Co je to OpenBSD?

Začněme akvaristikou. OpenBSD je volně šiřitelný operační systém, jehož symbolem je čtyřzubec. To je malá, nenápadná rybka, která se v nebezpečí legračně nafoukne a když ji sníte, umřete na otravu prudkým jedem. OpenBSD se v nebezpečí nenafoukne, ale pokud se do něj pokusíte nabourat, vaše snaha bude nejspíš marná, a to vás může pěkně otrávit.

Bezpečnost – cíl číslo jedna

OpenBSD je totiž systém, vyvíjený s důrazem na bezpečnost. Díky tomu se výborně hodí pro instalace na místech, která mají zajišťovat ochranu dat nebo jsou vystavena vysokému riziku. Tedy hlavně firewally, aplikační servery v „demilitarizovaných zónách“, systémy detekce průniku a podobná zařízení.

Vysoké bezpečnosti je dosaženo několika různými způsoby. Předně: kód OpenBSD prochází důkladným bezpečnostním auditem. Důsledkem nemusí být méně bezpečnostních chyb, ale skutečnost, že většinu problémů již v předstihu objevili sami autoři software a my tak máme čas aplikovat příslušné záplaty. Kromě toho implementuje OpenBSD velké množství dalších technických bezpečnostních opatření, která se navzájem překrývají a účinně brání zneužití chyb. Uvedu dva příklady. Programy se důsledně snaží používat nejmenší možná privilegia, takže možnost získání administrátorských práv prostřednictvím nějaké bezpečnostní chyby je hodně omezená. Celý systém je navíc kompilován s využitím ProPolice (čti „propolis“), ochrany proti přetečení zásobníku. Další opatření je celkem zbytečné v tomto stručném článku probírat, zájemci si je jistě najdou sami. O výborném paketovém filtru se budeme bavit příště.

V jednoduchosti je síla

Říká se, že OpenBSD je složitý systém, vhodný pouze pro zkušené administrátory. Opak je pravdou. Už instalace je tak jednoduchá, že bez předchozích zkušeností s tímto systémem ji máte hotovou za 15 – 20 minut.

Správa je rovněž jednoduchá, většina parametrů je pohromadě ve dvou, třech souborech. Jistě, jde o zvyk, ale pokud vás rozčiluje brutální komplexnost moderních linuxových distribucí, OpenBSD se vám bude líbit. Trochu nepohodlná je distribuce softwarových oprav ve formě patchů na zdrojový kód, ale zase je to alespoň zábava (srovnej s nudným apt nebo rpm). S ostatními variantami BSD UNIXu náš systém sdílí způsob distribuce jednotlivých aplikací pomocí portů, tedy sady předpisů, jak program stáhnout a zkompilovat. „Strom portů“ v současné době obsahuje několik stovek užitečných aplikací.

Díky své jednoduchosti je OpenBSD velmi nenáročné na hardware. Běží už na pár megabajtech RAM a diskového prostoru. V jádře sice nenajdete podporu pro nejnovější hi-tech řadiče různých druhů, ale vzhledem k nejčastějšímu použití OpenBSD to ani příliš nevadí. Důležité je, že kernel zná mnoho síťových karet, diskových ovladačů a podobných věcí. Sympatická je i bezproblémová podpora nejrůznějšího wifi hardware, což umožňuje z OpenBSD vytvořit levný a velmi bezpečný access point pro bezdrátové sítě.

Je OpenBSD dokonalé?

Slabiny OpenBSD? Ve výkonových testech viditelně zaostává za svými konkurenty. Ovšem rychlost není cílem vývoje. Nasazujme OpenBSD tam, kde jsou jeho silné stránky, a výkon nás nebude trápit.

Co se týká filtrace paketů, OpenBSD řeší odvěký problém – aktivní FTP protokol – po svém. Na internetové bráně musí běžet program ftp-proxy, který zařizuje vzájemné propojování FTP klientů a serverů. Paketový filtr je sice stavový, ale stavy kolem ftp-proxy zatím neumí sám vysledovat. Takže chcete-li aktivní FTP, musíte povolit spojení odkudkoliv z portu 20 na vysoké porty firewallu. Linuxový netfilter je v tomhle mnohem lepší. Některým FTP klientům navíc nevyhovuje, že datové spojení jde z adresy firewallu, nikoliv z původního FTP serveru.

Na závěr

Závěr bude stručný. OpenBSD je výborný a spolehlivý systém, jehož silné stránky se nejlépe projeví, pokud je nasazen jako firewall nebo jiné bezpečnostní řešení. A příště si povíme o paketovém filtru.

Užitečné odkazy

www.openbsd.org: Oficiální web OpenBSD
www.openbsd.cz: Český projekt OpenBSD s přeloženou dokumentací a lokálním mirrorem.
www.deadly.org: Web zaměřený na novinky o OpenBSD. Spousta aktualit a užitečných tipů.
www.root.cz/cla­nek/1167: Jemný úvod do OpenBSD, starší článek Miroslava Petříčka.

Autor je zaměstnancem společnosti LOGIOS, která nabízí bezpečnostní řešení a technickou podporu pro OpenBSD.