FreeBSD 15.1: WiFi-Treiber von Linux 7.0, mehr Cloud und viel KI<\/p>\n
Das FreeBSD 15.1-RELEASE konzentriert sich vor allem auf Sicherheit, Wartung und Modernisierung: Seit Version 15.0 wurden mehr als 30 Security Advisories behoben, darunter mehrere Schwachstellen mit Remote-Code-Ausf\u00fchrung, Privilegieneskalation und Denial-of-Service-Potenzial. Eigentlich sollte FreeBSD 15.1 bereits Anfang Juni freigegeben werden. Ein merkw\u00fcrdiger Fehler, unter anderem im Zusammenhang mit Intel-Microcode-Updates, sorgte jedoch daf\u00fcr, dass FreeBSD beim Starten auf x86-Systemen abgest\u00fcrzt ist \u2013 und so musste das Release um zwei Wochen auf Mitte Juni verschoben werden. Auch die schon f\u00fcr FreeBSD 15.0 angek\u00fcndigte Funktion, KDE schon aus dem Installer heraus installieren zu k\u00f6nnen, wurde auf FreeBSD 15.2 verschoben.<\/p>\n
Weiterlesen nach der Anzeige<\/p>\n
Wie bei anderen Open-Source-Projekten auch \u00fcberfluten die neuen KI-\/LLM-gest\u00fctzten Erkennungswerkzeuge die FreeBSD-Entwickler mit Unmengen an Bugreports \u2013 zum Teil irrelevant und von Hobby-Bughuntern eingereicht. Trotzdem finden die KIs etliche Fehler, die ihren menschlichen Kollegen bislang entgangen sind. FreeBSD 15.1-RC1 enthielt daher schon eine Reihe von Sicherheitskorrekturen, die aus diesem neuen Bereich der KI-gest\u00fctzten Sicherheitsforschung stammen.<\/p>\n
Calif.io beispielsweise hat zusammen mit Partnern eine \u201eUse-after-free\u201c-Sicherheitsl\u00fccke im Kernel \u00fcber Systemaufrufe f\u00fcr Dateideskriptoren entdeckt. GLM-5.1 von Z.ai entdeckte eine fehlende Validierung in ptrace (PT_SC_REMOTE), die es nicht privilegierten lokalen Benutzern erm\u00f6glichen kann, ihre Berechtigungen auf Root zu erweitern. Weitere durch KI entdeckte Bugs w\u00e4hrend der Installation beim WLAN-Scan, Heap-\u00dcberl\u00e4ufe im Code des FUSE-Dateisystems oder eine fehlerhafte Manipulation der libcap_net-Einschr\u00e4nkungsliste mussten gefixt werden.<\/p>\n
Neben den vielen Sicherheitsfixes hat sich dank finanzieller Unterst\u00fctzung aus Wirtschaft und Regierungen die Weiterentwicklung von FreeBSD beschleunigt. Der bisherige Tipp, \u201enur alte ThinkPads\u201c laufen mit FreeBSD problemlos, hat sich relativiert, denn im Bereich WiFi, Grafik, Audio, Stromsparfunktionen und dem Installer hat sich im Zuge von FreeBSD 15 und jetzt 15.1 viel getan. Auch moderne oder aktuelle Notebook- oder Desktop-Hardware l\u00e4uft nun \u00fcberraschend gut unter FreeBSD. F\u00fcr mehr Komfort sorgen das verbesserte Firmware-Tool fwget(8) und deutlich erweiterte Manualpages.<\/p>\n
Unter der Haube: Scheduler-Tuning und neue Treiber<\/p>\n
FreeBSD 15.1 erh\u00e4lt ein neues Framework zur Auswahl von CPU-Schedulern, mit dem sich verschiedene Scheduler bereits beim Systemstart per Tunable aktivieren lassen und das als Grundlage f\u00fcr k\u00fcnftige Scheduler-Implementierungen dient. Zudem wurde der bisherige Standard-Scheduler ULE als eigenst\u00e4ndige Instanz umgesetzt. In der GENERIC-Kernelkonfiguration f\u00fcr amd64 sind nun sowohl SCHED_ULE als auch SCHED_4BSD enthalten<\/a>, sodass Nutzer per kern.sched zwischen beiden Varianten w\u00e4hlen k\u00f6nnen.<\/p>\n Bei den Treibern erweitert FreeBSD 15.1 vor allem die Unterst\u00fctzung f\u00fcr aktuelle Server-, Netzwerk- und Cloud-Hardware. Neu hinzugekommen sind unter anderem Support f\u00fcr Intel-WLAN-Chips der AX210\/AX211\/AX411-Serie, Intel-E835-Netzwerkadapter, zus\u00e4tzliche Intel-QAT-Beschleuniger sowie NVMe-Controller in Google-Cloud-Instanzen.<\/p>\n Weiterlesen nach der Anzeige<\/p>\n Auch Raspberry-Pi-Systeme profitieren von Verbesserungen: FreeBSD unterst\u00fctzt nun den VirtGPIO-Controller bestimmter Modelle und behebt Probleme bei der USB-Initialisierung des Raspberry Pi 400. Zudem wurde der ENA-Netzwerktreiber f\u00fcr Amazons EC2-Umgebungen aktualisiert, was bei der Verarbeitung gro\u00dfer Pakete laut Projekt eine mehr als zehnfache Steigerung des Datendurchsatzes erm\u00f6glichen kann.<\/p>\n Schneller Scrub bei OpenZFS und mehr NFS-Kompatibilit\u00e4t<\/p>\n Auch OpenZFS erh\u00e4lt mehrere Leistungsverbesserungen<\/a>. K\u00fcrzere Mindestlaufzeiten f\u00fcr Scrub- und Resilver-Vorg\u00e4nge erm\u00f6glichen schnellere Transaktionszyklen auf modernen Speichersystemen und k\u00f6nnen die Schreibleistung unter hoher Last steigern.<\/p>\n Dar\u00fcber hinaus reduziert ein neuer ARC-Tuning-Parameter die Sperrkonflikte beim Freigeben von Cache-Inhalten und erh\u00f6ht so den Datendurchsatz bei bestimmten Workloads. Zudem wurde der zpool-Prefetch f\u00fcr Metadaten erweitert, was die Performance von Block-Klonen und das Freigeben geklonter Datenbl\u00f6cke beschleunigen soll.<\/p>\n Im Bereich NFS verbessert FreeBSD 15.1 die Kompatibilit\u00e4t und Unterst\u00fctzung f\u00fcr disklose Systeme. Der NFS-Client geht nun korrekt mit gro\u00df-\/kleinschreibungsunabh\u00e4ngigen Dateisystemen um<\/a>, w\u00e4hrend NFSv4-Installationen erstmals ein Root-Dateisystem direkt \u00fcber das Netzwerk bereitstellen und dabei auch Namens- und ID-Zuordnungen \u00fcber nfsuserd unterst\u00fctzen k\u00f6nnen.<\/p>\n Zudem wurde die Interoperabilit\u00e4t mit Windows-NFS-Clients verbessert, und die Implementierung enth\u00e4lt bereits die technischen Grundlagen f\u00fcr eine k\u00fcnftige Unterst\u00fctzung erweiterter POSIX-ACLs auf Basis von NFSv4.2. Auch iSCSI verh\u00e4lt sich wieder RFC-konform und behandelt Target-Namen bei der Anmeldung unabh\u00e4ngig von der Gro\u00df- und Kleinschreibung.<\/p>\n Oracle-Cloud Images (OCI) fliegen mangels Support raus<\/p>\n Im Cloud-Umfeld verbessert FreeBSD 15.1 vor allem die Wartbarkeit und Performance von Instanzen. Cloud- und VM-Abbilder mit paketbasiertem Basissystem enthalten nun standardm\u00e4\u00dfig pkg, zudem k\u00f6nnen Basis-Pakete bei der ersten Inbetriebnahme automatisch auf den aktuellen Stand gebracht werden.<\/p>\n F\u00fcr Amazon-EC2-Instanzen mit Graviton-Prozessoren wurde die Netzwerkleistung durch eine bessere Verteilung der ENA-Interrupts auf mehrere CPU-Kerne erh\u00f6ht. Dar\u00fcber hinaus wurden die Google-Cloud-Abbilder eindeutiger benannt, w\u00e4hrend die Unterst\u00fctzung f\u00fcr Oracle Cloud Infrastructure eingestellt wurde<\/a>. Die letzten offiziellen OCI-Images basieren auf FreeBSD 15.0.<\/p>\n PCI-Passthrough in Jails und bis zu 32.768 APIC-IDs<\/p>\n Bei der Virtualisierung erweitert FreeBSD 15.1 insbesondere die M\u00f6glichkeiten von bhyve und verbessert die Unterst\u00fctzung moderner ARM- und Cloud-Plattformen. So l\u00e4sst sich der PCI-Passthrough-Zugriff in Jails nun gezielt \u00fcber eine neue Konfigurationsoption freigeben, w\u00e4hrend bhyve dank Unterst\u00fctzung f\u00fcr Unix-Domain-Sockets auch in netzwerklosen Jails eine grafische Konsole bereitstellen kann.<\/p>\n Dar\u00fcber hinaus wurde die Virtualisierungsunterst\u00fctzung auf arm64 durch die Unterst\u00fctzung der Fine-Grained-Trap-Register ausgebaut. Weitere Neuerungen umfassen die Grafikunterst\u00fctzung f\u00fcr Parallels Desktop \u00fcber den Virtio-GPU-Treiber sowie Verbesserungen f\u00fcr gro\u00dfe Cloud-Instanzen, darunter die Unterst\u00fctzung von bis zu 32.768 APIC-IDs auf amd64-Systemen.<\/p>\n Effizientere Firewall und mehr Privatsph\u00e4re bei IPv6<\/p>\n FreeBSD hat \u2013 gesponsort durch Yandex LLC \u2013 die ipfw(8) Firewall um eine m\u00e4chtige Funktion erweitert: Die Unterst\u00fctzung von maskierten IP-Adress-Suchen in Tabellen, sogenannte \u201emasked lookups\u201c<\/a>. Diese Neuerung l\u00f6st ein altes Problem und erm\u00f6glicht es, Firewall-Regeln deutlich effizienter zu gestalten. Bisher konnten ipfw-Tabellen nur zusammenh\u00e4ngende Netzpr\u00e4fixe (wie 192.168.0.0\/16) speichern. Wer bestimmte Bits einer IP-Adresse ignorieren wollte, etwa um alle Adressen mit identischem ersten Byte zu erfassen, musste viele Einzelregeln schreiben. Beim neuen Tabellen-Lookup l\u00e4sst sich nun eine Bitmaske angeben. Dadurch lassen sich Adressen nach frei definierbaren Bitmustern gruppieren, viele Firewall-Regeln in wenige Tabelleneintr\u00e4ge zusammenfassen und Paketvergleiche durch einfache Bitoperationen durchf\u00fchren \u2013 was nebenbei deutlich weniger CPU-Last erzeugt.<\/p>\n Der Code f\u00fcr die Kompatibilit\u00e4t zu ipfw(8) Version 3 (FreeBSD 8 und \u00e4lter) wurde entfernt und ipfw(8) so etwas schlanker.<\/p>\n Finanziert durch OPNsense und Klara Inc. wurden Divert-Sockets auf IPv6 angepasst<\/a>. Die \u00c4nderung hebt eine alte Einschr\u00e4nkung auf: Divert-Socket-Anwendungen k\u00f6nnen nun neben IPv4- auch IPv6-Pakete empfangen, analysieren, ver\u00e4ndern und wieder in den Netzwerk-Stack einspeisen. Dadurch lassen sich bestehende ipfw-basierte Netzwerkwerkzeuge vollst\u00e4ndig f\u00fcr IPv4 und IPv6 einsetzen.<\/p>\n FreeBSD kann jetzt IPv6-Adressen nach RFC 7217 erzeugen, anstatt wie bisher oft einen Interface-Identifier zu verwenden, der direkt aus der MAC-Adresse abgeleitet wird (EUI-64). Bei klassischem IPv6-SLAAC (Stateless Address Autoconfiguration) wurde h\u00e4ufig die MAC-Adresse in die IPv6-Adresse eingebaut, womit sich Anonymit\u00e4t oder Datenschutz leicht aushebeln lassen. RFC 7217 erzeugt den Host-Teil der IPv6-Adresse aus einem kryptographischen Hash statt aus der MAC-Adresse. Die Funktion ist in FreeBSD 15.1 vorhanden, aber standardm\u00e4\u00dfig deaktiviert, damit bestehende Systeme ihr bisheriges Verhalten behalten. Damit erh\u00e4lt FreeBSD 15.1 eine moderne und datenschutzfreundlichere Methode zur Erzeugung von SLAAC-IPv6-Adressen<\/a>, ohne die Vorteile stabiler Adressen zu verlieren.<\/p>\n Wireless-Networking bei Notebooks (fast) auf Linux-7.0-Niveau<\/p>\n Dank Bjoern A. Zeeb f\u00fchlt sich FreeBSD 15.1 in WiFi-Netzwerken wesentlich wohler. Der FreeBSD-Entwickler hat gleich mehrere WiFi-Treiber auf den Stand von Linux 7.0 gebracht: iwlwifi(4) f\u00fcr die weit verbreiteten Intel IEEE 802.11a\/b\/g\/n\/ac\/ax\/be-Chips\u00e4tze, rtw89(4) f\u00fcr Realtek IEEE 802.11ax- und rtw88(4) f\u00fcr Realtek IEEE 802.11n\/ac-Chips. Bei einigen Realtek-Chips\u00e4tzen muss man nach wie vor mit Problemen rechnen. \u00c4ltere Intel-Chips\u00e4tze, die iwlwifi(4) nicht unterst\u00fctzt, laufen mit dem iwn(4)-Treiber.<\/p>\n F\u00fcr die RISC-V-Architektur gibt es eine grundlegende Unterst\u00fctzung f\u00fcr LinuxKPI-basierte WiFi-Treiber, allen voran iwlwifi(4). Da ACPI auf RISC-V noch nicht komplett implementiert ist, l\u00e4uft WiFi hier nicht in allen F\u00e4llen reibungslos.<\/p>\n Laptop Integration Testing hilft \u2013 und sammelt Seriennummern<\/p>\n Das Ende 2024 auf den Weg gebrachte \u201eLaptop Support and Usability Project\u201c<\/a> soll dabei helfen, die bis dahin vorsichtig ausgedr\u00fcckt leicht defizit\u00e4re Hardware-Unterst\u00fctzung von FreeBSD f\u00fcr Notebooks zu verbessern. Gef\u00f6rdert wird das Projekt mit immerhin 750.000 US-Dollar, wovon 500.000 Dollar von der FreeBSD Foundation und 250.000 Dollar von Quantum Leap Research kommen. Das US-Forschungsunternehmen ist spezialisiert auf die Entwicklung und Anwendung von Technologien unter anderem f\u00fcr die nationale Sicherheit des Landes. Die zust\u00e4ndige Program Managerin der FreeBSD Foundation ist Alice Sowerby, die es bereits schaffte, die 686.400 Euro vom Sovereign Tech Fund (jetzt Sovereign Tech Agency) und 137.500 US-Dollar von der Initiative Alpha-Omega f\u00fcr einen Audit unter Dach und Fach zu bringen.<\/p>\n Geld und Know-how sollten damit ausreichend vorhanden sein, um FreeBSD im Bereich Sicherheit und f\u00fcr die Nutzung auf moderner und mobiler Hardware deutlich zu verbessern. Anwender k\u00f6nnen helfen, indem sie ihre (Notebook-)Hardware durch hw-probe<\/a> analysieren lassen und alle Daten an das Testing-Projekt schicken, was den Entwicklern enorm helfen kann. Vorsicht ist bei sensibler Hardware geboten, denn in einigen Log-Dateien werden MAC- und Seriennummern zwar ausgeblendet, in anderen wie beispielsweise \u201egeom\u201c und \u201esmartctl\u201c stehen jedoch die vollst\u00e4ndigen Seriennummern aller Datentr\u00e4ger.<\/p>\n Die Hardware-Details einer erfolgreichen Installation aller m\u00f6glichen BSDs (und GNU\/Linux) werden \u00fcbrigens schon seit langem auf \u201eHardware for FreeBSD\u201c<\/a> gesammelt, um Anwendern die M\u00f6glichkeit zu geben, die Kompatibilit\u00e4t einzelner Komponenten oder Ger\u00e4te vor einer Installation zu pr\u00fcfen.<\/p>\n Fehlersuche mit KI, aber Fixes von Menschen<\/p>\n Finanziert wiederum von Alpha-Omega hat die FreeBSD Foundation das \u201eFreeBSD AI-Assisted Vulnerability Discovery Project\u201c<\/a> geschaffen. Ziel des auf sechs Monate angelegten Vorhabens ist es, die Zahl potenziell ausnutzbarer Sicherheitsl\u00fccken im FreeBSD-Quellcode zu reduzieren. Mit den bereitgestellten Mitteln werden Mitglieder des FreeBSD Security Teams zeitlich befristet besch\u00e4ftigt, um den Quellcode systematisch auf Schwachstellen zu untersuchen, Sicherheitsprobleme zu analysieren und entsprechende Korrekturen vorzubereiten. Dabei kommt k\u00fcnstliche Intelligenz ausschlie\u00dflich zur Unterst\u00fctzung bei der Identifikation und Bewertung m\u00f6glicher Sicherheitsl\u00fccken zum Einsatz. Die daf\u00fcr ben\u00f6tigten Zug\u00e4nge zu \u00f6ffentlich verf\u00fcgbaren KI-Modellen und die erforderlichen Nutzungskontingente werden den Projektbeteiligten kostenfrei bereitgestellt.<\/p>\n Wichtig: Die Entwicklung und Pr\u00fcfung von Patches erfolgt weiterhin vollst\u00e4ndig durch Menschen. KI-generierter Code soll nicht direkt in FreeBSD \u00fcbernommen werden. Stattdessen dient die Technologie als Werkzeug, um bislang unentdeckte Schwachstellen schneller aufzusp\u00fcren. Neben einigen Sicherheitsexperten mit Zugang zu Claude Mythos Preview durch Project Glasswing haben sich unter anderem Netflix, NetApp, Verisign und andere bereit erkl\u00e4rt, beim Ausmerzen der gefundenen Fehler zu helfen.<\/p>\n Manchmal \u00fcberhastet: Abschied von alter Technik<\/p>\n Beim Rauswerfen von Code f\u00fcr vermeintlich unn\u00fctze 32-Bit-Prozessoren sind die Entwickler in ihrem Eifer \u00fcber das Ziel hinweg geschossen und haben padlock_rng entfernt. Die Funktion benutzte die urspr\u00fcnglich von VIA in ihren Centaur-CPUs vorgestellten hardware-beschleunigten Instruktionen f\u00fcr einen Zufallszahlengenerator (RNG), Advanced Encryption Standard (AES), SHA-1, SHA256 und Montgomery Modular Multiplication. Doch auch 64-Bit-Prozessoren wie der Via Nano, der Nano X2 und einige Zhaoxin-CPUs (in chinesischen Laptops oder NAS wie dem QNAP TVS-675) verwenden diese Optimierungen, so dass die Entwickler die L\u00f6schung r\u00fcckgangig machten<\/a>.<\/p>\n So langsam m\u00fcssen sich Freunde klassischer PC-Hardware allerdings zumindest bei FreeBSD von ihren Diskettenlaufwerken und Grafikkarten f\u00fcr den Accelerated Graphics Port (AGP) verabschieden. Der agp(4)- und der fdc(4)-Treiber (Floppy Disk Controller) wurden als veraltet (deprecated) gekennzeichnet und sollen mit FreeBSD 16.0 entfernt werden. Das wird auch alle \u201efd-Tools\u201c (fdcontrol(8), fdformat(8), fdread(1), fdwrite(1)) betreffen.<\/p>\n Achtung bei der Installation: Ab sofort nur noch sh(1) statt csh(1)<\/p>\n Nachdem die Standardshell des root-Benutzers bereits von csh(1) auf das mehr POSIX-konforme sh(1) umgestellt wurde, werden mit FreeBSD 15.1 auch der Benutzer \u201efreebsd\u201c und \u201evagrant\u201c standardm\u00e4\u00dfig auf sh(1) umgestellt<\/a>. Die Installation von FreeBSD 15.1 l\u00e4sst sich so ein wenig einfacher in typische Automatisierungs- und Infrastruktur-Tools (Cloud-Images, Vagrant, CI\/CD, Container) integrieren. Eigene Skripte, die Funktionen der csh(1) nutzen, m\u00fcssen angepasst werden:<\/p>\n setenv VAR value # csh Zu guter Letzt k\u00f6nnen FreeBSD-Anwender mit einem Faible f\u00fcr \u00c4sthetik nun neben einer Grafik beim Start (Splash-Screen) auch eine Grafik beim Herunterfahren genie\u00dfen. Die loader.conf(5) muss dazu folgendes enthalten:<\/p>\n splash=»\/boot\/images\/freebsd-start.png» Updates manchmal problematisch und eine \u201eweitl\u00e4ufige\u201c neue Projektseite<\/p>\n FreeBSD 15.1 ist erst ein paar Stunden verf\u00fcgbar, aber bei ersten Updates von FreeBSD 15.0 auf 15.1 kommt es \u2013 wie schon bei Version 14 \u2013 im Zusammenhang mit speziellen Kernelmodulen manchmal zu Problemen. Gerade die vorherige GPU-Firmware und die drm-kmod-Treiber m\u00fcssen eventuell von Hand deinstalliert und nach dem Update neu installiert werden. Die Entwickler werden dazu sicherlich in K\u00fcrze etwas auf der Errata-Seite<\/a> ver\u00f6ffentlichen.<\/p>\n Die Webseite des FreeBSD-Projektes wurde modernisiert. Bei dem alten Design konnte man direkt, kompakt und auf einen Blick alle wichtigen Links sehen und anklicken. Das neue Design ben\u00f6tigt ein gut ge\u00f6ltes Mausrad, denn es besteht \u00fcberwiegend aus Whitespaces und einem toten, rosa Werbeblock f\u00fcr die Funktionen von FreeBSD. Wer nicht amd64 oder aarch64 einsetzt, kommt \u00fcber das unscheinbare \u201eother\u201c zu den altbekannten Downloads.<\/p>\n Alle Neuerungen von FreeBSD 15.1 beschreiben die Entwickler in den Release Notes<\/a>. Das unter der freien BSD-Lizenz stehende quelloffene FreeBSD 15.1 ist ab sofort kostenlos \u00fcber die neu gestaltete Projektseite<\/a> f\u00fcr die Hardware-Plattformen amd64, aarch64, armv7, powerpc64\/le und riscv64 erh\u00e4ltlich.<\/p>\n
export VAR=value # sh\/bash<\/p>\n
shutdown_splash=»\/boot\/images\/freebsd-shutdown.png»
boot_mute=»YES»<\/p>\n