OpenBSD 8.0 bringt WPA3, Post-Quanten-TLS und RISC-V-Vektoren

Das OpenBSD-Projekt hat OpenBSD 8.0 am 20. Oktober 2026 veröffentlicht, sein 61. Release. Es bringt WPA3 für die WLAN-Sicherheit, bevorzugt Post-Quanten-Schlüsselaustausch für verschlüsselte Verbindungen und hebt ein altes Speicherlimit im amd64-Kernel auf. Für alle, die OpenBSD auf Firewalls, Routern oder Servern betreiben, ist das die Version, auf die sie ein Upgrade planen sollten.

Was OpenBSD ist

OpenBSD ist ein freies, Unix-ähnliches Betriebssystem, das dafür bekannt ist, Sicherheit an erste Stelle zu setzen. Viele Entwickler nutzen seine Werkzeuge täglich, ohne es selbst zu betreiben, denn das Projekt entwickelt auch OpenSSH, das Standardprogramm für die Anmeldung an entfernten Rechnern. Außerdem pflegt es LibreSSL, eine Kryptografie-Bibliothek für verschlüsselte Verbindungen.

Sicherheit und Verschlüsselung

Die größten Änderungen stecken in der mitgelieferten Kryptografie. Die Release Notes von OpenBSD nennen OpenSSH 10.6 und LibreSSL 4.4.0.

LibreSSL nutzt jetzt X25519MLKEM768 als bevorzugten Schlüsselaustausch für TLS-1.3-Verbindungen, die über libtls aufgebaut werden, seine einfache TLS-Bibliothek. Das ist ein hybrides Verfahren: Es kombiniert einen klassischen Algorithmus mit ML-KEM, einem neueren, der künftigen Quantencomputern standhalten soll. Eine Verbindung bleibt sicher, solange eine der beiden Hälften hält.

OpenSSH 10.6 bringt einen experimentellen Post-Quanten-Signaturtyp, mldsa44-ed25519. Außerdem deaktiviert es einen LZ77-Kompressions-Coder, „um ein mögliches Seitenkanal-Leck zu vermeiden“, wie es in den Notes heißt. Wir haben über diese Änderungen berichtet, als OpenSSH 10.6 eigenständig erschien.

Das OpenBSD Journal, die Community-Nachrichtenseite des Projekts, nennt weitere Härtungen:

• WPA3-Unterstützung für WLAN, den aktuellen Standard zur Absicherung drahtloser Netzwerke.
• Ein Fix für ein Problem mit beschädigtem Operation Cache auf AMD-Zen-2-Prozessoren.
• Der Webserver httpd und der Mailserver smtpd werden jetzt bei jedem Systemstart in zufälliger Reihenfolge neu gelinkt. Das erschwert Angriffe, die auf bekannte Speicheradressen setzen.
• Die Werkzeuge für Manpages sind jetzt durch unveil eingeschränkt, den Mechanismus von OpenBSD, der festlegt, welche Dateien ein Programm sehen kann.

Kernel, Netzwerk und Hardware

Auf amd64 ist der virtuelle Adressraum des Kernels laut den Release Notes „von 4G auf 512G“ gewachsen. Das ist der Bereich an Speicheradressen, den der Kernel für sich selbst nutzen kann, und die alte Grenze von 4 GB war auf großen modernen Maschinen knapp. Auch die Swap-Verschlüsselung ist schneller, weil sie auf amd64 und arm64 jetzt die eingebauten AES-Befehle des Prozessors nutzt.

Das Netzwerk bekommt mehrere Verbesserungen. Laut dem Journal durchbrechen PF-Queues, die Bandbreitensteuerung in der Firewall von OpenBSD, jetzt die Grenze von 4 Gbit/s. Das Release übernimmt außerdem rtrd und rtrctl, neue Werkzeuge für Routing-Sicherheit, und lässt httpd und relayd standardmäßig sicherere TLS-Einstellungen verwenden.

Bereich	Änderung in 8.0
Virtuelle Maschinen	vmm und vmd unterstützen Gäste mit mehreren Prozessoren
Intel-Grafik	Unterstützung für Arc A-Series (Alchemist); drm auf Linux 6.18.53 aktualisiert
Netzwerkchips	Intel E610 (ix), Panther Lake und Wildcat Lake (em), Qualcomm WCN7850 (qwz)
RISC-V	Kernel-Unterstützung für die Vektorerweiterung „V“ und die Advanced Interrupt Architecture
Plattformen	loongson eingestellt; sparc64 wechselt zur LLVM-Toolchain
Desktop-Werkzeuge	Schwebende Panes in tmux; Ruhezustand (Hibernate) auf arm64

RISC-V ist ein offenes Prozessordesign, auf dem jeder aufbauen kann. Seine Vektorerweiterung lässt einen Chip viele Zahlen mit einem einzigen Befehl verarbeiten, was Medien- und rechenintensiven Code beschleunigt. Der loongson-Port wurde eingestellt, weil er „nicht mit Clang 22 funktionierte“, wie es in den Notes heißt.

Pakete und Upgrades

Die Ports-Sammlung, die Bibliothek von OpenBSD mit Zusatzsoftware, umfasst 13.060 Pakete für amd64 und 12.907 für 64-Bit-Arm. Zu den Highlights gehören Firefox 157.0, Chromium 154, GCC 16.1.0, Go 1.27.1, Python 3.14.7, Node.js 24.21.0 und PostgreSQL 18.6. Das Basissystem liefert LLVM und Clang 22.1.6 mit.

Bestehende Systeme werden mit der Upgrade-Anleitung des Projekts von 7.9 aktualisiert, meist mit dem Werkzeug sysupgrade. Installer und Paketwerkzeuge behandeln die Einstellung für den Download-Mirror jetzt auf dieselbe Weise, und das aktuelle Verzeichnis wurde aus dem Standard-Suchpfad von pkg_add entfernt.

Windows-Apps könnten als Nächstes kommen

Wine, die Schicht, die Windows-Programme auf Unix-Systemen ausführt, war unter OpenBSD noch nie verfügbar. Das könnte sich ändern. Am 18. Oktober schlug der Entwickler Thomas Frohwein auf der Mailingliste openbsd-ports einen Wine-Port vor und schrieb den Großteil der Arbeit anderen Mitwirkenden zu. Er schrieb, dass mehrere Dutzend 64-Bit-Windows-Anwendungen liefen, die meisten davon erfolgreich.

Es ist ein Vorschlag, kein Teil von 8.0. „Die größte Einschränkung ist, dass WoW64 nicht funktioniert, 32-Bit-Windows-Software läuft also weiterhin nicht“, schrieb Frohwein. WoW64 ist der Teil von Wine, der 32-Bit-Programme ausführt und den jüngste Wine-Releases umgebaut haben.

Was das für Entwickler bedeutet

OpenBSD 8.0 ist ein Release, das Sicherheit an erste Stelle setzt, und seine Krypto-Voreinstellungen lohnen sich auch auf anderen Systemen zum Nachahmen.

• Testen Sie Post-Quanten-TLS jetzt. Programme, die auf libtls aufbauen, bevorzugen den hybriden ML-KEM-Austausch. Prüfen Sie, ob Load Balancer und alte Clients zwischen Ihnen und Ihren Nutzern den größeren Handshake verarbeiten können.
• Aktualisieren Sie Firewalls mit PF-Queues. Wer Traffic oberhalb von 4 Gbit/s formt, ist das alte Queue-Limit los. Prüfen Sie Ihre Queue-Regeln nach dem Upgrade erneut.
• Planen Sie für loongson. Diese Plattform ist weg, daher können loongson-Maschinen nicht auf 8.0 wechseln. Planen Sie Budget ein, um sie durch eine andere unterstützte Architektur zu ersetzen.
• Nutzen Sie die neue RISC-V-Unterstützung. Die Vektorerweiterung und neue Interrupt-Treiber machen RISC-V-Boards zu einem ernsthafteren Ziel für OpenBSD. Testen Sie Ihre Ports darauf.
• Behalten Sie den Wine-Port im Blick. Wer 64-Bit-Windows-Werkzeuge unter OpenBSD braucht, sollte die Ports-Liste verfolgen. Es ist ein Entwurf, und der Porter empfiehlt, Wine vorerst als separaten, unprivilegierten Benutzer auszuführen.