Dos agujeros remotos en más de treinta años. Esa es la cifra que Theo de Raadt repite en cada entrega y que volvió a escribir el 20 de octubre de 2026, cuando OpenBSD 8.0 apareció como la entrega número 61 del proyecto. El mensaje a la lista openbsd-misc mantiene la frase de orgullo de siempre y añade, justo debajo, una novedad que hacía años que no se veía en los titulares del sistema: soporte para las tarjetas gráficas Intel Arc A-Series, la familia DG2 que Intel bautizó como Alchemist, así como otras mejoras a este sistema operativo con más de 30 años de historia.
El ritmo tampoco ha cambiado desde 1996. Un lanzamiento cada seis meses, sin hoja de ruta pública ni versiones beta con bombo, con el árbol de código abierto y quien quiera mirar que mire. En esta entrega el anuncio trae OpenSSH 10.6, LibreSSL 4.4.0, el nuevo demonio rtrd(8) para validar rutas RPKI y 13.060 paquetes binarios ya compilados para amd64, según la nota oficial de publicación.
La lectura fácil es que OpenBSD se pone al día en hardware. La interesante es otra: un sistema que lleva tres décadas vendiendo auditoría de código como método publica una versión cuyo cambio más visible es una GPU, mientras el trabajo que de verdad sostiene su fama sigue enterrado en los parches.
Un salto de hardware que se nota en el escritorio
El soporte de Arc A-Series llega por la vía de inteldrm(4) y no viene solo. El proyecto actualizó drm(4) al estado del kernel Linux 6.18.53 y a la vez subió el espacio de direcciones virtuales del kernel en amd64 de 4 GB a 512 GB, según el anuncio del fundador del proyecto. Las dos piezas encajan porque sin ese margen el kernel no puede mapear más de 4 GB de VRAM, y las Arc Alchemist arrancan por encima de esa cifra. El mapa directo de pmap(9) pasa además a una posición aleatoria.
En el resto de plataformas, la hibernación llega a arm64 con validaciones para los bloques que se copian al desempaquetar la imagen, y el cifrado de swap usa las instrucciones AES de la CPU en amd64 y arm64.
| Cambio |
Antes |
En OpenBSD 8.0 |
| Direcciones virtuales del kernel en amd64 |
4 GB |
512 GB |
| Multiprocesador en invitados de vmm |
Sin soporte |
Hasta 64 vCPU por máquina |
| Intel Arc A-Series (DG2/Alchemist) |
Sin soporte |
Vía inteldrm(4), drm de Linux 6.18.53 |
| Hibernación en arm64 |
No disponible |
Disponible, con validación de la imagen |
| Arquitectura loongson |
Soportada |
Retirada, no compila con Clang 22 |
En redes hay dos apuntes que afectan al uso diario de un portátil. El driver qwz(4) suma 802.11n con canales de 40 MHz, y las colas de PF superan la barrera de los 4 Gbps, según el repaso que hizo Undeadly de los cambios del ciclo.
vmm crece hasta los 64 vCPU y ordena la propiedad de las máquinas
La virtualización se lleva la otra mitad del anuncio. vmm(4) y vmd(8) admiten ahora hasta 64 CPU virtuales por invitado, el modo x2apic para los huéspedes, interrupciones MSI/MSI-X en los dispositivos virtio y descarga de checksum. Son mejoras que se notan cuando ejecutas cargas de trabajo reales dentro de una máquina virtual. Mejoras bienvenidas y aplaudidas por los usuarios del sistema.
Hay dos cambios menos vistosos que explican el rumbo del proyecto. La propiedad de cada máquina virtual se gestiona con ficheros, lo que ata el ciclo de vida del invitado a un descriptor y no a un proceso. Y los cargadores de elf(5) de vmd(8) ya no leen fuera de límites con binarios de cabeceras malformadas, un fallo clásico de los hipervisores que aceptan imágenes de terceros.
La emulación también gana piezas por abajo, con un ioapic i82093aa y un lapic compatible con i82489dx que arreglan el arranque de invitados Linux de 32 bits, además de mejoras en el manejo de qcow.
Los límites siguen donde estaban. vmm(4) exige una CPU con virtualización asistida por hardware y paginación extendida o anidada, tal como documenta su página de manual, y los invitados reciben CPU virtual, interfaz de red, disco y puerto serie. Quien busque aceleración gráfica dentro de una máquina virtual no la va a encontrar aquí.
pledge y unveil, la parte que no sale en el titular
El sistema de permisos es el sello de la casa desde hace una década. pledge(2) llegó con OpenBSD 5.9 el 19 de julio de 2015 y separa el conjunto de funciones POSIX en unas tres docenas de subsistemas; si el programa declara tres y luego intenta usar una cuarta, el proceso muere con un SIGABRT que no puede capturar. unveil(2) apareció el 13 de julio de 2018 con OpenBSD 6.4 y hace lo propio con el sistema de ficheros, ya que la primera llamada oculta todo el árbol salvo las rutas declaradas.
En 8.0 la cosecha de seguridad es de fontanería, no de titulares. Hay una corrección de pledge(2) en vfs(9), un ajuste en los niveles y opciones de pledge_sockopt() para distintos tipos de socket, y una extensión de unveil(2) que ahora restringe la lectura y escritura de man(1), makewhatis(8) y man.cgi(8). pax(1) dejó de extraer archivos maliciosos fuera del directorio de trabajo, e iked(8) rechaza mensajes IKEv2 malformados o fuera de estado. Undeadly añade que httpd(8) y smtpd(8) se reenlazan de forma aleatoria en cada arranque.
Ahí está el método. No un parche heroico, sino una suma de arreglos pequeños revisados archivo por archivo, por un equipo de auditoría de entre seis y doce personas que trabaja desde el verano de 1996, según la página de seguridad de OpenBSD.
El mismo criterio de reducción de superficie que proyectos móviles como GrapheneOS aplican para blindar un Pixel frente al rastreo se aplica aquí a cada demonio del sistema, con la diferencia de que en OpenBSD la lista de permisos vive en el código de la aplicación y no en una capa externa.
La cadena criptográfica también se mueve. OpenSSH 10.6 desactiva el codificador de diccionario LZ77 de ssh(1) para evitar una posible filtración por canal lateral y añade soporte experimental para firmas compuestas post-cuánticas mldsa44-ed25519. LibreSSL 4.4.0 limpia el código de DTLS y corrige el manejo de CRL con la misma puntuación. Mientras OpenSSL prepara DTLS 1.3, GREASE y rutas AVX512, la pila de OpenBSD avanza con el freno de mano en la compatibilidad.
El capítulo de encaminamiento tiene nombre nuevo, porque el proyecto importó rtrd(8) y su control rtrctl(8) para el protocolo RPKI-To-Router, y bgpd(8) incorporó los códigos de error de RTR v2 del borrador de la IETF conocido como 8210bis.
Los límites que el historial no tapa
La página de errata de 8.0 tenía cuatro parches el mismo 20 de octubre. Tres son de seguridad: una actualización de nsd(8) a la versión 4.15.3 que arrastra cuatro CVE, varios fallos de video(4) que podían provocar use-after-free y corrupción de memoria del kernel, y un desbordamiento de heap que el comunicado describe como disparable de forma remota. Este último merece precisión, porque solo afecta a amd64 con AES-NI y a octeon con coprocesador criptográfico, y solo con IPsec y AES-GMAC. AES-GCM no está afectado.
Ese matiz importa para leer la frase de los dos agujeros remotos. La cifra habla de la instalación por defecto durante más de treinta años, no de un código sin fallos, y esa configuración de IPsec no viene activada de fábrica.
En hardware el avance llega con fecha. Las notas de 8.0 mencionan solo la serie A de Arc, la DG2 de 2022, así que el soporte aparece cuatro años tarde. Loongson desaparece porque dejó de compilar con Clang 22, y sparc64 cambió de herramientas.
El escritorio existe, con Firefox 157 y LibreOffice 26.8 entre los paquetes, pero el recuento oficial de binarios deja dos arquitecturas con la cifra sin publicar, lo que significa que allí toca compilar desde ports. Las herramientas de actualización recibieron además su ración de endurecimiento: fw_update(8) verifica la firma del SHA256.sig local antes de fiarse de él, y pkg_add(1) dejó de buscar en el directorio actual.
Lo que OpenBSD sigue enseñando a Linux
La comparación con Linux suele plantearse mal, como un pulso entre dos kernels. La diferencia está en quién responde del código: Linux reparte la revisión entre mantenedores de subsistema y distribuciones, mientras OpenBSD mantiene un equipo de auditores que lee archivo por archivo lo que va a entrar en el árbol. Para quien administra servidores, las cinco herramientas de ciberseguridad para Linux que conviene dominar siguen siendo la lista de partida al revisar una máquina recién instalada.
Lo más valioso del proyecto nunca ha estado en su propio sistema operativo. OpenSSH, nacido en OpenBSD, es el ejemplo que el propio proyecto pone del efecto que ha tenido fuera de casa, y varias de las técnicas que aparecen en su lista de innovaciones, del W^X al aislamiento de privilegios, se han vuelto vocabulario común en otros sistemas. La paradoja de 8.0 es que la entrega se recuerde por una GPU y no por el trabajo de fontanería. Habrá que ver si la versión de dentro de seis meses mantiene el ritmo o vuelve al silencio de los parches pequeños, porque el sistema que promete dos agujeros remotos en tres décadas sigue vivo gracias a que cada entrega dedica más líneas a cerrar puertas que a abrir ventanas.
