote malo(4) pour les périphériques réseaux sans-fil Marvell Libertas IEEE 802.11b/g.
  • Nouveau pilote pwdog(4) pour les périphériques Quancom PWDOG1 watchdog timer.
  • Nouveau pilote uberry(4) supportant les périphériques Blackberry de chez "Research In Motion" (RIM).
  • Nouveau pilote mbg(4) pour les horloges radio Meinberg Funkuhren.
  • Nouveau pilote mesh(4) pour le contrôleur SCSI intégré des systèmes Apple Power Macintosh "old world" (ancienne génération).
  • Nouveau pilote mc(4) pour le contrôleur intégré des systèmes Apple Power Macintosh "old world" (ancienne génération).
  • Amélioration du pilote msk(4) qui supporte beaucoup plus de variantes Marvell Yukon-2 telles que les cartes dual port et fibre.
  • Le pilote gem(4) supporte désormais les cartes fibre.
  • Amélioration de la gestion temporelle sur la plate-forme OpenBSD/amd64.
  • Le programme (pour OpenBSD/i386) boot(8) fonctionne correctement sur les Macs basés sur de l'Intel.
  • Le pilote pciide(4) supporte de nouveaux chipsets, tels que :
    • AMD CS5536 IDE;
    • Intel i31244;
    • NVIDIA MCP67 PATA, MCP67 SATA.
  • Le pilote com(4) supporte à présent les périphériques ST16C654.
  • Le pilote adt(4) supporte à présent de nouveaux périphériques, tels que l'ADT7475.
  • La plate-forme OpenBSD/macppc redémarre automatiquement la machine en cas de coupure de courant.
  • boot.mac, un chargeur de démarrage formaté en XCOFF pour OpenBSD/macppc est capable de démarrer de nombreux Macs "old world" (ancienne génération).

   

• Nouveaux outils :
  • Nouveau programme sous licence BSD, pkg-config(1), une réécriture complète de l'outil GNU homonyme, plus petit et plus facilement maintenable.
  • Un nouveau service, hoststated(8), pour la balance de charge au niveau 3 et 7 et la surveillance d'hôtes.
  • Nouveau programme ripd(8) sous licence BSD.
  • bgplg(8), une interface miroir CGI pour OpenBGPD, est désormais disponible avec le serveur httpd du système.
  • bgplgsh(8), une interface miroir shell pour OpenBGPD, est désormais disponible en tant qu'interface de commandes restreinte en lecture seule.

   

• Nouvelles fonctionnalités :
  • syslogd(8) peut à présent passer les logs directement vers d'autres programmes, ce qui simplifie l'analyse des journaux.
  • L'option de socket ip(4) IP_RECVTTL permet à des programmes de recevoir le ttl entrant sur des sockets raw et udp.
  • L'option de socket ip(4) IP_MINTTL permet à des programmes de demander au noyau d'ignorer tout paquet dont le ttl est plus petit que celui donné afin de pouvoir implémenter le "hack" de sécurité IP TTL connu sous le nom de Mécanisme de Sécurité TTL Généralisé, spécifié dans la RFC 3682.
  • Tables de routage multiples et indépendantes en utilisant pf(4) comme sélecteur. Possibilité de spécifier à route(8) sur quelle table l'on souhaite agir ; les différents services de routage ont été modifiés en conséquence.
  • L'interface pflog(4) est à présent clonable. pf(4) peut désormais loguer plusieurs interfaces pflog, chaque règle pouvant spécifier sur quelle interface pflog celle-ci souhaite loguer. Possibilité de spécifier à pflogd(8) et spamlogd(8) sur quelle interface pflog on souhaite agir.
  • L'interface pfsync(4) est à présent clonable également, mais est seulement présente lorsque cela est nécessaire.
  • pfctl(8) peut désormais faire expirer les entrées des tables.
  • keep state est à présent défini par défaut pour les règles de pf.conf(5) tout comme l'option flags S/SA en ce qui concerne les connexions TCP. Les options no state et flags any peuvent y être utilisées afin de désactiver le suivi des états ou la vérification des drapeaux TCP.
  • L'optimiseur de règles de pfctl(8) peut être activé dans le fichier pf.conf(5).
  • Les ancres pf(4) peuvent être chargées directement à l'intérieur du fichier pf.conf(5) principal et s'afficher récursivement.
  • Possibilité pour les règles pf(4) à l'intérieur d'ancres de réinitialiser leur compteurs et aux compteurs de lire et réinitialiser une opération atomique.
  • sensorsd(8) tempère les changements de statuts et ne produit pas d'alerte en cas d'une seule lecture erronnée d'une sonde car beaucoup d'entre elles "mentent" de temps en temps.
  • spamd(8) et spamlogd(8) supportent à présent la synchronization des bases de greylisting entre différents hôtes. Le mécanisme de greytrapping permet de mettre en place des trappes sur des domaines entiers ainsi que la découverte de MX hors-service.
  • Le format de la base de donnée de spamd(8) a changé de DB_BTREE vers DB_HASH afin d'améliorer les performances sur les grosses installations avec de larges bases.
  • Le pilote bridge(4) et l'utilitaire brconfig(8) supportent le RSTP ("Rapid Spanning Tree Protocol"). Ce nouveau mode est activé par défaut lorsque l'option stp est utilisée.
  • cd(4) peut désormais lire les DVDs à protection régionale.
  • Détecte les systèmes de fichiers MS-DOS et leur applique une partition disklabel même lorsqu'il n'y a pas de MBR comme c'est le cas sur les nouveaux iPods par exemple.

   

• Améliorations et nettoyage de code :
  • La commande fsck_ffs(8) a été améliorée afin d'être plus robuste aux différentes formes de corruptions d'inode et de superblock.
  • Nouvelles possibilités de filtrage de la sortie de l'utilitaire top(1).
  • La prise en charge du descripteur de fichier par pthreads(3) a été améliorée afin d'éliminer plusieurs situations de concurrences et de blocages et pour en augmenter la performance.
  • Le système de fichiers MS-DOS a été corrigé afin d'éviter une éventuelle corruption et est à présent plus fiable lors du montage d'un système de fichiers corrompu.
  • Le système de fichiers MS-DOS ainsi que la commande fdisk(8) ont été améliorés afin de fonctionner sur les périphériques avec 2048 secteurs comme par exemple les nouveaux iPods.
  • Amélioration de la gestion des fichiers par les utilitaires OpenRCS, surtout lorsqu'il s'agit de fichiers binaires. La compatibilité avec GNU RCS a également été augmentée.
  • L'éditeur mg(1) affiche désormais le numéro des colonnes dans la barre de status. Plusieurs améliorations ont également été apportées afin de le rendre plus fiable : numéros de ligne, insertions de fichiers et recherche cyclique fonctionnent correctement.
  • La commande systat(1) produit une sortie plus propre et une option a été ajoutée pour les sondes matérielles.
  • La plate-forme OpenBSD/alpha utilise désormais gcc3.
  • Amélioration du support pour les lecteurs cd usb ainsi que d'autres lecteurs umass(4) peu communs.
  • Ne pas considérer une partition MBR NetBSD ou FreeBSD comme substitut d'une partition OpenBSD ; à savoir, ne pas tenter de démarrer à partir de l'une d'elles ni d'y stocker des disklabels OpenBSD.

   

• Changements dans la procédure d'installation/mise à jour :
  • Détection des disques et cd plus fiable.
  • Installation plus fiable à partir de partitions MSDOS.
  • Nouveau test permettant de vérifier que les sets correspondent bien à l'achitecture sélectionnée.
  • Inutile de spécifier les types de systèmes de fichiers des partitions source lors d'installation via disque ou cd.
  • Inutile de spécifier une partition source lors d'installation via disque ou cd lorsqu'une seule est disponible.

   

• OpenBGPD 4.1 :
  • Fix pour les sessions avec tcp md5sig et ipsec. A présent, celles-ci peuvent migrer à partir de et vers n'importe qu'elle forme d'ipsec et de tcpmd5 avec un simple bgpctl reload, la session migrera alors la prochaine fois qu'elle sera établie.
  • Possibilité d'inclure un fichier dans la configuration.
  • Possibilité d'utiliser la nouvelle option de socket IP_MINTTL afin de mettre en oeuvre le mécanisme de sécurité ttl.

   

• OpenOSPFD 4.1 :
  • Support du rechargement ("reload"). Il n'est désormais plus nécessaire de redémarrer ospfd après un changement de configuration.
  • Support de plusieurs réseaux par interface.
  • Possibilité de spécifier le type et metric de la route pour chaque règle de redistribution.

   

• OpenNTPD 4.1 :
  • Support grandement amélioré des sondes temporelles.
  • ntpd utilise désormais un système d'incrément temporel strictement monotonique (uptime) pour ses temporisateurs internes ; ainsi configurer l'horloge système n'influence plus les taux de connexion, les niveaux de confiance...

   

• OpenSSH 4.6 :
  • sshd permet désormais d'activer et désactiver les méthodes d'authentification basé sur l'utilisateur, le groupe, l'hôte et le réseau via la directive Match du fichier sshd_config(5).

   

• Plus de 4200 ports, 4000 paquetages pré-compilés (pour i386) et des améliorations des outils de gestion des paquetages. Exemples de mises à jour et ajouts intéressants :
  • outils gstreamer-0.10.
  • paquetage pour OpenOffice.org, uniquement disponible par ftp pour des questions de taille.
  • KDE 3.5.6 et koffice 1.6.2.
  • un grand nombre (> 500) de modules perl ajoutés/mis à jour, de CPAN, avec entre autre le framework catalyst.
  • l'IDE Java NetBeans 5.5.
  • mise à jour de l'émulation Linux avec l'utilisation des bibliothèques de Fedora Core.
  • Mozilla Firefox 2.0.0.2 (et ses traductions).
  • PostgreSQL 8.2.3.

   

• Comme d'habitude, de nombreuses améliorations dans les pages de manuel et autres documentations.

   

• Le système comporte les composants majeurs suivants fournis par des entités externes :
  • X.Org 6.9.0 (+ correctifs, et i386 contient les serveurs XFree86 3.3.6 (+ correctifs) pour les chipsets non supportés officiellement par X.Org)
  • Gcc 2.95.3 (+ correctifs) et 3.3.5 (+ correctifs)
  • Perl 5.8.8 (+ correctifs)
  • Notre propre version améliorée et sécurisée d'Apache 1.3.29 avec SSL/TLS et DSO support
  • OpenSSL 0.9.7j (+ correctifs)
  • Groff 1.15
  • Sendmail 8.14.0 avec libmilter
  • Bind 9.3.4 (+ correctifs)
  • Lynx 2.8.5rel.4 avec HTTPS et IPv6 support (+ correctifs)
  • Sudo 1.6.8p9
  • Ncurses 5.2
  • Latest KAME IPv6
  • Heimdal 0.7.2 (+ correctifs)
  • Arla 0.35.7
  • Binutils 2.15 (+ correctifs)
  • Gdb 6.3 (+ correctifs)