OpenBSD 8.0 ajoute WPA3, le TLS post-quantique et les vecteurs RISC-V

Le projet OpenBSD a publié OpenBSD 8.0 le 20 octobre 2026, sa 61e version. Elle ajoute la sécurité Wi-Fi WPA3, privilégie l'échange de clés post-quantique pour les connexions chiffrées et lève une ancienne limite de mémoire dans le noyau amd64. Pour quiconque utilise OpenBSD sur des pare-feu, des routeurs ou des serveurs, c'est la version vers laquelle planifier une mise à niveau.

Ce qu'est OpenBSD

OpenBSD est un système d'exploitation libre de type Unix, connu pour placer la sécurité au premier plan. De nombreux développeurs utilisent ses outils chaque jour sans le faire tourner, car le projet développe aussi OpenSSH, le programme standard pour se connecter à des machines distantes. Il maintient aussi LibreSSL, une bibliothèque de cryptographie pour les connexions chiffrées.

Sécurité et chiffrement

Les plus grands changements se trouvent dans la cryptographie fournie. Les notes de version d'OpenBSD mentionnent OpenSSH 10.6 et LibreSSL 4.4.0.

LibreSSL utilise désormais X25519MLKEM768 comme échange de clés préféré pour les connexions TLS 1.3 établies via libtls, sa bibliothèque TLS simplifiée. C'est une méthode hybride : elle associe un algorithme classique à ML-KEM, un algorithme plus récent conçu pour résister aux futurs ordinateurs quantiques. Une connexion reste sûre tant que l'une des deux moitiés tient.

OpenSSH 10.6 ajoute un type de signature post-quantique expérimental, mldsa44-ed25519. Il désactive aussi un codeur de compression LZ77 « pour éviter une fuite potentielle par canal auxiliaire », indiquent les notes. Nous avons couvert ces changements lorsque OpenSSH 10.6 est sorti de son côté.

L'OpenBSD Journal, le site d'actualités communautaire du projet, énumère d'autres renforcements :

• La prise en charge de WPA3 pour le Wi-Fi, la norme actuelle pour sécuriser les réseaux sans fil.
• Un correctif pour un problème de corruption du cache d'opérations sur les processeurs AMD Zen 2.
• Le serveur web httpd et le serveur de messagerie smtpd sont désormais liés à nouveau dans un ordre aléatoire à chaque démarrage, ce qui complique les attaques qui reposent sur des adresses mémoire connues.
• Les outils des pages de manuel sont désormais limités par unveil, la méthode d'OpenBSD pour restreindre les fichiers qu'un programme peut voir.

Noyau, réseau et matériel

Sur amd64, l'espace d'adressage virtuel du noyau est passé « de 4G à 512G », selon les notes de version. C'est la plage d'adresses mémoire que le noyau peut utiliser pour lui-même, et l'ancien plafond de 4 Go était étroit sur les grandes machines modernes. Le chiffrement du swap est aussi plus rapide, car il utilise désormais les instructions AES intégrées au processeur sur amd64 et arm64.

Le réseau reçoit plusieurs améliorations. Selon le Journal, les files PF, les contrôles de bande passante du pare-feu d'OpenBSD, franchissent désormais la barrière des 4 Gbit/s. La version importe aussi rtrd et rtrctl, de nouveaux outils pour la sécurité du routage, et fait utiliser par défaut des paramètres TLS plus sûrs à httpd et relayd.

Domaine	Changement dans la 8.0
Machines virtuelles	vmm et vmd prennent en charge les invités multiprocesseurs
Graphismes Intel	Prise en charge d'Arc A-Series (Alchemist) ; drm mis à jour vers Linux 6.18.53
Puces réseau	Intel E610 (ix), Panther Lake et Wildcat Lake (em), Qualcomm WCN7850 (qwz)
RISC-V	Prise en charge par le noyau de l'extension vectorielle « V » et de l'Advanced Interrupt Architecture
Plateformes	loongson abandonné ; sparc64 passe à la chaîne d'outils LLVM
Outils de bureau	Panneaux flottants dans tmux ; hibernation sur arm64

RISC-V est une architecture de processeur ouverte sur laquelle tout le monde peut construire. Son extension vectorielle permet à une puce de traiter de nombreux nombres en une seule instruction, ce qui accélère le code multimédia et le code riche en calculs. Le portage loongson a été abandonné parce qu'il « ne fonctionnait pas avec Clang 22 », indiquent les notes.

Paquets et mises à niveau

La collection de ports, la bibliothèque de logiciels complémentaires d'OpenBSD, compte 13 060 paquets pour amd64 et 12 907 pour Arm 64 bits. Parmi les points forts figurent Firefox 157.0, Chromium 154, GCC 16.1.0, Go 1.27.1, Python 3.14.7, Node.js 24.21.0 et PostgreSQL 18.6. Le système de base embarque LLVM et Clang 22.1.6.

Les systèmes existants se mettent à niveau depuis la 7.9 avec le guide de mise à niveau du projet, généralement grâce à l'outil sysupgrade. L'installateur et les outils de paquets gèrent désormais de la même façon le réglage du miroir de téléchargement, et le répertoire courant a été retiré du chemin de recherche par défaut de pkg_add.

Les applications Windows pourraient suivre

Wine, la couche qui exécute des programmes Windows sur les systèmes Unix, n'a jamais été disponible sur OpenBSD. Cela pourrait changer. Le 18 octobre, le développeur Thomas Frohwein a proposé un portage de Wine sur la liste de diffusion openbsd-ports, en attribuant l'essentiel du travail à d'autres contributeurs. Il a écrit que plusieurs dizaines d'applications Windows 64 bits avaient tourné, la plupart avec succès.

Il s'agit d'une proposition, qui ne fait pas partie de la 8.0. « La plus grande limite est que WoW64 ne fonctionne pas, donc les logiciels Windows 32 bits ne fonctionnent toujours pas », a écrit Frohwein. WoW64 est la partie de Wine qui exécute les programmes 32 bits, et les récentes versions de Wine la retravaillent.

Ce que cela signifie pour les développeurs

OpenBSD 8.0 est une version qui place la sécurité au premier plan, et ses choix cryptographiques par défaut méritent d'être copiés, même sur d'autres systèmes.

• Testez le TLS post-quantique dès maintenant. Les programmes construits sur libtls privilégieront l'échange hybride ML-KEM. Vérifiez que les répartiteurs de charge et les anciens clients entre vous et vos utilisateurs gèrent la poignée de main plus volumineuse.
• Mettez à niveau les pare-feu qui utilisent les files PF. Si vous régulez un trafic au-delà de 4 Gbit/s, l'ancienne limite des files a disparu. Revérifiez vos règles de files après la mise à niveau.
• Anticipez pour loongson. Cette plateforme a disparu, donc les machines loongson ne peuvent pas passer à la 8.0. Prévoyez un budget pour les remplacer par une autre architecture prise en charge.
• Profitez de la nouvelle prise en charge de RISC-V. L'extension vectorielle et les nouveaux pilotes d'interruptions font des cartes RISC-V une cible OpenBSD plus sérieuse. Testez-y vos ports.
• Suivez le portage de Wine. Si vous avez besoin d'outils Windows 64 bits sur OpenBSD, suivez la liste des ports. C'est un brouillon, et le porteur suggère pour l'instant d'exécuter Wine sous un utilisateur distinct et non privilégié.