מערכות הפעלה בהשוואה
OpenBSD: אבטחה כשפת עיצוב
OpenBSD זוכה בטיעונים על ידי סירוב רובם: בסיס קוד בודד בביקורת אגרסיבית, בדיקות ותהליך שחרור שמתייחס למשמעת השדרוג כחלק מאבטחה. זה לא מנסה להיות שרת היישומים שלך; הוא מנסה להיות הקופסה בין הרשת שלך לכל השאר, ועושה זאת ללא קצב CVE נוצץ. זהו המלווה הייעודי להשוואות OpenBSD שלנו עם FreeBSD ולינוקס.
נקודות עיקריות
- הביקורת מתמשכת: באגים של מחלקות שלמות מוסרות באופן יזום (strlcpy הופיע כאן באופן היסטורי, כמו גם התחייבות/חשיפה עבור כליאה של מערכת הפעלה), ותיקוני אמינות מתועדים באופן ציבורי באופן שמשנה את האופן שבו מהנדסים חושבים על חוסן.
- רק שתי מהדורות נתמכות בכל פעם, כל אחת בערך שישה חודשים: שדרוגים הם טקס מתועד ומתורגל (כלי Sysupgrade הוא כל מה שאתה צריך), והישארות מעודכנת היא נכס אבטחה, לא מטלה.
- pf הוא החלק המרכזי: שפת החוקים של חומת האש היא הצהרתית וניתנת לקריאה, ועבור צוותים שמתייחסים לסקירת כללים כאל סקירת קוד, שירות שמאמין בכך, עיצוב מיותר בין אתרים הופך לאפשרי.
- שירותים מוכנים לספינה חיים בבסיס: ממסר לאיזון עומסים, acme-client עבור תעודות TLS, iked/isakmpd עבור VPNs, smtpd עבור דואר; פחות חבילות פירושו פחות שטרות חומרים לאבטחה.
- המחיר של המינימליזם: מסלולי ביצועים בנתיבים מסוימים עם תפוקה גבוהה, מחשבים שולחניים ו-splash של צד שלישי פועלים במקומות אחרים, והרצת ערימות Docker או פאנלים 'האחרונות' ב-OpenBSD היא פרויקט הנדסי ולא פריסה.
- היכן אנו פורסים את זה: חומות אש היקפיות, רכזי VPN, קצוות סמכותיים של DNS, וכל תפקיד מכשיר שכל הצהרת המשימה שלו היא 'תהיה משעמם ותחזיק את הקו'.
הערת שטח
מכשיר ה-OpenBSD שאנו מפעילים בקצה הלקוח עבר שני טקסי שדרוג בארבע שנים, כל אחד מהם נמשך פחות משעה, כל אחד אחרי אותו סדר מתועד. שיא ההפסקות שלו: אפס. שיא ההתרגשות שלו: גם אפס. זה המוצר.
שאלות נפוצות
האם OpenBSD צריך להחליף את לינוקס בכל שרת?
לא. המערכת האקולוגית של החבילה וסיפור המכולה שלה לא יכולים לארח את ערימות האינטרנט הנפוצות בנוחות. השתמש בו עבור שירותי גבול; השתמש ב-Linux או FreeBSD כאשר כוח המשיכה של היישום שולט.
האם זה באמת בטוח יותר, או שזה שיווקי?
רקורד: עשרות שנים של עבודה יזומה של בטיחות זיכרון והסרת הרשאות, בתוספת רעיונות של התחייבות/חשיפה של כליאה הנראים כעת במערכות אקולוגיות אחרות כ-seccomp ו-Landlock. הטענה מתקיימת, אבל היא קונה בטיחות עבור רכיבי בסיס בלבד.
כמה קשה השדרוג פעמיים בשנה?
מינור כאשר אתה עוקב אחר הסדר המתועד ובוחן תחילה על כנרית; כלי ה-syspatch מסיימים את התיקון באמצע המחזור עבור מהדורות יציבות.
האם אוכל לאתר אותו בזול?
כן; מכשירי VM רגילים x86 ושרתים קטנים בדרגת ספק הם בסדר. תמיכת החומרה היא המקום שבו הציפיות המינימליות נושכות לבסוף, אז בדוק רשימות תואמות לפני הרכישה.
איך Kinetikatech מסייעת לך ב-מערכות הפעלה בהשוואה
בכנות, רוב הצוותים מגיעים אלינו אחרי שניסו לבד: הערכות ראש בראש של מערכת הפעלה מניסיון ייצור: הפצות, BSDs וחלופות חלונות בהשוואה על מחזורי חיים של תמיכה, תנוחת אבטחה ותפעול 3 לפנות בוקר - נמדד, לא משווק. השירות אבטחת שרתי לינוקס וניהול שרתים שלנו קיים כדי שלא תלמדו מערכות הפעלה בהשוואה בדרך הקשה, ושלא תגלו את זה בשיחה בשש בבוקר.