OpenBSD 5.6

V sobotu 1. listopadu vyšlo OpenBSD 5.6. Z novinek lze zmínit například nahrazení knihovny OpenSSL knihovnou LibreSSL, nahrazení Sendmailu jako výchozího MTA systémem OpenSMTPD nebo vylepšenou podporu hardwaru.

4.11.2014 00:20 | Ladislav Hagara | Nová verze

Komentáře

[little.owl]

Je uz v teto verzi odebrano dynamicke loadovani modulu (lkm interface), nebo bude toto "vylepseni" az v pristim releasu? Prijde mi to jako regrese a krok zpet.

[foobar]

"krok zpet", openbsd samo o sobe (tj. defaultne) zadne dynamicke moduly nepouzivalo. tudiz nikdo, kdo pouziva openbsd a nebastli vlastni moduly o nic neprisel (mnoho lidi ani nevedelo, ze to lkm umi).

[little.owl]

"krok zpet", openbsd samo o sobe (tj. defaultne) zadne dynamicke moduly nepouzivalo.

Stale tvrdim, ze je to krok zpet. Loadovatelne moduly jsou neco co by soucasny kernel mel mit.

[foobar]

"nikdy jsem lkm v openbsd nepouzil, nekdy jsem nemel potrebu lkm v openbsd pouzit, neznam ani jediny modul pro openbsd, ktery bych pouzil, ani neznam nikoho, kdo by lkm v openbsd pouzil, ani nehodlam zadny modul pro openbsd psat (pac openbsd [vicemene] ani nepouzivam), ale kdybych nekdy nahodou takovy nejaky modul chtel, tak by to bylo cool." :D

[little.owl]

[x]

Treba v DragonflyBSD, NetBSD nebo FreeBSD moduly jsou pokud po nich nekdo tak mocne touzi. V OpenBSD rozhrani sice bylo dlouho pritomno z historickych duvodu, ale nepouzivalo se (jen tak mozna v 1% hodne specifickych pripadu) a ani se nepropagovalo. Provadel se jen bezny audit, opravy chyb atd. az do stavu kdy se proste uznalo, ze to je k nicemu pri pouziti na routerech, firewallech, serverech, ale i treba desktopech v ramci designu OpenBSD.

Minix

[little.owl]

Tak ja skutecne vim, ze jinde jsou schopni je implementovat.

[pita]

Je uz v teto verzi odebrano dynamicke loadovani modulu (lkm interface), nebo bude toto "vylepseni" az v pristim releasu? Prijde mi to jako regrese a krok zpet.

OpenBSD tym dotahl vyvoj LibreSSL do produkcniho stavu, navzdory vasim nedavnym "prognozam" a posmeskum. Navic je pro vetsinu pripadu bud primo nebo s drobnymi patchi pouzitelna i v Linuxu.

Co se tyce dynamickeho zavadeni modulu, zrejme k tomu byl vazny (bezpecnostni) duvod, ktery ale pouzitelnost OpenBSD nijak neomezi. I na malych zarizenich jako routery se pouziva/lo distribucni jadro, ktere ma az na exoticke vyjimky vsechny moduly slinkovane. Jen dalsi (ubohy) trolovaci pokus.

[pavlix]

Proč tak útočně? Já osobně si neumím představit, že bych najednou používal obecně Linux bez loadovatelných modulů, a jako neuživatel OpenBSD (před časem jsem ho používal na PC routeru a nadšený jsem příliš nebyl) si nejsem vědom důvodů, proč by to mělo být u OpenBSD jinak. Navíc vůbec nechápu, jak to souvisí s LibreSSL.

[merlyn]

To je ale presne ono... "Ja osobne si neumim predstavit, ze bych najednoui pouzival obecne Windows bez .exe/.msi instalacek stazenych odnekud z netu a jako neuzivatel Linuxu (delal sem s nim v RH a nadšený jsem příliš nebyl) si nejsem vedom duvodu, proc by to melo byt u Linuxu jinak"... vole

[pavlix]

To přirovnání ovšem kulhá v tom, že takového člověka nemám důvod urážet (nehledě na to, že takový postoj je pochopitelný a při troše snahy i logicky vysvětlitelný).

[little.owl]

V danem kontextu je to nesmysl, nebot windows kernel ma ve sve podstate loadovatelne moduly take.

[x]

Co prinasi tak zasadniho nahravani modulu, ze to musi mit kazdy OS? Z pohledu uzivatele serveru, dedikovaneho sitoveho zarizeni ala firewall/router nebo treba desktopu? Realne a prakticke priklady a smysluplne.

Minimalne u prvnich dvou kategorii je treba aby veci co se budou pouzivat tam byli hned a pak se na to dlouho nesaha a HA/aktualizace se pak resi skrze cluster, je to take i o bezpecnosti nematlat do jadra za chodu.

U desktopu by se mozna neco naslo, marne ale premyslim co, i kdyz treba nekde v laboratorich pri testovani nebo vyvojari pri vyvoji OS casti, ale to uz je lepsi rump

[Lol Phirae]

> Prosímtě, tady mám nějakej divnej disk, moh bys zkusit, jestli ti z toho jsou přečíst data?
>> Ovšem, jen co si překompiluju kernel
> Dafuq?
>> No, víš, tenhle OS neumí moduly
> Dafuq?!
>> No, nikdo to nepoužíval, to máš vědět předem, jaký filesystém budeš potřebovat přečíst.
> *facepalm*

[x]

Pro podporovane filesystemy neni treba nic kompilovat, je to v default jadre Jinak je tady FUSE

A jen totalni idiot na server nebo desktop pro dulezita data pouzije jiny nez siroce rozsireny a lety overeny system.

Ale jinak hezky pokus

[Lol Phirae]

Asi k vám nikdo nechodí s diskem, který neumí přečíst. A pokud k někomu někdo takový chodí, tak je to idiot, a proto chodí za ním. No, tak díky za argument a přeju pěkný den.

[pavlix]

Pokud někdo přišel s jasnou misí, nemá smysl se s ním vůbec dohadovat.

[x]

Nepatrim mezi cervenokloboucniky s jasnou misi

[pavlix]

Můžeš mě zkusit přesvědčit lepší pracovní nabídkou na OpenBSD ;).

[x]

Pochybuju, ze ti da v RedHat a obecne nekde okolo Linuxu nejaka firma tolik, jako si muzou rikat BSD lide tohle je odkaz . A upozornuju, ze to neni vyjimka, ale spise pravidlo.

[pavlix]

Tak říkat si může kdo chce kolik chce, to je jeho svaté právo, ale o tom zde vůbec nebyla řeč. Zjevně ti vadí moje volba zaměstnavatele, když na to tak upozorňuješ, stejně jako další, kteří kupodivu rovněž většinou nemají ani odvahu ani se představit a hledají si jen cíl pro řešení svých vlastních mindráků, v tomhle mám mnohem radši lidi, kteří jsou víc mimo, ale aspoň se s člověkem baví narovinu a nebojí se za svůj pohled postavit.

Nikdy jsem nebyl v oblasti open source systémů příliš náboženský, takže pokud ti vadí, kdo mě v současné době zaměstnává, máš možnost to zkusit konkrétní nabídkou změnit. Jestli se zmůžeš jenom na kecy, není můj problém.

[x]

Chodi, ale bezny uzivatel tam ma NTFS, FAT a pokud je trochu znalejsi/progresivnejsi, tak nekterou z verzi ext. Hammer FS nebo ZFS to jsou pracovni zalezitosti a jiny pristup. Pokud chce nekdo ReiserFS a kdovico dalsiho, tak se o to taky umi postarat, pokud ne, tak si nema hrat s necim cemu nerozumi

[x]

Ale vlastne musim dat za pravdu. Ve vysledku skoro nikdo nechodi, protoze ode mne maji poradne HA i na storage a taky radnou backup proceduru a je jim pak putna, ze odejde disk a maximalne se reklamuje na vymenu bez ztraty dat. Asi to musim zacit delat jako Linuxaci, cili neporadne a ztracet cas s dolovanim dat z disku za par korun z exotickeho filesystemu. Jestli to nebude tim, ze pubertu uz mam dlouho za sebou a na blbosti a znovuobjevovani kola nemam cas a davam prednost funkcnim resenim

[Jendа]

U desktopu by se mozna neco naslo, marne ale premyslim co

Různé převodníky FTDI/PL23xx/CH341/…, USB síťovka a WiFi, NTFS, XFS a podobné filesystémy, které běžně nemám.

[ES]

>>> U desktopu by se mozna neco naslo, marne ale premyslim co

>>Různé převodníky FTDI/PL23xx/CH341/…, USB síťovka a WiFi, NTFS, XFS a podobné >>filesystémy, které běžně nemám.

převodníky USB síťovky Wifi mi chodí bez problému (programátory, 3D tisk....) NTFS přes Fuse není z nejrychlejších ale na přenos pár zdrojáků a pod to stačí. XFS to teda fakt nemumí.

Jestli to mám v kernelu nebo jako modul je úplně jedno můj desktop má po startu i s grafikou obsazeno 35MB RAM a nepamatuju situaci kdy by se zařízení sazeklo a já hledal moznost unload/load modulů

[little.owl]

Pro skupinu lidi s profilem skalniho uzivatele OpenBSD, kernel s moduly asi skutecne nema smysl, stejne jako plno dalsich prvku systemoveho designu beznych ve vetsine ostatnich operacnich systemech stejne kategorie, kde se nedostatky nebagatelizuji.

Pro me je treba vyznamna skutecnost, ze mohu distribuovat binarni modularni kernel prosly nejakym QA, bez nutnosti uzivatele sestavovat ho a testovat pro nejakou specifickou HW konfiguraci a nastaveni, a bez nutnosti mit v kernelu staticky slinkovano vsechno, pripadne s moznosti si upravit, sestavit ci jen distrubuovat specificky modul.

Dalsi samostatnou kategorii je vyvoj driveru, bez loadovatelnych modulu je to slangove doslova pita (Pain In The Ass) a trochu masochismus.

dedikovaneho sitoveho zarizeni ala firewall/router

Pokud u dedikovaneho [embedded] zarizeni loadovani modulu neni potreba, tak se proste staticky prilinkuje.

[x]

Binarni kernel a prohnat ho QA neni problem s OpenBSD, navic i na pomerne hodne starem 32bit CPU ho udelat je otazka tak 1,5 minuty. Schvalne prosim porovnat velikost OpenBSD jadra kde je 99 pct. veci s Linuxem kernelem, kde je hromada veci jen pres moduly a pokud neni, tak je ta velikost uz uplne jinde.

Vyvoj driveru....proc jich je tolik v Linuxu z OpenBSD a jinych BSD, kdyz teda nemaji moduly a musi to pro ne teda byt totalni masochismus? Jak to, ze to umi udelat bez toho? Jestlipak to treba nebude tim, ze tomu HW skutecne rozumi a hlavne taky programovani a neni to jako kdyz pejsek s kocickou varili dort? Tohle je prave jedna z krasnych oblasti kde je ten rozdil extremne videt. Firmy chteji levne opice co nevedi co delaji a podle toho to vypada, jinde se to dela ve stylu Unixu, cili poradne a ti lide opravdu musi umet a vedet. Nespoleha se na to, ze to milion neschopu pres 4 casove pasma doda aspon v nejakem jakztakz pouzitelnem stavu. A o tom to je, kvalita neni pro kazdeho, kdo na ni nema potrebuje berlicky aby se ji alespon vzdalene priblizil.

[little.owl]

hodne starem 32bit CPU ho udelat je otazka tak 1,5 minuty.

A to QA je potom jeste rychlejsi, ze?

proc jich je tolik v Linuxu z OpenBSD a jinych BSD

Jake procento linuxovych driveru? Zatim spise vidim krkolomnou snahu portovat nektere linuxove drivery s kompatibilni licenci do BSD za cenu vytvareni podobne infrastruktury.

Stravil jsem v minulosti dosti casu psanim driveru pro ruzne embedded kernely, vcetne linuxu, abych mel potom celkem jasnou predstavu, co to v praxi prinasi.

Jestlipak to treba nebude tim, ze tomu HW skutecne rozumi a hlavne taky programovani a neni to jako kdyz pejsek s kocickou varili dort?

Stare klise OpenBSD kampu o mimoradne cistote a kvalite jejich kodu psaneho nadprogramatory je zpet, a ted navic podeprene jejich domnelou mimoradnou znalosti HW. Mam pochybnosti, ze OpenBSD programatori maji treva vetsi znalosti o procesorech Intel, nez jimi placeni ci podporovani vyvojari Linuxu a u jineho HW je to podobne.

[pita]

Uplne neutralni moje reakce nebyla, protoze navazuje na jeho predchozi vyroky o LibreSSL, ale nic utocneho na ni nevidim. A byla adresovana jemu, ktery si je urcite dobre vedom kontextu.

Ja taky nechodim trolit na windowsi fora, uz jenom z duvodu ze jsem je posledne adminoval tak pred 5 lety a od te doby s nimi nastesti uz neprichazim do styku a mam rozhodne lepsi veci na praci. Ale neni v tom sam ani nejak vyjimecny. Pro urcita individua funguje OpenBSD a hlavne sef Theo de Raadt jako cerveny hadr na byka a dokonce se vyskytnou i samozvani mesiasi, kteri investuji svuj cas do psani blogu na sireni "pravdy" o BSD. Daleko vic nez o BSD se tam ale ctenar dozvi o jeho autorovi, ktery pri trose empatie zaslouzi spis politovani. Neco jako ten magor z Roota, ktery tam vede svatou valku za MS a jejich produkty. Ale tam bych i veril, ze je za to placeny. Existence placenych diskuteru neni bohuzel zadna paranoidni konspirace.

[pavlix]

Obávám se, že sis spletl URL, na Abclinuxu rozhodně není linuxák nějakým vetřelcem, co se přisral do OpenBSD fóra. Sovička umí být provokativní, ale není o nic větší troll než ty nebo kdokoli jiný. Obávám se, že použití slova samozvaný mesiáš je od tebe v kontextu diskuze trochu tragikomické.

[little.owl]

Dekuji, byl jsem posledni dny ponekud pretizen.

[little.owl]

Diskuzi o LibreSSL si skutecne nechame na jindy, nejlepe u nejakeho CVE, kde budem moci opet sledovat pomalou distribuci updatu ve srovnani s jinymi systemy.

[little.owl]

OpenBSD tym dotahl vyvoj LibreSSL do produkcniho stavu,

Do produkcniho stavu v mezich standardu OpenBSD mozna, ale to jsem snad ani nikdy nezpochybnoval.

Co se tyce dynamickeho zavadeni modulu, zrejme k tomu byl vazny (bezpecnostni) duvod,

Bezpecnostni duvod tam mohl byt predevsim z duvodu mizerne OpenBSD implementace, jinde mohu, pokud chci a zkompiluji to jako modul, loadovat i jen podepsane moduly.

[Hans1024]

Bezpecnostni duvod tam mohl byt predevsim z duvodu mizerne OpenBSD implementace, jinde mohu, pokud chci a zkompiluji to jako modul, loadovat i jen podepsane moduly.

Jestli vas zajimaji detaily jak dosli k odstraneni featury, muzete zkusit pohledat/zeptat se na mailing listu. Rekl bych, ze to zvazili a podle svych omezenych prostredku a specifickych priorit ucinili rozhodnuti. Misto reseni podepisovani modulu se asi rozhodli delat neco co povazuji za uzitecnejsi. Nechapu zdejsi "hadku". Lidi maji ruzne priority a proto tu prece mame ruzne projekty s ruznym zamerenim.

[pavlix]

Jestli vas zajimaji detaily jak dosli k odstraneni featury, muzete zkusit pohledat/zeptat se na mailing listu. Rekl bych, ze to zvazili a podle svych omezenych prostredku a specifickych priorit ucinili rozhodnuti.

+1

To je zcela férové vysvětlení. Že to někdo může považovat za krok zpět, je ale myslím jeho svaté právo.

Nechapu zdejsi "hadku". Lidi maji ruzne priority a proto tu prece mame ruzne projekty s ruznym zamerenim.

+1

Nechápu, proč by technický názor musel nutně vést na ad hominem, i když jsem si vědom, že jsem se jednoho sám dopustil. Na svoji obhajobu můžu říct, že to bylo ve vlákně, kde se mi konkrétní obhajoba nepotřeby dynamických modulů zdála nanejvýš debilní. Dost mi to připomíná fenomén, kdy fanoušci iPhone považují všechny podporované vlastnosti za klíčové a všechny nepodporované za zbytečné. Svět není černobílý a fanatiční obhájci Linuxu, OpenBSD nebo čehokoli jiného mě prostě nudí.

[little.owl]

Jestli vas zajimaji detaily jak dosli k odstraneni featury, muzete zkusit pohledat/zeptat se na mailing listu.

Ani ne, me staci vedet ze to skutecne vyhodili.

Zeptat se na mailing listu? Tam snadno zkoncite jako autor portovatelneho init systemu Epoch, kdyz se v dobre vire pokousel o portaci na OpenBSD, mel par nejasnosti a vsiml si ho vudce. Mozna take piji spatnou vodu, tak radsi ne.

[Duckduckgo]

Co to OpenSMTPD? Má to cenu nebo je to jenom na truc kvůli licenci?

[sZtorkie]

sendmail měl licenci rozumnou; smtpd má cenu kvůli čitelné konfiguraci na pár řádků, ve stylu:

table <mojedomena> { "redirect" => "jinam@jinde.cz" }
accept from any for domain "mojedomena.eu" alias <mojedomena> deliver to mbox

Je už i v Gentoo...

[x]

Ma to cenu, a HODNE velkou. To neni jen o bezpecnosti, ale i o kvalite kodu a hlavne pro adminy o neuveritelne snadnosti administrace a konfigurace. Proti ASCII pornu v Sendmail je to jako skok v case.

[foobar]

1. dynamicke moduly byly odebrany po zmrazeni kodu pro 5.6

2. opensmtpd je mail server psany s cilem na bezpecnost, privilege separace, na undeadly.org je i to, jak spravuje ssl...