OpenBSD қауіпсіздік мүмкіндіктері

Кіріспе

OpenBSD операциялық жүйесінде қолданылатын қауіпсіздік мүмкіндіктері

OpenBSD операциялық жүйесі қауіпсіздікке және қауіпсіздік мүмкіндіктерін дамытуға бағытталған. Автор Майкл В. Лукастың айтуынша, OpenBSD "кез келген лицензиялық шарттар бойынша қол жетімді ең қауіпсіз операциялық жүйе деп кеңінен мойындалған".

API және құрастыру өзгерістері

Багтар мен қауіпсіздік кемшіліктері көбінесе бағдарламашылардың қателіктерінен туындайды. Қателердің кең таралған себебі – C бағдарламалау тіліндегі strcpy және strcat жол функцияларын дұрыс пайдаланбау. strncpy және strncat екі таралған баламасы бар, бірақ оларды түсіну қиын және оларды қате қолдану оңай, сондықтан OpenBSD әзірлеушілері Тодд К. Миллер мен Тео де Раадт strlcpy және strlcat функцияларын жасады. Бұл функциялар бағдарламашыларға буферлерді толық емес қалдыруға немесе олардың шегінен асып кетуіне мүмкіндік бермеуді қиындатуға арналған. Олар NetBSD және FreeBSD жобаларында қабылданды, бірақ GNU C кітапханасында қолданылмады. OpenBSD жүйесінде, strcpy, strcat немесе sprintf сияқты қауіпсіз емес жолдармен жұмыс істейтін функциялар табылғанда ескерту шығару үшін байланыстырғыш өзгертілді. OpenBSD кодындағы осы функциялардың барлық нұсқалары ауыстырылды. Сонымен қатар, компиляция кезінде басқа да кең таралған бағдарламалау қателіктерін анықтау үшін OpenBSD-ге статикалық шекара тексеру құралы қосылды. OpenBSD жобасымен әзірленген қауіпсіздікке қатысты басқа API-лер issetugid және arc4random.

Ядроны кездейсоқ таңдау

2017 жылдың маусым айындағы электрондық хатында Тео де Радт тұрақты жүйелердің бір кемшілігі – олардың бірнеше ай бойы үздіксіз жұмыс істеу мүмкіндігі екенін айтты. Ядрода кең ауқымды кездейсоқтық болғанымен, кейбір маңызды адрестер өзгермейді. Ағымдағы жоба сілтеу құралын (linker) өзгертеді, осылайша әр қосылғанда ядро да, басқа кездейсоқтықтар да қайтадан сілтеленеді. Бұл ядролық ASLR-дан (Address Space Layout Randomization) өзгеше; электрондық хатында ол «Нәтижесінде, әрбір жаңа ядро бірегей болады. Функциялар мен деректер арасындағы салыстырмалы арақашықтықтар бірегей. [Ағымдағы] өзгеріс – әр қайта жүктеуде жаңадан сілтелген ядроны қосуды қамтамасыз ететін негізгі құрылым, осылайша жаңа кездейсоқ ядро құрастырылады. Жылдам машинада бұл секундтан да аз уақыт алады. Қайта жүктеу жаңа ядроны іске қосады, ал келесі қосылу үшін тағы бір ядро құрылады. Ядро ішіндегі функциялар арасындағы айырмашылықтар шабуылшы күткендей болмайды, сондықтан оған жақсы ақпаратты алу қажет болады».

Жадыны қорғау

OpenBSD операциялық жүйесі буфер асып кету немесе бүтін сандар асып кету сияқты шабуылдардан қорғауға көмектесетін бірнеше технологияларды біріктіреді. ProPolice – Хироаки Этох әзірлеген GCC кеңейтімі. Ол қолданбаларды стек-смашинг шабуылдарынан қорғау үшін жасалған. Ол мұны бірқатар операциялар арқылы жасайды: жергілікті стек айнымалылары буферлерді көрсеткіштерден кейін орналастыру үшін қайта реттеледі, осылайша буфер асып кету жағдайында олардың зақымдануынан қорғалады; функция аргументтерінің көрсеткіштері жергілікті буферлерден бұрын орналастырылады; және жергілікті буферлерден кейін «канар» мәні орналастырылады, ол функция аяқталған кезде кейде буфер асып кетуін анықтау үшін пайдаланылуы мүмкін. ProPolice автоматты эвристикалық әдістерге негізделген буферді қорғауды немесе қорғамауды таңдайды, бұл оның осалдығын бағалайды және қорғаудың жалпы өнімділік шығынын азайтады. Ол 2002 жылдың желтоқсанында OpenBSD GCC нұсқасына енгізілді және алғаш рет OpenBSD 3.3 нұсқасында қолжетімді болды; ол 3.4 нұсқасында ядроға қолданылды. Кеңейту OpenBSD қолдайтын барлық процессор архитектураларында жұмыс істейді және әдепкі бойынша қосылған, сондықтан кез келген C коды пайдаланушының араласуынсыз қорғалады. 2004 жылдың мамыр айында OpenBSD SPARC платформасында StackGhost түрінде қосымша стек қорғанысын алды. Бұл буфер асып кетуді пайдалануды болдырмауға көмектесетін SPARC архитектурасының мүмкіндіктерін пайдаланады. SPARC64 қолдауы 2005 жылдың наурыз айында қосылды. OpenBSD 3.4 W^X енгізді, бұл жадты басқару схемасы жадтың жазуға немесе орындалуға болатындығын, бірақ ешқашан екеуін де қамтамасыз етпейтінін қамтамасыз етеді, бұл буфер асып кетуінен қорғанудың тағы бір қабатын ұсынады. Бұл x86 64 сияқты платформада іске асыру оңай болғанымен, OpenBSD – жалпы i386 платформасында осы мүмкіндікті қолдайтын санаулы операциялық жүйелердің бірі, себебі ол парақ бойынша орындалу бақылауларына ие емес. 3.8 нұсқасының даму кезеңінде malloc жадты басқару функцияларына өзгерістер енгізілді. Әдеттегі Unix операциялық жүйелерінде malloc Unix дерек сегментін кеңейту арқылы көбірек жадты бөледі, бұл практика қауіпсіздік проблемаларына қарсы күшті қорғанысты іске асыруды қиындатады. OpenBSD-дегі malloc іске асырылуы mmap жүйелік шақыруын пайдаланады, ол кездейсоқ жад мекенжайларын қайтарады және әртүрлі аймақтар бір-бірімен қатар карталанбауын қамтамасыз етеді. Сонымен қатар, ортақ аймақтардағы кіші блоктарды бөлу енді кездейсоқ болып табылады және free функциясы жадты процеске картаға түсірудің орнына ядроға дереу қайтару үшін өзгертілді. Дамуға көмектесу үшін қосымша, міндетті емес тексерулер де қосылды. Бұл мүмкіндіктер бағдарламалық қателерді анықтауды жеңілдетеді және оларды пайдалануды қиындатады: жад зақымдалған немесе жарамсыз кіру назарда қалмайтын орнына, олар көбінесе сегментация қатесіне және процестің тоқтатылуына әкеледі. Бұл OpenBSD 3.8-де жұмыс істейтін бағдарламалық жасақтамамен, әсіресе буфердің басынан немесе соңынан тыс мәліметтерді оқумен байланысты бірнеше мәселелерді анықтады, бұл бұрын тікелей анықталмайтын, бірақ енді қате тудыруы мүмкін қате түрі. Бұл мүмкіндіктерді іске асыру үш жылдан астам уақыт алды, бірақ өнімділікке елеулі әсер етпеді.

OpenBSD integrates several technologies to help protect the operating system from attacks such as buffer overflows or integer overflows. Developed by Hiroaki Etoh, ProPolice is a GCC extension designed to protect applications from stack smashing attacks. It does this through a number of operations: local stack variables are reordered to place buffers after pointers, protecting them from corruption in case of a buffer overflow; pointers from function arguments are also placed before local buffers; and a canary value is placed after local buffers which, when the function exits, can sometimes be used to detect buffer overflows. ProPolice chooses whether or not to protect a buffer based on automatic heuristics which judge how vulnerable it is, reducing the performance overhead of the protection. It was integrated in OpenBSD's version GCC in December 2002, and first made available in OpenBSD 3.3; it was applied to the kernel in release 3.4. The extension works on all the CPU architectures supported by OpenBSD and is enabled by default, so any C code compiled will be protected without user intervention. In May 2004, OpenBSD on the SPARC platform received further stack protection in the form of StackGhost. This makes use of features of the SPARC architecture to help prevent exploitation of buffer overflows. Support for SPARC64 was added to in March 2005. OpenBSD 3.4 introduced W^X, a memory management scheme to ensure that memory is either writable or executable, but never both, which provides another layer of protection against buffer overflows. While this is relatively easy to implement on a platform like x86 64, which has hardware support for the NX bit, OpenBSD is one of the few OSes to support this on the generic i386 platform, which lacks built in per page execute controls. During the development cycle of the 3.8 release, changes were made to the malloc memory management functions. In traditional Unix operating systems, malloc allocates more memory by extending the Unix data segment, a practice that has made it difficult to implement strong protection against security problems. The malloc implementation now in OpenBSD makes use of the mmap system call, which was modified so that it returns random memory addresses and ensures that different areas are not mapped next to each other. In addition, allocation of small blocks in shared areas are now randomized and the free function was changed to return memory to the kernel immediately rather than leaving it mapped into the process. A number of additional, optional checks were also added to aid in development. These features make program bugs easier to detect and harder to exploit: instead of memory being corrupted or an invalid access being ignored, they often result in a segmentation fault and abortion of the process. This has brought to light several issues with software running on OpenBSD 3.8, particularly with programs reading beyond the start or end of a buffer, a type of bug that would previously not be detected directly but can now cause an error. These abilities took more than three years to implement without considerable performance loss.

Криптография және кездейсоқ

OpenBSD жобасының мақсаттарының бірі – негізгі операциялық жүйеге күшті криптография құралдарын және бағдарламалық жасақтаманы интеграциялау. Осы мақсатта, төменгі деңгейдегі бірқатар мүмкіндіктер ұсынылады, соның ішінде берік псевдокезеңдік сандардың көзі; криптографиялық хэш функциялары мен түрлендірулер; және криптографиялық аппараттық қолдау (OpenBSD Cryptographic Framework). Бұл мүмкіндіктер OpenBSD-де кеңінен қолданылады, соның ішінде Брюс Шнайердің Blowfish блок шифрінен алынған bcrypt парольді хэштеу алгоритмі, ол CPU-ға үлкен жүктеме түсіретін Blowfish кілт кестесін пайдаланады, бұл күш қолданып шабуыл жасауды қиындатады. OpenBSD 5.3 нұсқасында толық дискіні шифрлеу мүмкіндігі енгізілді, бірақ оны OpenBSD орнату кезінде қосу үшін пайдаланушы орнатушыдан шығып, бірнеше командаларды қолмен енгізуі қажет болды. OpenBSD 7.3 нұсқасынан бастап, орнатушы қолмен араласусыз, басшылықпен жүргізілетін процедура арқылы толық дискіні шифрлеуді қосуды қолдайды. Парольдер сияқты құпия ақпаратты дискіге ағып кетуден қорғау үшін, олар көптеген жылдар бойы сақталуы мүмкін, OpenBSD алмасу кеңістігін шифрлейді. Алмасу кеңістігі әрқайсысына жеке шифрлеу кілті тағайындалған көптеген кішкентай аймақтарға бөлінеді, кілттер кездейсоқ түрде автоматты түрде құрылады, пайдаланушыдан ешқандай кіріс талап етілмейді, толығымен жадта сақталады және гибернация кезінен басқа дискке жазылмайды. Аймақтағы деректер қажет болмай қалғанда, OpenBSD шифрлеу кілтін жояды, сол аймақтағы деректерді пайдасыз қалдыққа айналдырады. Бұл мүмкіндікті бір sysctl конфигурация параметрін пайдалану арқылы қосуға болады және алдын ала орнатуды, дискіні бөлуді немесе бөлімдерге қатысты параметрлерді өзгертуді қажет етпейді. Сонымен қатар, шифрлеу параметрлерін таңдау мүмкіндігі жоқ (мысалы, алгоритм немесе кілт ұзындығы), өйткені күшті параметрлер әрқашан қолданылады. Бұл мүмкіндіктің зияны жоқ және функционалдылығы төмендемейді, өйткені алмастырылған процестерге қол жеткізу үшін қолданылатын шифрлеу кілттері компьютердің құлауы кезінде ғана жоғалады (мысалы, қуатты жоғалту), содан кейін барлық операциялық жүйелер жадтың және алмасу кеңістігінің бұрынғы мазмұнын тастайды, және гибернация бұл мүмкіндікпен әдеттегідей жұмыс істей береді. Бұл мүмкіндік OpenBSD 3.8 (2005 жылдың қарашасында шығарылған) және одан кейінгі нұсқаларында әдепкі бойынша қосулы болады. 2022 жылға қарай OpenBSD диск шифрлаудан және пайдаланушының паролінен тәуелсіз алмасуды шифрлейтін жалғыз танымал операциялық жүйе болып қала береді. (Windows пайдаланушы интерфейсінде көрсетілмейтін конфигурация параметрлерін ауыстыруды талап етеді, ал macOS, FreeBSD және Linux негізделген барлық операциялық жүйелер алмасуды шифрлеу үшін қолданыстағы дискіні шифрлеу мүмкіндіктеріне сенеді, олар көбінесе (а) пайдаланушы қолмен қосуы керек, (б) орнатуды талап етеді (егер дискіні шифрлеу операциялық жүйені орнату кезінде таңдалмаса), бұл OpenBSD-де алмасуды шифрлеуге қарағанда қиынрақ, және (с) пайдаланушы берген парольді пайдаланады, оны пайдаланушылар есте сақтауы керек және ол әлсіз немесе болжамды болуы мүмкін немесе тіпті пайдаланушылардан алынуы мүмкін.) Желілік стек қауіпсіздікті арттыру және шабуылдаушыға пайдалы болуы мүмкін әртүрлі мәндердің болжамдылығын азайту үшін кездейсоқ пайдалануды кеңінен қолданады, соның ішінде TCP бастапқы реттілік нөмірлері мен уақыт белгілері және уақытша бастапқы порттар. Желінің тұрақтылығы мен қол жетімділігін арттыру үшін бірқатар мүмкіндіктер де қосылған, соның ішінде ICMP-мен және CARP және pfsync сияқты артық бағдарламалық қамтамасыз етумен байланысты проблемаларға қарсы шаралар. Бұл жоба 1999 жылы SSH шифрланған демоны пайдасына жай мәтіндік telnet демонын өшіруді бірінші болып жасады және IPsec сияқты басқа да интеграцияланған криптографиялық бағдарламалық қамтамасыз етуді ұсынады. Telnet демоны OpenBSD 3.8 нұсқасы шығарылғанға дейін 2005 жылы OpenBSD-ден толықтай алынып тасталды. OpenBSD жобасы файлдарды криптографиялық түрде қол қою және тексеру үшін өз пайдалы құралын, signify-ді ойлап тапты, OpenPGP және GnuPG сияқты қолданыстағы стандарттар мен бағдарламалық жасақтаманы пайдаланбады. signify құралының авторы Тед Унангст 2015 жылы OpenPGP және GnuPG туралы былай деді: "Мен бұрынғы құралдарды пайдаланғанда маған күрделілік, сапа және тағы да күрделілік алаңдатып еді". Керісінше, басқа да бос бағдарламалық жасақтаманы қолданатын операциялық жүйелер және қауіпсіздікке бағытталған бағдарламалық жасақтама шығарылымды тексеру үшін OpenPGP-ді пайдаланады, және 2022 жылға дейін осылай істей береді, соның ішінде: Debian, басқа операциялық жүйелердің негізі ретінде де қолданылатын танымал операциялық жүйе; Kali Linux, ену сынағы, қауіпсіздік зерттеулері, цифрлық криминалистика және кері инженерия үшін арналған мамандандырылған операциялық жүйе; Qubes OS, қауіпсіздікке бағытталған операциялық жүйе; Tor Browser, анонимдік веб-шолушысы; SecureDrop, журналистер мен хабар берушілердің интернет арқылы ақпаратты қауіпсіз және анонимді түрде алмасуына арналған бағдарламалық пакет; және VeraCrypt, ағымдағы шифрлеу және толық дискіні шифрлеуге арналған бағдарлама.

One of the goals of the OpenBSD project is the integration of facilities and software for strong cryptography into the core operating system. To this end, a number of low level features are provided, including a source of strong pseudo random numbers; built in cryptographic hash functions and transforms; and support for cryptographic hardware (OpenBSD Cryptographic Framework). These abilities are used throughout OpenBSD, including the bcrypt password hashing algorithm derived from Bruce Schneier's Blowfish block cipher, which takes advantage of the CPU intensive Blowfish key schedule, making brute force attacks less practical. In OpenBSD 5.3, support for full disk encryption was introduced, but enabling it during the installation of OpenBSD had required manual intervention from the user by exiting the installer and entering some commands. Starting from OpenBSD 7.3, the installer supports enabling full disk encryption using a guided procedure, not requiring manual intervention anymore. To protect sensitive information such as passwords from leaking on to disk, where they can persist for many years, OpenBSD supports encryption of swap space. The swap space is split up into many small regions that are each assigned their own encryption key, which is generated randomly and automatically with no input from the user, held entirely in memory, and never written to disk except when hibernating; as soon as the data in a region is no longer required, OpenBSD discards its encryption key, effectively transforming the data in that region into useless garbage. Toggling this feature can be done using a single sysctl configuration option, and doesn't require any prior setup, disk partitioning, or partition related settings to be done/changed; furthermore, there is no choice of encryption parameters (such as the algorithm or key length to use), as strong parameters are always used. There is no harm and no loss of functionality with this feature, because the encryption keys used to access swapped processes are only lost when the computer crashes (e. g. power loss), after which all operating systems discard the previous contents of the memory and swap anyway, and because hibernation continues to work as usual with this feature. This feature is enabled by default in OpenBSD 3.8 (released in November 2005) and later; OpenBSD, as of 2022, remains the only prominent operating system to have swap encrypted by default independently of disk encryption and its user provided password. (Windows requires toggling a configuration setting that is not presented in its user facing Control Panel and Settings apps, and other operating systems, including macOS, FreeBSD, and every Linux based operating system, rely on the existing disk encryption features to encrypt the swap, which often (a) need to be enabled by the user manually, (b) require setup (if disk encryption wasn't chosen during the operating system's installation) which is not as trivial to do as toggling swap encryption on OpenBSD, and (c) use the user provided password, which users need to remember and could be weak/guessable or even extracted out of the users.) The network stack also makes heavy use of randomization to increase security and reduce the predictability of various values that may be of use to an attacker, including TCP initial sequence numbers and timestamps, and ephemeral source ports. A number of features to increase network resilience and availability, including countermeasures for problems with ICMP and software for redundancy, such as CARP and pfsync, are also included. The project was the first to disable the plain text telnet daemon in favor of the encrypted SSH daemon, in 1999, and features other integrated cryptographic software such as IPsec. The telnet daemon was completely removed from OpenBSD in 2005 before the release of OpenBSD version 3.8. The OpenBSD project had invented their own utility for cryptographic signing and verification of files, signify, instead of using existing standards and software such as OpenPGP and GnuPG. The creator of the signify utility, Ted Unangst, wrote in 2015, speaking of OpenPGP and GnuPG: "The concerns I had using an existing tool were complexity, quality, and complexity." In contrast, other Free Software operating systems and security focused software tend to use OpenPGP for release verification, and as of 2022 continue to do so, including: Debian, a prominent operating system that's also used as a base for other operating systems, including Ubuntu; Kali Linux, a specialized operating system for penetration testing, security research, digital forensics, and reverse engineering; Qubes OS, a security focused operating system; Tor Browser, an anonymous Web browser; SecureDrop, a software package for journalists and whistleblowers to exchange information securely and anonymously over the Internet; and VeraCrypt, a software program for on the fly encryption and full disk encryption.

X11

X11 OpenBSD-де, X серверінің де, X клиенттерінің де әдетте тікелей жад немесе аппараттық құқықтары жоғарылатылмайды: X-ті Intel(4) немесе Radeon(4) драйверлерімен іске қосып жатқанда, олар әдетте негізгі аппараттықпен Тікелей Рендерингті Басқару(4) ядролық интерфейсі арқылы ғана өзара әрекеттеседі, сондықтан төменгі деңгейдегі жад/аппараттыққа қол жеткізуді тек ядро ғана басқарады. WSFB сияқты басқа драйверлер де ұқсас схеманы қолданады. Осы себепті, OpenBSD-дегі X11 кейбір басқа жүйелердегідей және бұрынғыдай, пайдаланушы/root бағдарламаларына төменгі деңгейдегі жадты немесе аппараттыққа қол жеткізуді ашпайды, бұл жағдайда пайдаланушыға machdep. allowaperture параметрін бастапқы 0 мәнінен қауіпсіз емес мәнге өзгерту қажет болатын. OpenBSD-нің X Window System (Xenocara деп аталады) нұсқасында қауіпсіздікке қатысты бірнеше өзгерістер бар. Сервер және кейбір әдепкі қолданбалар құқықтарды бөлуді пайдалану үшін түзетілген, ал OpenBSD X-тің жадқа қол жеткізуін шектеу үшін "апертура" драйверін ұсынады. Бірақ Лоик Дюфлоттың X қауіпсіздігіндегі кемшіліктер бойынша жұмысынан кейін Тео де Радт апертура драйверінің тек "біз жасай алатынымыздың ең жақсысы" екенін және X-тің "университетте естіген барлық қауіпсіздік модельдерін бұзатынын" айтты. Ол сондай-ақ X-тің жасаушыларын "10 жылдан астам уақыттан бері шешілмей келе жатқан бұл мәселені шешуге уақыттарын жұмсамағаны үшін" сынға алды. 2006 жылдың 29 қарашасында X-ті апертура драйверінсіз, бірақ өте баяу жұмыс істеуге мүмкіндік беретін VESA ядролық драйвері жасалды. 2014 жылдың 15 ақпанында X root құқықтарынсыз жұмыс істеуге мүмкіндік беру үшін тағы да өзгерістер енгізілді. X-те қауіпсіздікке қатысты осалдық табылғаннан кейін OpenBSD X-ті root пайдаланушы ретінде іске қосуды қолдамайды және тек X-ті x11 пайдаланушысы ретінде дисплей менеджері арқылы іске қосуды қолдайды.

Басқа ерекшеліктері

Артықшылықтарды бөлу, артықшылықтарды жою, chrooting және кітапханаларды кездейсоқ жүктеу жүйе қауіпсіздігін арттыруда маңызды рөл атқарады. Олардың көптегені tcpdump және Apache сияқты кең таралған бағдарламалардың OpenBSD нұсқаларына, сондай-ақ BSD аутентификация жүйесіне қолданылды. OpenBSD командасы анықталған түрлі қателер мен қауіпсіздік бұзушылықтары туралы толық мәлімет беру дәстүрін қалыптастырды. Бұл жобаның слоганымен бейнеленеді: «Бірқатар ұзақ уақыттан бері әдепкі орнатуда тек екі алыс қашықтықтағы осал орын бар!» OpenBSD әдепкі бойынша қауіпсіз болуға тиіс, бұл барлық қажетсіз қызметтердің әдепкі бойынша өшірілуін қамтиды (бірақ оған шектелмейді). Бұл OpenBSD орнатылғаннан кейін пайдаланушылардан компьютерлерін қорғауды үйренуге және оған уақыт жұмсауға мәжбүрлемеу үшін жасалады, сонымен қатар пайдаланушылардың қауіпсіздік мәселелеріне көбірек мән беруін қамтамасыз ету мақсатында, олардың қауіпсіздігін төмендетуі мүмкін мүмкіндіктерді қосу үшін саналы шешімдер қабылдауларын талап етеді. OpenBSD 5.9 сол кездегі жаңа pledge жүйелік шақыруын қолдауды қамтыды (OpenBSD 5.8-де tame ретінде енгізілген және 5.9-да pledge деп қайта аталды), процестің мүмкіндіктерін дұрыс жұмыс істеуі үшін қажетті ең аз жиынтыққа шектеу үшін. Егер процесс бұзылып, күтпеген әрекеттерді орындауға тырысса, ол ядромен тоқтатылады. OpenBSD 6.4 файлдық жүйенің көрінуін ең төменгі деңгейге шектеу үшін unveil жүйелік шақыруын енгізді. Pledge және unveil қосымшаларды шектеу үшін бірге қолданылады, олар пайдаланушы тіркелгісі ретінде жұмыс істеген кезде рұқсат етілген нәрсені одан әрі шектейді. Pledge енгізілгеннен бері OpenBSD-дің негізгі бағдарламалары (OpenBSD жиынтығына кіретін), қосымшалар (олардың әзірлеушілерімен айналысады) және порттар (OpenBSD командасымен басқарылатын қосымшалар) pledge және/немесе unveil арқылы шектелу үшін жаңартылды. Осы мүмкіндіктермен жаңартылған үшінші тараптың қосымшаларына (олардың әзірлеушілері немесе OpenBSD-дің қосымша порттарында) Chromium және Firefox веб-браузерлері кіреді.

Privilege separation, privilege revocation, chrooting and randomized loading of libraries also play a role in increasing the security of the system. Many of these have been applied to the OpenBSD versions of common programs such as tcpdump and Apache, and to the BSD Authentication system. OpenBSD has a history of providing its users with full disclosure in relation to various bugs and security breaches detected by the OpenBSD team. This is exemplified by the project's slogan: "Only two remote holes in the default install, in a heck of a long time!" OpenBSD is intended to be secure by default, which includes (but is not limited to) having all non essential services be disabled by default. This is done not only to not require users to learn how and waste time to secure their computers after installing OpenBSD, but also in hope of making users more aware of security considerations, by requiring them to make conscious decisions to enable features that could reduce their security. OpenBSD 5.9 included support for the then–new pledge system call (introduced in OpenBSD 5.8 as tame and renamed in 5.9 to pledge) for restricting process capabilities to a minimal subset required for correct operation. If the process is compromised and attempts to perform an unintended behavior, it will be terminated by the kernel. OpenBSD 6.4 introduced the unveil system call for restricting filesystem visibility to a minimum level. pledge and unveil are used together to confine applications, further limiting what they're otherwise permitted to do under the user account they're running as. Since the introduction of pledge, base OpenBSD programs (included out of the box in OpenBSD), applications (handled by their developers), and ports (of applications, handled by the OpenBSD team) have been updated to be confined with pledge and/or unveil. Some examples of third party applications updated with these features (by their developers or in OpenBSD's app ports) include the Chromium and Firefox web browsers.