Porovnání operačních systémů
OpenBSD: Bezpečnost jako designový jazyk
OpenBSD vyhrává argumenty tím, že většinu z nich odmítá: jedinou agresivně auditovanou kódovou základnu, testy a proces vydání, který považuje disciplinu upgradu za součást bezpečnosti. Nesnaží se být vaším aplikačním serverem; snaží se být škatulkou mezi vaší sítí a všemi ostatními a dělá to bez okázalé CVE kadence. Toto je vyhrazený společník pro naše srovnání OpenBSD s FreeBSD a Linuxem.
Klíčové body
- Audit je nepřetržitý: chyby celých tříd jsou proaktivně odstraňovány (strlcpy se zde historicky objevilo, stejně jako slib/odhalení pro omezení syscall) a opravy spolehlivosti jsou dokumentovány veřejně způsobem, který mění způsob, jakým inženýři přemýšlejí o robustnosti.
- Najednou jsou podporována pouze dvě vydání, každé zhruba šest měsíců: upgrady jsou zdokumentovaný, nacvičený rituál (vše, co potřebujete, jsou nástroje sysupgrade) a udržování aktuálního stavu je bezpečnostní vlastnost, nikoli dřina.
- pf je ústředním bodem: jazyk pravidel brány firewall je deklarativní a čitelný a pro týmy, které kontrolu pravidel považují za kontrolu kódu, službu, která tomu věří, se redundantní návrh napříč weby stává ovladatelným.
- Služby připravené k odeslání fungují v základně: předávané pro vyrovnávání zátěže, acme-klient pro certifikáty TLS, iked/isakmpd pro VPN, smtpd pro poštu; méně balíků znamená méně kusovníků k zabezpečení.
- Cena minimalismu: výkonové stopy na určitých vysokopropustných cestách, desktopy a splash třetích stran běží jinde a provozování „nejnovějšího“ Dockeru nebo panelových zásobníků na OpenBSD je spíše inženýrský projekt než nasazení.
- Kde jej nasazujeme: hraniční firewally, koncentrátory VPN, autoritativní okraje DNS a jakákoli role zařízení, jehož celým posláním je „být nudný a držet linii“.
Poznámka z terénu
Zařízení OpenBSD, které provozujeme na klientské hranici, prošlo během čtyř let dvěma upgradovacími rituály, z nichž každý zabral méně než hodinu, každý podle stejného zdokumentovaného pořadí. Jeho rekordní výpadek: nula. Jeho rekord vzrušení: také nulový. To je produkt.
Časté dotazy
Mělo by OpenBSD nahradit Linux na každém serveru?
Ne. Jeho ekosystém balíčků a kontejnerový příběh nemohou pohodlně hostit běžné webové zásobníky. Použijte jej pro pohraniční služby; použijte Linux nebo FreeBSD, kde vládne gravitace aplikací.
Je to opravdu bezpečnější, nebo je to marketing?
Dosavadní výsledky: desetiletí proaktivní práce na zabezpečení paměti a odstranění privilegií a navíc nápady na omezení/odhalení, které jsou nyní viditelné v jiných ekosystémech jako seccomp a Landlock. Tvrzení platí, ale kupuje bezpečnost pouze pro základní komponenty.
Jak náročný je upgrade dvakrát ročně?
Menší, když dodržíte dokumentované pořadí a nejprve otestujete na kanárku; nástroj syspatch završuje záplatování uprostřed cyklu pro -stable vydání.
Můžu to levně umístit?
Ano; prosté virtuální počítače x86 a malé servery na úrovni operátora jsou v pořádku. Hardwarová podpora je místo, kde se minimální očekávání konečně zakousnou, takže před nákupem zkontrolujte kompatibilní seznamy.
Jak Kinetikatech pomáhá s porovnání operačních systémů
Nemusíte se stát odborníkem na porovnání operačních systémů: Přímá hodnocení operačního systému z produkčních zkušeností: distribuce, BSD a alternativy Windows ve srovnání s životními cykly podpory, stavem zabezpečení a provozuschopností do 3:00 – měřeno, nikoli uváděno na trh. Přesně proto existuje Zabezpečení linuxových serverů a Správa serverů: zprovoznění, zpevnění, monitoring a člověk ve službě dnem i nocí.