OpenBSD

OpenBSD es un sistema operativo tipo Unix , de software libre y centrado en la seguridad , basado en la Berkeley Software Distribution (BSD). Theo de Raadt creó OpenBSD en 1995 mediante una bifurcación de NetBSD 1.0. ^{[ 4 ]} El proyecto OpenBSD hace hincapié en la portabilidad , la estandarización , la corrección , la seguridad proactiva y la criptografía integrada . ^{[ 5 ]}

El proyecto OpenBSD mantiene versiones portátiles de muchos subsistemas como paquetes para otros sistemas operativos. Debido a la licencia BSD preferida del proyecto, que permite redistribuciones binarias sin el código fuente, muchos componentes se reutilizan en proyectos de software propietarios y patrocinados por empresas. El código del cortafuegos en macOS de Apple se basa en el código del cortafuegos PF de OpenBSD , ^{[ 6 ]} la biblioteca estándar C de Android Bionic se basa en código de OpenBSD, ^{[ 7 ]} LLVM utiliza la biblioteca de expresiones regulares de OpenBSD , ^{[ 8 ]} y Windows 10 utiliza OpenSSH (OpenBSD Secure Shell ) con LibreSSL . ^{[ 9 ]}

La palabra "open" en el nombre OpenBSD se refiere a la disponibilidad del código fuente del sistema operativo en Internet , aunque la palabra "open" en el nombre OpenSSH significa "OpenBSD". También se refiere a la amplia gama de plataformas de hardware que admite el sistema. ^{[ 10 ]} OpenBSD admite una variedad de arquitecturas de sistema, incluidas x86-64 , IA-32 , ARM , PowerPC y RISC-V de 64 bits . Su GUI predeterminada es FVWM en X11.

En diciembre de 1994, Theo de Raadt , miembro fundador del proyecto NetBSD , fue invitado a renunciar al equipo central de NetBSD debido a desacuerdos y conflictos con los demás miembros del equipo. ^{[ 11 ] [ 4 ]} En octubre de 1995, de Raadt fundó OpenBSD, un nuevo proyecto derivado de NetBSD 1.0. La versión inicial, OpenBSD 1.2, se publicó en julio de 1996, seguida de OpenBSD 2.0 en octubre del mismo año. ^{[ 12 ]} Desde entonces, el proyecto ha publicado una versión cada seis meses, cada una con soporte durante un año.

El 25 de julio de 2007, el desarrollador de OpenBSD, Bob Beck, anunció la formación de la Fundación OpenBSD , una organización canadiense sin fines de lucro creada para "actuar como un único punto de contacto para las personas y organizaciones que necesitan una entidad legal con la que tratar cuando desean apoyar a OpenBSD". ^{[ 13 ]}

En 2024, el proyecto se había separado lo suficiente como para que todos los archivos que formaban parte de la bifurcación original de NetBSD hubieran sido modificados o eliminados, siendo el reemplazo de un archivo de datos para el programa "quiz" el cambio determinante. ^{[ 14 ]}

Es difícil determinar la extensión del uso de OpenBSD, ya que los desarrolladores no publican ni recopilan estadísticas de uso.

En septiembre de 2005, el Grupo de Certificación BSD encuestó a 4330 usuarios individuales de BSD, mostrando que el 32,8% usaba OpenBSD, ^{[ 15 ]} por detrás de FreeBSD con un 77%, por delante de NetBSD con un 16,3% y DragonFly BSD con un 2,6% ^{[ nota 1 ]} . Sin embargo, los autores de esta encuesta aclararon que no es ni "exhaustiva" ni "completamente precisa", ya que se difundió principalmente a través de listas de correo, foros y el boca a boca. Esto, combinado con otros factores, como la falta de un grupo de control, un proceso de preselección o una difusión significativa fuera de la comunidad BSD, hace que la encuesta no sea fiable para evaluar el uso de BSD a nivel mundial.

Poco después de la creación de OpenBSD, de Raadt fue contactado por una empresa local de software de seguridad llamada Secure Networks (adquirida posteriormente por McAfee ). ^{[ 38 ] [ 39 ]} La empresa estaba desarrollando una herramienta de auditoría de seguridad de red llamada Ballista, ^{[ nota 2 ]} cuyo objetivo era encontrar y explotar fallos de seguridad de software. Esto coincidió con el interés de de Raadt en la seguridad, por lo que ambos cooperaron hasta el lanzamiento de OpenBSD 2.3. ^{[ 40 ]} Esta colaboración ayudó a definir la seguridad como el eje central del proyecto OpenBSD. ^{[ 41 ]}

OpenBSD incluye numerosas características diseñadas para mejorar la seguridad, tales como:

• Alternativas seguras a las funciones POSIX en la biblioteca estándar de C, como strlcatfor strcaty strlcpyfor strcpy^{[ 42 ]}
• Alteraciones en la cadena de herramientas, incluido un verificador de límites estáticos ^{[ 43 ]}
• Técnicas de protección de memoria para evitar accesos no válidos, como ProPolice y la función de protección de páginas W^X.
• Criptografía fuerte y aleatorización ^{[ 44 ]}
• Restricciones de acceso a llamadas al sistema y al sistema de archivos para limitar las capacidades de los procesos ^{[ 45 ]}

Para reducir el riesgo de una vulnerabilidad o una configuración incorrecta que permita la escalada de privilegios , se han escrito o adaptado muchos programas para utilizar la separación de privilegios , la revocación de privilegios y el chroot . La separación de privilegios es una técnica, pionera en OpenBSD e inspirada en el principio del mínimo privilegio , donde un programa se divide en dos o más partes, una de las cuales realiza operaciones privilegiadas y la otra —casi siempre la mayor parte del código— se ejecuta sin privilegios. ^{[ 46 ]} La revocación de privilegios es similar e implica que un programa realice las operaciones necesarias con los privilegios con los que comienza y luego los elimine. El chroot implica restringir una aplicación a una sección del sistema de archivos , prohibiéndole el acceso a áreas que contienen archivos privados o del sistema. Los desarrolladores han aplicado estas mejoras a las versiones de OpenBSD de muchas aplicaciones comunes, como tcpdump , file , tmux , smtpd y syslogd . ^{[ 47 ]}

Los desarrolladores de OpenBSD fueron fundamentales en la creación y el desarrollo de OpenSSH (también conocido como OpenBSD Secure Shell), que se desarrolla en los repositorios CVS de OpenBSD. OpenBSD Secure Shell se basa en el SSH original . ^{[ 48 ]} Apareció por primera vez en OpenBSD 2.6 y ahora es, con diferencia, el cliente y servidor SSH más popular, disponible en muchos sistemas operativos. ^{[ 49 ]}

El proyecto tiene la política de auditar continuamente el código fuente en busca de problemas, un trabajo que el desarrollador Marc Espie ha descrito como "nunca terminado... más una cuestión de proceso que de buscar un error específico". Continuó enumerando varios pasos típicos una vez que se encuentra un error, incluyendo examinar todo el árbol de código fuente en busca de problemas iguales y similares, "intentar averiguar si se debe modificar la documentación" e investigar si "es posible ampliar el compilador para que advierta sobre este problema específico". ^{[ 50 ]}

Muchos proyectos de código abierto comenzaron como componentes de OpenBSD, entre ellos:

Algunos subsistemas se han integrado en otros sistemas operativos BSD, ^{[ 77 ] [ 78 ] [ 79 ]} y muchos están disponibles como paquetes para su uso en otros sistemas tipo Unix. ^{[ 80 ] [ 81 ] [ 82 ]}

El Calgary Internet Exchange se formó en 2012, en parte para atender las necesidades del proyecto OpenBSD. ^{[ 83 ]}

En 2017, se comenzó a desarrollar Isotop, ^{[ 84 ]} un proyecto francés que tenía como objetivo adaptar OpenBSD a ordenadores de escritorio y portátiles, utilizando xfce y luego dwm . ^{[ 85 ]}

OpenBSD incluye una serie de componentes de terceros , muchos con parches específicos de OpenBSD, ^{[ 34 ]} como X.Org , Clang ^{[ 86 ]} (el compilador predeterminado en varias arquitecturas ), GCC , ^{[ 43 ] [ nota 3 ]} Perl , NSD , Unbound , ncurses , GNU binutils , GDB y AWK .

El desarrollo es continuo y la gestión del equipo es abierta y escalonada. Cualquiera con las habilidades adecuadas puede contribuir, y los derechos de confirmación se otorgan por mérito y de Raadt actúa como coordinador. ^{[ 32 ] : xxxv} Se realizan dos lanzamientos oficiales por año, con el número de versión incrementado en 0.1, ^{[ 87 ]} y cada uno de ellos recibe soporte durante doce meses (dos ciclos de lanzamiento). ^{[ 88 ]} También hay lanzamientos Snapshot disponibles a intervalos frecuentes.

Los parches de mantenimiento para las versiones compatibles se pueden aplicar mediante syspatch , manualmente o actualizando el sistema con la rama de parches del repositorio de código fuente CVS para esa versión. ^{[ 89 ]} Como alternativa, un administrador del sistema puede optar por actualizar a la siguiente versión snapshot mediante sysupgrade o utilizando la rama -current del repositorio CVS, para obtener acceso anticipado a las funciones añadidas recientemente. La herramienta sysupgrade también puede actualizar a la última versión estable.

El kernel genérico de OpenBSD que viene por defecto es muy recomendable para los usuarios finales, a diferencia de los sistemas operativos que recomiendan la personalización del kernel por parte del usuario. ^{[ 90 ]}

Los paquetes que no forman parte del sistema base son mantenidos por CVS a través de un árbol de puertos y son responsabilidad de sus mantenedores, conocidos como porteadores. Además de mantener actualizada la rama actual, se espera que los porteadores apliquen las correcciones de errores y de mantenimiento pertinentes a las ramas de su paquete para las versiones compatibles con OpenBSD. Por lo general, los puertos no están sujetos a la misma auditoría continua que el sistema base debido a la falta de personal.

Los paquetes binarios se generan de forma centralizada a partir del árbol de puertos para cada arquitectura. Este proceso se aplica a la versión actual, a cada lanzamiento compatible y a cada instantánea. Se recomienda a los administradores que utilicen el mecanismo de paquetes en lugar de generarlos a partir del árbol de puertos, a menos que necesiten realizar sus propios cambios en el código fuente.

Los desarrolladores de OpenBSD se reúnen regularmente en eventos especiales llamados hackatones , ^{[ 91 ]} donde "se sientan y programan", haciendo hincapié en la productividad. ^{[ 92 ]}

La mayoría de los nuevos lanzamientos incluyen una canción. ^{[ 93 ]}

OpenBSD es conocido por su documentación de alta calidad. ^{[ 94 ] [ 95 ]}

Cuando se creó OpenBSD, de Raadt decidió que el código fuente debía estar disponible para que cualquiera pudiera leerlo. En aquel entonces, un pequeño equipo de desarrolladores generalmente tenía acceso al código fuente de un proyecto. ^{[ 96 ]} Chuck Cranor ^{[ 97 ]} y de Raadt concluyeron que esta práctica era «contraria a la filosofía del código abierto» e inconveniente para los posibles colaboradores. Juntos, Cranor y de Raadt establecieron el primer servidor público y anónimo de control de versiones . La decisión de De Raadt permitió a los usuarios «participar más activamente» y estableció el compromiso del proyecto con el acceso abierto. ^{[ 96 ]} OpenBSD es notable por su uso continuo de CVS (más precisamente una bifurcación no publicada, administrada por OpenBSD llamada OpenCVS que se declaró "OpenCVS se lanzará pronto" en 2005 ^{[ 98 ]} y en 2025 "OpenCVS se lanzará pronto" ^{[ 99 ]} aunque OpenBSD también tiene una página web que describe OpenCVS. ^{[ 100 ]} ), cuando la mayoría de los demás proyectos que lo usaban han migrado a otros sistemas. ^{[ 101 ]}

OpenBSD no incluye controladores binarios de código cerrado en el árbol de código fuente, ni incluye código que requiera la firma de acuerdos de confidencialidad . ^{[ 102 ]}

Dado que OpenBSD tiene su sede en Canadá, no se aplican restricciones de exportación de Estados Unidos en materia de criptografía, lo que permite que la distribución utilice plenamente algoritmos modernos de cifrado. Por ejemplo, el espacio de intercambio se divide en pequeñas secciones y cada sección se cifra con su propia clave, lo que garantiza que los datos confidenciales no se filtren a una parte insegura del sistema. ^{[ 18 ]}

OpenBSD aleatoriza diversos comportamientos de las aplicaciones, lo que las hace menos predecibles y, por lo tanto, más difíciles de atacar. Por ejemplo, los PID se crean y asocian aleatoriamente a los procesos; la bindllamada al sistema utiliza números de puerto aleatorios ; los archivos se crean con números de inodo aleatorios ; y los datagramas IP tienen identificadores aleatorios. ^{[ 103 ]} Este enfoque también ayuda a exponer errores en el núcleo y en los programas del espacio de usuario.

La política de apertura de OpenBSD se extiende a la documentación del hardware: en las diapositivas de una presentación de diciembre de 2006, de Raadt explicó que sin ella "los desarrolladores a menudo cometen errores al escribir controladores" y señaló que "la emoción de '¡Dios mío, lo logré!' es más difícil de alcanzar, y algunos desarrolladores simplemente se rinden". ^{[ 104 ]} Continuó diciendo que los controladores binarios proporcionados por los proveedores son inaceptables para su inclusión en OpenBSD, que "no confían en que los binarios de los proveedores se ejecuten en nuestro kernel" y que "no hay manera de arreglarlos... cuando fallan". ^{[ 104 ]}

En una entrevista con Jeremy Andrews, tras preguntarle "¿Qué tiene el firmware binario que le hace estar dispuesto a distribuirlo, en lugar de los blobs binarios? ¿Cómo puede confiar en que el firmware binario haga lo que debería hacer? ¿Y qué ocurre si el firmware tiene un error?", Theo de Raadt afirmó, entre otras cosas: "Sinceramente, prefiero los chips que no tienen firmware y que, en su lugar, utilizan una lógica de hardware correctamente diseñada, que nuestro controlador debe gestionar." y "Pero, en definitiva, si queremos dar soporte a este tipo de dispositivos, debemos ser prácticos. Debemos aceptar el riesgo de que exista un fallo en el firmware." ^{[ 87 ]}

El espejo de GitHub de OpenBSD tiene licencias para firmware que prohíben su uso en dispositivos que no sean de TI ^{[ 105 ]} , prohíben la ingeniería inversa, la descompilación o el desensamblaje de cierto software ^{[ 106 ] [ 107 ] [ 108 ]} , firmware que solo se permite redistribuir en código objeto ^{[ 109 ]} , no tiene aviso de derechos de autor en el archivo original ^{[ 110 ]} , o donde los desarrolladores de OpenBSD creen que la licencia original en el código fuente sí permitía específicamente la redistribución. ^{[ 111 ]}

Según el Proyecto GNU , OpenBSD incluye pequeños "blobs" de código objeto propietario como firmware del dispositivo o cargados por controladores con licencia libre. ^{[ 112 ]}

OpenBSD mantiene una política de licencias estricta , ^{[ 3 ]} prefiriendo la licencia ISC y otras variantes de la licencia BSD . El proyecto intenta "mantener el espíritu de los derechos de autor originales de Berkeley Unix ", que permitían una "distribución de código fuente de Unix relativamente libre de restricciones". ^{[ 3 ]} La licencia Apache y la licencia pública general de GNU, ampliamente utilizadas, se consideran demasiado restrictivas. ^{[ 113 ]}

En junio de 2001, a raíz de la preocupación por la modificación de la redacción de la licencia de IPFilter por parte de Darren Reed, se llevó a cabo una auditoría sistemática de licencias de los puertos y árboles de código fuente de OpenBSD. ^{[ 114 ]} Se encontró que el código en más de cien archivos en todo el sistema no tenía licencia, tenía una licencia ambigua o se utilizaba en contra de los términos de la licencia. Para garantizar que todas las licencias se cumplieran correctamente, se intentó contactar a todos los titulares de derechos de autor pertinentes: se eliminaron algunas partes del código, se reemplazaron muchas y otras, como las herramientas de enrutamiento de multidifusión mrinfo y map-mbone , se volvieron a licenciar para que OpenBSD pudiera seguir utilizándolas. ^{[ 115 ] [ 116 ]} Durante esta auditoría también se eliminó todo el software producido por Daniel J. Bernstein . En ese momento, Bernstein solicitó que todas las versiones modificadas de su código fueran aprobadas por él antes de su redistribución, un requisito al que los desarrolladores de OpenBSD no estaban dispuestos a dedicar tiempo ni esfuerzo. ^{[ 117 ] [ 118 ] [ 119 ]}

Debido a problemas de licencia, el equipo de OpenBSD ha reimplementado software desde cero o ha adoptado software existente adecuado. Por ejemplo, los desarrolladores de OpenBSD crearon el filtro de paquetes PF después de que se impusieran restricciones inaceptables a IPFilter . PF apareció por primera vez en OpenBSD 3.0 ^{[ 120 ]} y ahora está disponible en muchos otros sistemas operativos. ^{[ 121 ]} Los desarrolladores de OpenBSD también han reemplazado herramientas con licencia GPL (como CVS y pkg-config ) por equivalentes con licencias permisivas . ^{[ 122 ] [ 123 ]}

Aunque el sistema operativo y sus componentes portátiles se utilizan en productos comerciales, de Raadt afirma que la financiación del proyecto proviene en gran medida solo de la industria: «tradicionalmente, toda nuestra financiación ha provenido de donaciones de usuarios y de la compra de nuestros CD (nuestros otros productos no nos generan muchos ingresos). Obviamente, no ha sido mucho dinero». ^{[ 87 ]}

Durante un período de dos años a principios de la década de 2000, el proyecto recibió financiación de DARPA , que "pagó los salarios de 5 personas para que trabajaran a tiempo completo, compró alrededor de 30 000 dólares en hardware y pagó 3 hackatones", del proyecto POSSE . ^{[ 87 ]}

En 2006, el proyecto OpenBSD experimentó dificultades financieras. ^{[ 124 ]} La Fundación Mozilla ^{[ 125 ]} y GoDaddy ^{[ 126 ]} se encuentran entre las organizaciones que ayudaron a OpenBSD a sobrevivir. Sin embargo, de Raadt expresó su preocupación por la asimetría de la financiación: «Creo que las contribuciones deberían haber venido primero de los proveedores, segundo de los usuarios corporativos y tercero de los usuarios individuales. Pero la respuesta ha sido casi completamente opuesta, con una proporción de casi 15 a 1 dólares a favor de la gente común. ¡Muchas gracias, gente común!» ^{[ 87 ]}

El 14 de enero de 2014, Bob Beck solicitó financiación para cubrir los gastos de electricidad. Si no se encontraba financiación sostenible, Beck sugirió que el proyecto OpenBSD se cerraría. ^{[ 127 ]} El proyecto pronto recibió una donación de 20 000 dólares estadounidenses de Mircea Popescu, el creador rumano de la bolsa de valores de bitcoin MPEx, pagada en bitcoins . ^{[ 128 ]} El proyecto recaudó 150 000 dólares estadounidenses ^{[ 129 ]} en respuesta a la solicitud, lo que le permitió pagar sus facturas y asegurar su futuro a corto plazo. ^{[ 128 ]}

OpenBSD está disponible gratuitamente de varias maneras: el código fuente se puede obtener mediante CVS anónimo , ^{[ 139 ]} las versiones binarias y las instantáneas de desarrollo se pueden descargar mediante FTP, HTTP y rsync. ^{[ 140 ]} Los conjuntos de CD-ROM preempaquetados hasta la versión 6.0 se pueden pedir en línea por una pequeña tarifa, que incluyen una variedad de pegatinas y una copia de la canción principal del lanzamiento. Estos, con sus ilustraciones y otros extras, han sido una de las pocas fuentes de ingresos del proyecto, financiando el hardware, el servicio de Internet y otros gastos. ^{[ 141 ]} A partir de la versión 6.1, los conjuntos de CD-ROM ya no se publican.

OpenBSD proporciona un sistema de gestión de paquetes , denominado herramientas pkg* , para facilitar la instalación y gestión de programas que no forman parte del sistema operativo base. ^{[ 142 ]} Los paquetes son archivos binarios que se extraen, gestionan y eliminan mediante las herramientas de paquetes. En OpenBSD, la fuente de los paquetes es el sistema de puertos, una colección de makefiles y otra infraestructura necesaria para crear paquetes. En OpenBSD, los puertos y el sistema operativo base se desarrollan y publican conjuntamente para cada versión: esto significa que los puertos o paquetes publicados con, por ejemplo, la versión 4.6 no son compatibles con la versión 4.5 y viceversa. ^{[ 142 ]}

Inicialmente, OpenBSD utilizó una versión con aureola de la mascota del demonio BSD dibujada por Erick Green, a quien de Raadt le pidió que creara el logotipo para las versiones 2.3 y 2.4 de OpenBSD. Green planeaba crear un demonio completo, incluyendo cabeza y cuerpo, pero solo la cabeza se completó a tiempo para OpenBSD 2.3. El cuerpo, así como el tridente y la cola, se completaron para OpenBSD 2.4. ^{[ 143 ]}

Las versiones posteriores utilizaron variaciones como un demonio policial de Ty Semaka, ^{[ 144 ]} pero finalmente se decantaron por un pez globo llamado Puffy. ^{[ 145 ]} Desde entonces, Puffy ha aparecido en material promocional de OpenBSD y ha figurado en canciones y diseños de lanzamiento.

El material promocional de los primeros lanzamientos de OpenBSD no tenía un tema o diseño coherente, pero posteriormente los CD-ROM, las canciones de lanzamiento, los pósteres y las camisetas de cada lanzamiento se produjeron con un estilo y tema únicos, a veces con la contribución de Ty Semaka de Plaid Tongued Devils . ^{[ 93 ]} Estos se han convertido en parte de la defensa de OpenBSD, y cada lanzamiento expone un punto moral o político importante para el proyecto, a menudo a través de la parodia. ^{[ 146 ]}

Los temas han incluido Puff the Barbarian en OpenBSD 3.3, que incluía una canción de rock de los 80 y una parodia de Conan el Bárbaro que aludía a la documentación abierta, ^{[ 93 ]} The Wizard of OS en OpenBSD 3.7, relacionado con el trabajo del proyecto en controladores inalámbricos, y Hackers of the Lost RAID , una parodia de Indiana Jones que hace referencia a las nuevas herramientas RAID en OpenBSD 3.8.

La siguiente tabla resume el historial de versiones del sistema operativo OpenBSD .

• Comparación de sistemas operativos BSD
• Comparación de sistemas operativos de código abierto
• Proyecto KAME , responsable del soporte para IPv6 de OpenBSD.
• Revista OpenBSD
• Características de seguridad de OpenBSD
• Seguridad de Unix