Das OpenBSD-Release 3.3:

Am 1. Mai 2003 veröffentlicht
Copyright 1997 - 2003, Theo de Raadt.
ISBN 0-9731791-1-2
3.3-Lied: ,Puff the Barbarian'

Was es Neues gibt
Wie man installiert
Wie man den Portierungsbaum benutzt
Ein CD-Set bestellen

Um die Dateien von diesem Release zu beziehen:

• Bestelle eine CD-ROM über unser Bestellsystem.
• Sieh dir die Informationen auf der FTP-Seite an, wenn du eine Liste der Spiegelserver sehen willst.
• Geh in das Verzeichnis pub/OpenBSD/3.3/ auf einem der Spiegelserver.
• Überfliege den Rest dieser Seite.
• Schau dir die 3.3-Errataseite an, um eine Liste an Bugs und Workarounds zu erhalten.
• Lies dir das detaillierte Protokoll der Änderungen zwischen dem 3.2- und dem 3.3-Release durch.

Hinweis: Alle anwendbaren Copyrights und Danksagungen können in den jeweiligen Quelltextdateien in den Dateien src.tar.gz, sys.tar.gz und XF4.tar.gz gefunden werden, oder auch in den Dateien, die über ports.tar.gz geholt werden. Die Distributionsdateien, die benötigt werden, um die Pakete aus der Datei ports.tar.gz zu erzeugen, sind aus Platzgründen nicht auf den CD-ROMs enthalten.

Was es Neues gibt

Dies ist eine unvollständige Liste an neuen Funktionalitäten und Teilsystemen, die in OpenBSD 3.3 integriert wurden. Eine vollständige Liste findet sich im Changelog, das zu 3.3 führt.

• Integration der Stack-Schutz-Technologie ProPolice von Hiroaki Etoh in den Compiler des Systems. Dieser Schutz ist standardmäßig eingeschaltet. Mit dieser Änderung werden Funktionsaufrufe dahingehend modifiziert, dass der Stack geändert wird: ein Zufallswert (canary) wird vor die Rücksprungadresse gesetzt und Puffervariablen werden näher an den ,canary' platziert, sodass reguläre Variablen weiter unten sind und somit schwieriger zu überschreiben. Der Funktionsrücksprung untersucht dann, ob der ,canary' noch intakt ist. Wenn nicht, wird der Prozess beendet. Diese Änderung macht es sehr schwierig für einen Angreifer, die Rücksprungadresse zu überschreiben, die beim Verlassen der Funktion genutzt wird.

• W^X (gesprochen: ,W xor X') auf Architekturen, die eine Unterstützung für ein reines execute-Bit in der MMU (sparc, sparc64, alpha und hppa) haben. Dies ist eine feinkörnige Kontrolle von Rechten im Speicher, die sicherstellt, dass Speicher, auf den eine Anwendung schreibend zugreift, nicht gleichzeitig ausführbar sein kann und umgekehrt. Das erschwert potenzielle Pufferüberläufe und andere Angriffe: Als Resultat kann ein Angreifer also nicht mehr an einen beliebigen Platz im Speicher seinen Code schreiben und dann ausführen. (HINWEIS: i386 und powerpc unterstützen kein W^X in 3.3; dieses Feature wird aber für i386 in 3.3-current bereits unterstützt und unter 3.4 werden beide Prozessoren unterstützt werden.)

• Eine noch weitergehende Reduzierung der setuid- und setgid-Binarys, und noch mehr Nutzung von chroot im System. Obwohl noch einige Programme setuid oder setgid sind, holen sich fast alle die notwendige Ressource und lassen ihre Privilegien dann fallen.

• Der X Window Server und xconsole benutzen jetzt Privilegientrennung, um bessere Sicherheit zu erzielen. Der xterm wurde auch dahingehend modifiziert, dass jetzt die Privilegienabgabe zu einem möglichst frühen Zeitpunkt durchgeführt wird. Das Programm xdm läuft als spezieller Benutzer und mit spezieller Gruppe, um weiter zu beschränken, was schieflaufen könnte.

• Wie immer wurde die Dokumentation verbessert - und zwar besonders die Handbuchseiten und die Web-FAQ. Ein größerer Teil der Webseiten ist jetzt in verschiedenen Sprachen vorhanden.

• Eine vollständigere und besser getestete Sammlung von Portierungen. Die Anzahl setuid/setgid-Portierungen wurde ebenso wesentlich verringert. Viele derjenigen, die weiterhin setuid sind, wurden so modifiziert, dass diese Privilegien möglichst früh entzogen werden.

• Über 2000 vorkompilierte und getestete Pakete.

• Signifikante Verbesserungen an der pthread-Bibliothek.

• Eine erstaunliche Menge Erweiterungen und Verbesserungen der Stabilität an unserem Paketfilter pf, einschließlich:
  • Queue, ein Bandbreiten-Managementsystem (unter der Oberfläche wird altq verwendet)
  • Anker, die es erlauben, Unterregelsätze zu benutzen, die unabhängig geladen und modifiziert werden
  • Tabellen, die eine sehr effiziente Möglichkeit bieten, große Mengen Listen in den Regeln zu verwenden
  • Es gibt jetzt Adress-Pools und Redirect/NAT zu multiplen Adressen und dadurch Load Balancing
  • Die Konfigurationssprache wurde deutlich flexibler gestaltet
  • Unterstützung für TCP-,Window Scaling'
  • Volle CIDR-Unterstützung
  • Frühe Rückkehr bei Überprüfung von Checksummen ungültiger Pakete
  • Geschwindigkeitsschub: Große Regelsätze werden bedeutend schneller geladen
  • spamd: ein Spam-Verzögerungs-Daemon, an den SMTP-Verbindungen weitergeleitet werden können. Dieser Daemon verwaltet Verbindungen anhand von Positiv- oder Negativ-Listen, ,teert' die Verbindungen (verlangsamt sie) und stellt sicher, dass der Spammer weiß, warum seine Mail nicht akzeptiert wurde.

• Deutliche verbesserte Unterstützung von sparc64: mehr Modelle werden unterstützt und einige bedeutende Fehler wurden beseitigt.

• Das System enthält die folgenden großen Komponenten von Drittanbietern:
  • XFree86 4.2.1 (und i386 enthält auch noch 3.3.X-Server, daher Unterstützung für alle Chipsets)
  • Gcc 2.95.3 (+ Korrekturroutinen)
  • Perl 5.8.0 (+ Korrekturroutinen)
  • Apache 1.3.27, mod_ssl 2.8.12, DSO-Unterstützung (+ Korrekturroutinen)
  • OpenSSL 0.9.7beta3 (+ Korrekturroutinen)
  • Groff 1.15
  • Sendmail 8.12.9
  • Bind 9.2.2 (+ Korrekturroutinen)
  • Lynx 2.8.2rel.1 mit hinzugefügter HTTPS-Unterstützung (+ Korrekturroutinen)
  • Sudo 1.6.7
  • Ncurses 5.2
  • Latest KAME IPv6
  • KTH Kerberos 1.1.1
  • Heimdal 0.4e (+ Korrekturroutinen)
  • OpenSSH 3.6

• Viele Verbesserungen in Bezug auf Sicherheit und Zuverlässigkeit (siehe auch die roten Zeilen im kompletten changelog).

• und vieles mehr.

Wie man installiert

Es folgen Anweisungen, die du auf einem Zettel hättest, wenn du ein CD-ROM-Set gekauft hättest, statt eine alternative Form der Installation zu wählen. Die Anweisungen für eine Installation per FTP (oder einen anderen Weg) sind sehr ähnlich; die CD-ROM-Anweisungen wurden intakt belassen, sodass du sehen kannst, um wie viel einfacher es gewesen wäre, wenn du stattdessen ein CD-Set gekauft hättest.

• CD1:3.3/i386/INSTALL.i386

• CD2:3.3/macppc/INSTALL.macppc
• CD2:3.3/vax/INSTALL.vax

• CD3:3.3/sparc/INSTALL.sparc
• CD3:3.3/sparc64/INSTALL.sparc64

• FTP:.../OpenBSD/3.3/alpha/INSTALL.alpha
• FTP:.../OpenBSD/3.3/hp300/INSTALL.hp300
• FTP:.../OpenBSD/3.3/hppa/INSTALL.hppa
• FTP:.../OpenBSD/3.3/mac68k/INSTALL.mac68k
• FTP:.../OpenBSD/3.3/mvme68k/INSTALL.mvme68k

Kurzinformation über die Installation für Leute, die bereits mit OpenBSD und dem Kommando ,disklabel -E' vertraut sind. Wenn du bei der Installation von OpenBSD nicht weiter weißt, dann lies die entsprechende INSTALL.*-Datei, die oben aufgelistet ist!

OpenBSD/i386:

Spiele mit deinen BIOS-Optionen herum, um das Booten von CD zu aktivieren. Das OpenBSD/i386-Release befindet sich auf CD1. Wenn dein BIOS das Booten von CD nicht unterstützt, brauchst du eine Bootdiskette, mit der du dann installieren kannst. Um eine solche zu erstellen, schreibe CD1:3.3/i386/floppy33.fs auf eine Diskette und boote vom Diskettenlaufwerk.

Für eine breitere Unterstützung an SCSI-Controllern benutze stattdessen CD1:3.3/i386/floppyB33.fs oder aber CD1:3.3/i386/floppyC33.fs für bessere Laptopunterstützung.

Wenn du OpenBSD neben anderen Betriebssystemen betreiben willst, solltest du unbedingt das Dokument INSTALL.i386 lesen.

Um eine Bootdiskette unter MS-DOS zu erstellen, benutze das Programm ,rawrite', das du unter CD:/3.3/tools/rawrite.exe finden kannst. Um eine Bootdiskette unter einem Unix-Betriebssystem zu erstellen, benutze das Programm dd(1). Es folgt ein Beispielaufruf für dd(1), wobei das Device ,floppy', ,rfd0c' oder ,rfd0a' sein könnte.

# dd if=<file> of=/dev/<device> bs=32k

Stelle sicher, dass du ordentlich formatierte und funktionierende Disketten OHNE DEFEKTE BLÖCKE verwendest oder deine Installation wird höchstwahrscheinlich fehlschlagen. Für mehr Informationen über das Erstellen einer Bootdiskette oder über das Installieren von OpenBSD/i386 sieh dir bitte FAQ4.1 an.

OpenBSD/macppc:

Lege die CD2 in dein CD-ROM-Laufwerk und drücke die Taste C während des Einschaltens bis der Bildschirm angeht und OpenBSD/macppc boot anzeigt.

Alternativ kannst du am ,Open Firmware'-Prompt boot cd:,ofwboot /3.3/macppc/bsd.rd eingeben.

OpenBSD/vax:

Boote über das Netzwerk per mopbooting wie in INSTALL.vax beschrieben.

OpenBSD/sparc:

Das 3.3er Release von OpenBSD/sparc befindet sich auf CD3. Um von dieser CD zu booten, kannst du einen der beiden unten stehenden Befehle benutzen - je nach der Version deines ROMs.

> boot cdrom 3.3/sparc/bsd.rd
oder
> b sd(0,6,0)3.3/sparc/bsd.rd

Wenn deine Sparc kein CD-Laufwerk hat, kannst du alternativ von Diskette booten. Um das zu tun, schreibe ,CD3:3.3/sparc/floppy33.fs' auf eine Diskette. Für mehr Informationen siehe auch FAQ4.1. Um von einer Diskette zu booten, kannst du einen der beiden unten stehenden Befehle benutzen - je nach der Version deines ROMs.

> boot floppy
oder
> boot fd()

Stelle sicher, dass du eine ordentlich formatierte Diskette OHNE DEFEKTE BLÖCKE benutzt oder deine Installation wird höchstwahrscheinlich fehlschlagen.

Wenn deine Sparc weder ein Disketten- noch ein CD-Laufwerk hat, kannst du entweder ein bootbares Streamerband bereit machen oder über das Netzwerk installieren, wie im INSTALL.sparc-Dokument erklärt.

OpenBSD/sparc64:

Lege die CD3 in dein CD-ROM-Laufwerk und gib boot cdrom ein.

Wenn das nicht klappt oder du kein CD-ROM-Laufwerk hast, kannst du CD3:3.3/sparc64/floppy33.fs auf eine Diskette schreiben und diese mit boot floppy booten.
Stelle sicher, dass du eine ordentlich formatierte Diskette OHNE DEFEKTE BLÖCKE benutzt oder deine Installation wird höchstwahrscheinlich fehlschlagen.

Du kannst auch CD3:3.3/sparc64/miniroot33.fs auf die Swap-Partition der Platte schreiben und mit boot disk:b booten.

Wenn nichts davon funktioniert, kannst du auch über das Netz booten, wie in INSTALL.sparc64 beschrieben.

OpenBSD/alpha:

Schreibe FTP:3.3/alpha/floppy33.fs oder FTP:3.3/alpha/floppyB33.fs (abhängig von deiner Maschine) auf eine Diskette und gib boot dva0 ein. Halte dich an die Anweisungen in INSTALL.alpha für mehr Details.

Stelle sicher, dass du eine ordentlich formatierte Diskette OHNE DEFEKTE BLÖCKE benutzt oder deine Installation wird höchstwahrscheinlich fehlschlagen.

OpenBSD/hp300:

Boote über das Netzwerk, indem du die Anweisungen in INSTALL.hp300 befolgst.

OpenBSD/hppa:

Boote über das Netzwerk, indem du die Anweisungen in INSTALL.hppa oder von der hppa-Plattformseite befolgst.

OpenBSD/mac68k:

Boote MacOS wie immer und partitioniere deine Festplatte mit den passenden A/UX-Konfigurationen. Dann extrahiere die Tools für die Mac-Seite von FTP:3.3/mac68k/utils auf deine Festplatte. Starte Mkfs, um deine Dateisysteme auf der A/UX-Partition zu erstellen, die du gerade angelegt hast. Benutze dann den BSD/Mac68k-Installer, um alle Sets von FTP:3.3/mac68k/ auf deine Partitionen zu kopieren. Schließlich kannst du den BSD/Mac68k-Booter mit dem Ort deines Kernels konfigurieren und das System booten.

OpenBSD/mvme68k:

Du kannst ein bootbares Installationsband erstellen oder über das Netz booten.
Der Netzwerkboot erfordert eine MVME68K-BUG-Version, die die NIOT- und NBO-Debuggerkommandos unterstützt. Befolge die Anweisungen in INSTALL.mvme68k für mehr Details.

Anmerkungen zum Quelltext:

Die Datei src.tar.gz enthält ein Quelltextarchiv, das ab /usr/src beginnt. Diese Datei enthält bis auf die Kernelquellen, die sich in einer separaten Datei befinden, alles, was man braucht. Um es zu entpacken:

# mkdir -p /usr/src
# cd /usr/src
# tar xvfz /tmp/src.tar.gz

Die Datei sys.tar.gz enthält ein Quelltextarchiv, das ab /usr/src/sys beginnt. Diese Datei enthält alle Kernelquellen, die man benötigt, um einen neuen Kernel zu erzeugen. Um es zu entpacken:

# mkdir -p /usr/src/sys
# cd /usr/src
# tar xvfz /tmp/srcsys.tar.gz

Beide Bäume zusammen ergeben eine reguläre CVS-Arbeitskopie. Durch Benutzen dieser Bäume ist es möglich, einen Vorsprung beim Benutzen der AnonCVS-Server zu bekommen, wie es hier beschrieben wird. Das Verwenden dieser Dateien hat ein viel schnelleres CVS-,update' zur Folge, als wenn man den Quelltextbaum komplett neu erzeugen müsste.

Portierungsbaum

Mitgeliefert wird auch ein Archiv Portierungsbaums. Um es zu entpacken:

# cd /usr
# tar xvfz /tmp/ports.tar.gz
# cd ports

Das Unterverzeichnis ports/ ist eine Arbeitskopie des Portierungsbaums von OpenBSD. Lies am besten http://www.OpenBSD.org/faq/de/faq15.html, wenn du noch nichts über Portierungen weißt. Dieser Text ist keine Anleitung, wie man die Portierungen benutzt, sondern nur dazu da, um den Leuten den Einstieg in das OpenBSD-Portierungssystem zu ermöglichen.

Selbstverständlich ist das OpenBSD-Portierungssystem nicht vollständig. Es ist zu bezweifeln, dass es das jemals sein wird. Trotzdem wächst es sehr schnell und wird stabiler. Fast alle Portierungen, die ausgeliefert werden, sollten ohne Probleme auf den meisten Architekturen kompilierbar sein (auf i386 zum Beispiel konnten über 2000 Pakete ohne Probleme erzeugt werden).

Das Verzeichnis ports/ stellt eine CVS-Arbeitskopie (siehe in der Handbuchseite von cvs(1) nach, wenn du mit CVS nicht vertraut bist) unserer Portierungen dar. Wie unser kompletter Quelltextbaum ist auch unser Portierungsbaum über anoncvs verfügbar. Um ihn also auf dem Laufenden zu halten, musst du den Verzeichnisbaum ports/ auf einem schreibbaren Medium haben und den Baum mit diesem Kommando aktualisieren:

# cd [portsdir]/; cvs -d anoncvs@server.openbsd.org:/cvs update -Pd -rOPENBSD_3_3

[Selbstverständlich musst du die Namen des lokalen Verzeichnisses und des Servers mit den Namen deiner lokalen Portierungs-Kollektion und eines Anoncvs-Servers in deiner Nähe austauschen.]

Denk daran, dass die meisten Portierungen über ftp als fertige Pakete erhältlich sind. Aktualisierte Pakete für 3.3 werden verfügbar gemacht, sobald Probleme bekannt sind.

Falls du gerne eine weitere Portierung sehen willst, mithelfen willst oder einfach mehr erfahren willst, solltest du die Mailingliste ports@openbsd.org abonnieren.