OpenBSD

OpenBSD ist ein auf Unix basierendes Betriebssystem. Aufgrund seiner hohen Sicherheit eignet es sich besonders für Webserver.

OpenBSD kann man sich entweder kostenlos (legal) downloaden, oder als 3-CD-Pack bestellen.

Aktuelles

• Am 19. Mai 2010 erscheint OpenBSD 4.7.

Slogan

"World class security for much less than the price of a cruise missile"

"Only one remote hole in the default install, in more than 7 years!"

Software

Alle für den Betrieb eines Webservers wichtigen Programme und Dienste sind für OpenBSD verfügbar: Apache, nginx, PHP, MySQL, Postfix, FTP, SSH, vi und vieles mehr.

Über das für Unix-Systeme übliche manpage (Manual Page) System kann jederzeit zu verschiedenen Programmen Hilfe aufgerufen werden. Dazu tippt man in der Shell man + Programm, zum Beispiel man vi, um die manpage für den Editor vi aufzurufen.

Um einen OpenBSD-Server von Windows XP oder Windows 7 aus zu steuern, kann man das Programm PuTTY benutzen.

Installation

Um den Kernel zu booten, der die Installation ermöglicht, muss eine Bootdiskette, bzw. CD-R her.

Um die Dateien für die CD zu bekommen, begebe Dich nach ftp.openbsd.org/pub/OpenBSD/3.2 (in ftp.openbsd.org/pub/OpenBSD/ findest Du die aktuelle Version, die sicher höher als 3.2 ist). In diesem Beispiel gehe ich von der i386 Architektur aus, was bedeutet, dass wir uns (oh Wunder) die Dateien in ftp.openbsd.org/pub/OpenBSD/3.2/i386/ greifen.

Um die Struktur zu erzeugen, die wir auf der CD brauchen, machen wir einen Ordner OpenBSD:

mkdir OpenBSD

In diesen Ordner kommt ein Unterverzeichnis 3.2 (oder wasauchimmer Du Dir für eine Version besorgt hast):

mkdir OpenBSD/3.2

Und in 3.2 packen wir einen Ordner der i368 heisst rein:

mkdir OpenBSD/3.2/i386

In den Ordner OpenBSD/3.2/i386 kommen, wie unschwer zu vermuten ist, die Dateien aus ftp.openbsd.org/pub/OpenBSD/3.2/i386/, was im einzelnen folgende Dateien sind:

CKSUM
INSTALL.ata
INSTALL.chs
INSTALL.dbr
INSTALL.i386
INSTALL.linux
INSTALL.mbr
INSTAL.os3br
INSTALL.pt
MD5
base32.tgz
bsd
bsd.rd
cdrom32.fs
comp32.tgz
etc32.tgz
floppy32.fs
floppyB32.fs
floppyC32.fs
game32.tgz
index.txt
man32.tgz
misc32.tgz
xbase32.tgz
xfont32.tgz
xserv32.tgz
xshare32.tgz

Dann machen wir von dem ganzen Krempel ein ISO Image:

mkisofs -r -b 3.2/i386/cdrom32.fs -c "boot.catalog" -o OpenBSD.iso OpenBSD

Und das Ganze kann dann mit dem Programm Deiner Wahl gebrannt werden.

Dann den Rechner rebooten, im BIOS gegebenfalls CDROM als First Boot Device eingeben und OpenBSD installieren.

Sicherheit

SSH

Es empfiehlt sich sshd auf einen höheren, nicht-standard Port zu legen, also statt 22 z.B. auf 31697. Dazu ändert man den Port in /etc/ssh/ssh_config und sshd_config und nimmt gegebenenfalls das Kommentarzeichen # davor weg:

vi /etc/ssh/ssh_config
:w
vi /etc/ssh/sshd_config
:w

Anschließend started man sshd neu:

kill -HUP `cat /var/run/sshd.pid`
/usr/sbin/sshd

Angreifer probieren gerne ihre Angriffe auf Standard-Ports, z.B. durch Login-Versuche gängiger Benutzernamen, wie root, john, test, oracle, die zu einem DoS führen können. Derartige Angriffe findet man in der Datei /var/log/authlog.

Ist der Port geändert, bekommt der Angreifer beim Versuch auf Port 22 zu verbinden den Fehler "Network error: Connection refused".

Upgrade

Beim Upgrade sollten keine Releases übersprungen werden, also kein Upgrade von 4.9 auf 5.1 gemacht werden, sondern erst auf 5.0, dann auf 5.1.

Backup von wichtigen Daten machen, z. B. Datenbanken.

cd /usr

ftp domain.com

cd /pub/OpenBSD/5.0

mget -r amd64 (oder für welche Architektur auch immer; install50.iso muss nicht runtergeladen werden)

mv amd64 rel

export RELEASEPATH=/usr/rel

cd ${RELEASEPATH}

rm /obsd ; ln /bsd /obsd && cp bsd.mp /nbsd && mv /nbsd /bsd

cp bsd.rd /

cp bsd /bsd.sp

cp /sbin/reboot /sbin/oreboot

tar -C / -xzphf xserv50.tgz

tar -C / -xzphf xfont50.tgz

tar -C / -xzphf xshare50.tgz

tar -C / -xzphf xbase50.tgz

tar -C / -xzphf game50.tgz

tar -C / -xzphf comp50.tgz

tar -C / -xzphf man50.tgz

tar -C / -xzphf base50.tgz

/sbin/oreboot

Nachdem der Server wieder hochgefahren ist:

cd /dev

./MAKEDEV all

export RELEASEPATH=/usr/rel

sysmerge -s $RELEASEPATH/etc50.tgz -x $RELEASEPATH/xetc50.tgz

reboot

rm /etc/security

rm -rf /etc/X11/xkb

rm -rf /usr/lib/gcc-lib/$(arch -s)-unknown-openbsd4.?

rm -rf /usr/bin/perl5.10.1

rm -rf /usr/libdata/perl5/$(arch -s)-openbsd/5.10.1

Anschließend müssen die Packages aktualisiert werden.

pkg_add -ui

Weblinks

• OpenBSD Produkte bestellen
• Offizielle Website