Сравнение операционных систем
OpenBSD: безопасность как язык проектирования
OpenBSD выигрывает в спорах, отказываясь от большинства из них: единой тщательно проверяемой кодовой базы, тестов и процесса выпуска, в котором дисциплина обновлений рассматривается как часть безопасности. Он не пытается быть вашим сервером приложений; он пытается стать рамкой между вашей сетью и всеми остальными, и делает это без кричащей частоты CVE. Это специальный помощник для наших сравнений OpenBSD с FreeBSD и Linux.
Главное
- Аудит является непрерывным: ошибки целых классов удаляются заранее (strlcpy возник здесь исторически, как и обещание/раскрытие для ограничения системных вызовов), а исправления надежности документируются публично, что меняет представление инженеров о надежности.
- Одновременно поддерживаются только две версии, каждые примерно шесть месяцев: обновления — это задокументированный, отработанный ритуал (все, что вам нужно — это инструменты sysupgrade), а поддержание актуальности — это свойство безопасности, а не рутинная работа.
- pf является центральным элементом: язык правил брандмауэра является декларативным и удобочитаемым, а для команд, которые рассматривают проверку правил как проверку кода (сервис верит в это), избыточное проектирование на разных сайтах становится приемлемым.
- Готовые к отправке сервисы находятся в базе: relayd для балансировки нагрузки, acme-client для сертификатов TLS, iked/isakmpd для VPN, smtpd для почты; меньшее количество упаковок означает меньшее количество материалов, которые нужно обеспечить.
- Цена минимализма: снижение производительности на определенных маршрутах с высокой пропускной способностью, настольные компьютеры и сторонние заставки выполняются где-то еще, а запуск «последних» стеков Docker или панелей на OpenBSD — это инженерный проект, а не развертывание.
- Где мы его развертываем: межсетевые экраны по периметру, концентраторы VPN, авторитетные периферийные устройства DNS и любое устройство, основная задача которого заключается в том, чтобы «быть скучным и держать линию».
Заметка из практики
Устройство OpenBSD, которое мы используем на периферии клиента, за четыре года прошло два ритуала обновления, каждый из которых занимал менее часа и выполнялся в одном и том же задокументированном порядке. Рекорд отключений: ноль. Рекорд его волнения: тоже нулевой. Это продукт.
Частые вопросы
Должен ли OpenBSD заменить Linux на каждом сервере?
Нет. Его экосистема пакетов и история контейнеров не могут комфортно разместить обычные веб-стеки. Используйте его для пограничных служб; используйте Linux или FreeBSD, где правила гравитации приложения.
Это действительно безопаснее или это маркетинг?
Послужной список: десятилетия активной работы по обеспечению безопасности памяти и удалению привилегий, а также идеи обещания/раскрытия ограничений, которые теперь видны в других экосистемах, таких как seccomp и Landlock. Это утверждение справедливо, но оно гарантирует безопасность только базовых компонентов.
Насколько сложно проводить обновление два раза в год?
Незначительное, если вы следуете документированному порядку и сначала проводите тестирование на канарейке; Инструментарий syspatch завершает внесение исправлений в середине цикла для стабильных выпусков.
Могу ли я разместить его недорого?
Да; обычные виртуальные машины x86 и небольшие серверы операторского уровня подойдут. Поддержка оборудования — это то место, где минимальные ожидания в конечном итоге оправдывают себя, поэтому перед покупкой проверьте списки совместимых устройств.
Как мы берём на себя сравнение операционных систем
Мы разбирались с этим сотни раз: Прямые оценки операционных систем на основе производственного опыта: сравнение дистрибутивов, BSD и альтернатив Windows по жизненному циклу поддержки, состоянию безопасности и работоспособности в 3 часа ночи — измеряется, а не продается. С услугой Безопасность серверов Linux и Администрирование серверов вы получаете полный цикл: мы оцениваем, внедряем, следим круглосуточно и подключаемся в течение 30 минут, когда это действительно нужно.