OpenBSD 8.0 añade WPA3, TLS poscuántico y vectores RISC-V

El proyecto OpenBSD publicó OpenBSD 8.0 el 20 de octubre de 2026, su 61.ª versión. Añade la seguridad Wi-Fi WPA3, prefiere el intercambio de claves poscuántico para las conexiones cifradas y elimina un antiguo límite de memoria en el kernel de amd64. Para quien use OpenBSD en cortafuegos, routers o servidores, es la versión a la que conviene planificar una actualización.

Qué es OpenBSD

OpenBSD es un sistema operativo libre de tipo Unix, conocido por poner la seguridad en primer lugar. Muchos desarrolladores usan sus herramientas a diario sin ejecutarlo, porque el proyecto también desarrolla OpenSSH, el programa estándar para iniciar sesión en máquinas remotas. Además mantiene LibreSSL, una biblioteca criptográfica para conexiones cifradas.

Seguridad y cifrado

Los mayores cambios están en la criptografía incluida. Las notas de la versión de OpenBSD incluyen OpenSSH 10.6 y LibreSSL 4.4.0.

LibreSSL usa ahora X25519MLKEM768 como intercambio de claves preferido para las conexiones TLS 1.3 hechas a través de libtls, su biblioteca TLS sencilla. Es un método híbrido: combina un algoritmo clásico con ML-KEM, uno más nuevo diseñado para resistir a los futuros ordenadores cuánticos. Una conexión sigue siendo segura mientras cualquiera de las dos mitades resista.

OpenSSH 10.6 añade un tipo de firma poscuántica experimental, mldsa44-ed25519. También desactiva un codificador de compresión LZ77 «para evitar una posible fuga por canal lateral», dicen las notas. Cubrimos esos cambios cuando OpenSSH 10.6 salió por su cuenta.

El OpenBSD Journal, el sitio de noticias de la comunidad del proyecto, enumera más medidas de refuerzo:

• Compatibilidad con WPA3 para Wi-Fi, el estándar actual para proteger las redes inalámbricas.
• Una corrección para un problema de corrupción de la caché de operaciones en los procesadores AMD Zen 2.
• El servidor web httpd y el servidor de correo smtpd ahora se vuelven a enlazar en un orden aleatorio en cada arranque, lo que dificulta los ataques que dependen de direcciones de memoria conocidas.
• Las herramientas de las páginas de manual ahora están limitadas por unveil, la forma que tiene OpenBSD de restringir qué archivos puede ver un programa.

Kernel, redes y hardware

En amd64, el espacio de direcciones virtuales del kernel creció «de 4G a 512G», según las notas de la versión. Es el rango de direcciones de memoria que el kernel puede usar para sí mismo, y el antiguo techo de 4 GB se quedaba corto en las grandes máquinas modernas. El cifrado del swap también es más rápido, porque ahora usa las instrucciones AES integradas en el procesador en amd64 y arm64.

Las redes reciben varias mejoras. El Journal dice que las colas de PF, los controles de ancho de banda del cortafuegos de OpenBSD, ahora superan la barrera de los 4 Gbps. La versión también incorpora rtrd y rtrctl, nuevas herramientas para la seguridad del enrutamiento, y hace que httpd y relayd usen por defecto ajustes TLS más seguros.

Área	Cambio en 8.0
Máquinas virtuales	vmm y vmd admiten invitados multiprocesador
Gráficos Intel	Compatibilidad con Arc A-Series (Alchemist); drm actualizado a Linux 6.18.53
Chips de red	Intel E610 (ix), Panther Lake y Wildcat Lake (em), Qualcomm WCN7850 (qwz)
RISC-V	Soporte del kernel para la extensión vectorial «V» y la Advanced Interrupt Architecture
Plataformas	loongson retirado; sparc64 pasa a la cadena de herramientas LLVM
Herramientas de escritorio	Paneles flotantes en tmux; hibernación en arm64

RISC-V es un diseño de procesador abierto sobre el que cualquiera puede construir. Su extensión vectorial permite a un chip procesar muchos números con una sola instrucción, lo que acelera el código multimedia y el de cálculo intensivo. El port de loongson se retiró porque «no funcionaba con Clang 22», dicen las notas.

Paquetes y actualizaciones

La colección de ports, la biblioteca de software adicional de OpenBSD, tiene 13.060 paquetes para amd64 y 12.907 para Arm de 64 bits. Entre lo más destacado están Firefox 157.0, Chromium 154, GCC 16.1.0, Go 1.27.1, Python 3.14.7, Node.js 24.21.0 y PostgreSQL 18.6. El sistema base incluye LLVM y Clang 22.1.6.

Los sistemas existentes se actualizan desde 7.9 con la guía de actualización del proyecto, normalmente mediante la herramienta sysupgrade. El instalador y las herramientas de paquetes ahora tratan del mismo modo el ajuste del mirror de descarga, y el directorio actual se eliminó de la ruta de búsqueda predeterminada de pkg_add.

Las aplicaciones de Windows podrían ser lo siguiente

Wine, la capa que ejecuta programas de Windows en sistemas Unix, nunca ha estado disponible en OpenBSD. Eso podría cambiar. El 18 de octubre, el desarrollador Thomas Frohwein propuso un port de Wine en la lista de correo openbsd-ports y atribuyó la mayor parte del trabajo a otros colaboradores. Escribió que varias decenas de aplicaciones de Windows de 64 bits se ejecutaron, la mayoría con éxito.

Es una propuesta, no forma parte de 8.0. «La mayor limitación es que WoW64 no funciona, así que el software de Windows de 32 bits sigue sin funcionar», escribió Frohwein. WoW64 es la parte de Wine que ejecuta programas de 32 bits, y las versiones recientes de Wine la han estado rehaciendo.

Qué significa para los desarrolladores

OpenBSD 8.0 es una versión que pone la seguridad en primer lugar, y vale la pena copiar sus valores criptográficos predeterminados incluso en otros sistemas.

• Pruebe ya el TLS poscuántico. Los programas basados en libtls preferirán el intercambio híbrido con ML-KEM. Compruebe que los balanceadores de carga y los clientes antiguos entre usted y sus usuarios pueden manejar el handshake más grande.
• Actualice los cortafuegos con colas de PF. Si regula tráfico por encima de 4 Gbps, el antiguo límite de las colas ha desaparecido. Revise de nuevo sus reglas de colas tras la actualización.
• Planifique para loongson. Esa plataforma ha desaparecido, así que las máquinas loongson no pueden pasar a 8.0. Reserve presupuesto para sustituirlas por otra arquitectura compatible.
• Aproveche el nuevo soporte de RISC-V. La extensión vectorial y los nuevos controladores de interrupciones hacen de las placas RISC-V un objetivo más serio para OpenBSD. Pruebe sus ports en ellas.
• Siga de cerca el port de Wine. Si necesita herramientas de Windows de 64 bits en OpenBSD, siga la lista de ports. Es un borrador, y el autor del port sugiere por ahora ejecutar Wine como un usuario aparte sin privilegios.