Porovnanie operačných systémov
OpenBSD: Bezpečnosť ako dizajnový jazyk
OpenBSD vyhráva argumenty tým, že väčšinu z nich odmietne: jedinú agresívne auditovanú kódovú základňu, testy a proces vydania, ktorý považuje disciplínu upgradu za súčasť bezpečnosti. Nesnaží sa byť vaším aplikačným serverom; snaží sa byť škatuľkou medzi vašou sieťou a všetkými ostatnými a robí to bez okázalej CVE kadencie. Toto je špecializovaný spoločník našich porovnaní OpenBSD s FreeBSD a Linuxom.
Kľúčové body
- Audit je nepretržitý: chyby celých tried sa proaktívne odstraňujú (strlcpy sa tu objavil historicky, rovnako ako sľub/odhalenie pre obmedzenie syscall) a opravy spoľahlivosti sú zdokumentované verejne spôsobom, ktorý mení spôsob, akým inžinieri uvažujú o robustnosti.
- Naraz sú podporované iba dve vydania, každé približne šesť mesiacov: aktualizácie sú zdokumentovaný, nacvičený rituál (všetko, čo potrebujete, sú nástroje sysupgrade) a udržiavanie aktuálnej verzie je vlastnosťou zabezpečenia, nie fuška.
- pf je stredobodom: jazyk pravidiel brány firewall je deklaratívny a čitateľný a pre tímy, ktoré považujú kontrolu pravidiel za kontrolu kódu, službu, ktorá tomu verí, sa redundantný dizajn naprieč lokalitami stáva ovládateľným.
- Služby pripravené na odoslanie fungujú v základni: prenášané na vyrovnávanie záťaže, acme-klient pre certifikáty TLS, iked/isakmpd pre VPN, smtpd pre poštu; menej balíkov znamená menej kusovníkov na zabezpečenie.
- Cena minimalizmu: výkonové stopy na určitých cestách s vysokou priepustnosťou, desktopy a splash tretích strán bežia inde a spustenie „najnovšieho“ Dockera alebo panelových zásobníkov na OpenBSD je skôr inžinierskym projektom než nasadením.
- Kde ho nasadzujeme: obvodové firewally, koncentrátory VPN, autoritatívne okraje DNS a každá rola zariadenia, ktorej celé poslanie je „byť nudný a držať líniu“.
Poznámka z teréna
Zariadenie OpenBSD, ktoré prevádzkujeme na klientskom okraji, prešlo za štyri roky dvoma rituálmi aktualizácie, z ktorých každý trvá menej ako hodinu, pričom každý sa riadi rovnakým zdokumentovaným poradím. Jeho rekordný výpadok: nula. Jeho rekord vzrušenia: tiež nulový. To je produkt.
Často kladené otázky
Mal by OpenBSD nahradiť Linux na každom serveri?
Nie. Jeho balíkový ekosystém a príbeh kontajnera nemôžu pohodlne hostiť bežné webové zásobníky. Použite ho na pohraničné služby; použite Linux alebo FreeBSD, kde vládne gravitácia aplikácie.
Je to naozaj bezpečnejšie, alebo je to marketing?
Rekordy: desaťročia proaktívnej práce v oblasti bezpečnosti pamäte a odstraňovania privilégií, plus nápady na uväznenie/odhalenie, ktoré sú teraz viditeľné v iných ekosystémoch ako seccomp a Landlock. Tvrdenie platí, ale kupuje bezpečnosť iba pre základné komponenty.
Aký náročný je upgrade dvakrát ročne?
Menšie, keď budete postupovať podľa zdokumentovaného poradia a najskôr otestovať na kanárikovi; nástroj syspatch završuje opravu uprostred cyklu pre -stable vydania.
Môžem to umiestniť lacno?
áno; obyčajné x86 VM a malé servery na úrovni operátora sú v poriadku. Hardvérová podpora je miesto, kde sa minimálne očakávania konečne zahryznú, preto si pred kúpou skontrolujte kompatibilné zoznamy.
Ako Kinetikatech pomáha s porovnanie operačných systémov
Uprimne, väčšina tímov k nám prichádza až potom, čo skúšalo veci najskôr samo: Súbežné hodnotenia operačného systému z produkčných skúseností: distribúcie, BSD a alternatívy Windowsu v porovnaní so životným cyklom podpory, bezpečnostným postavením a prevádzkyschopnosťou do 3:00 – merané, neuvádzané na trh. Naša služba Bezpečnosť Linuxových serverov a Správa serverov existuje, aby ste sa s porovnanie operačných systémov nepoznávali na vlastnej koži; my sa postaráme o nastavenie, dohľad a prekvapenia o tri ráno.