OpenBSD 8.0 adiciona WPA3, TLS pós-quântico e vetores RISC-V

O projeto OpenBSD lançou o OpenBSD 8.0 em 20 de outubro de 2026, sua 61ª versão. Ela adiciona a segurança Wi-Fi WPA3, prefere a troca de chaves pós-quântica para conexões criptografadas e remove um antigo limite de memória no kernel amd64. Para quem roda o OpenBSD em firewalls, roteadores ou servidores, esta é a versão para a qual planejar uma atualização.

O que é o OpenBSD

O OpenBSD é um sistema operacional livre, parecido com o Unix, conhecido por colocar a segurança em primeiro lugar. Muitos desenvolvedores usam suas ferramentas todos os dias sem rodá-lo, porque o projeto também desenvolve o OpenSSH, o programa padrão para fazer login em máquinas remotas. Ele também mantém o LibreSSL, uma biblioteca de criptografia para conexões criptografadas.

Segurança e criptografia

As maiores mudanças estão na criptografia incluída. As notas de versão do OpenBSD listam o OpenSSH 10.6 e o LibreSSL 4.4.0.

O LibreSSL agora usa o X25519MLKEM768 como troca de chaves preferida para conexões TLS 1.3 feitas por meio da libtls, sua biblioteca TLS simples. É um método híbrido: ele combina um algoritmo clássico com o ML-KEM, um algoritmo mais novo projetado para resistir a futuros computadores quânticos. Uma conexão continua segura enquanto qualquer uma das metades resistir.

O OpenSSH 10.6 adiciona um tipo experimental de assinatura pós-quântica, o mldsa44-ed25519. Ele também desativa um codificador de compressão LZ77 «para evitar um possível vazamento por canal lateral», dizem as notas. Cobrimos essas mudanças quando o OpenSSH 10.6 foi lançado separadamente.

O OpenBSD Journal, o site de notícias da comunidade do projeto, lista outros reforços de segurança:

• Suporte a WPA3 no Wi-Fi, o padrão atual para proteger redes sem fio.
• Uma correção para um problema de corrupção do cache de operações em processadores AMD Zen 2.
• O servidor web httpd e o servidor de e-mail smtpd agora são religados em ordem aleatória a cada inicialização, o que dificulta ataques que dependem de endereços de memória conhecidos.
• As ferramentas de páginas de manual agora são limitadas pelo unveil, a forma do OpenBSD de restringir quais arquivos um programa pode ver.

Kernel, rede e hardware

No amd64, o espaço de endereçamento virtual do kernel cresceu «de 4G para 512G», segundo as notas de versão. Essa é a faixa de endereços de memória que o kernel pode usar para si mesmo, e o antigo teto de 4 GB era apertado em máquinas modernas grandes. A criptografia do swap também ficou mais rápida, porque agora usa as instruções AES embutidas no processador no amd64 e no arm64.

A rede recebe várias melhorias. O Journal diz que as filas do PF, os controles de largura de banda do firewall do OpenBSD, agora rompem a barreira dos 4 Gbps. A versão também importa o rtrd e o rtrctl, novas ferramentas de segurança de roteamento, e faz o httpd e o relayd usarem configurações TLS mais seguras por padrão.

Área	Mudança no 8.0
Máquinas virtuais	vmm e vmd suportam convidados com vários processadores
Gráficos Intel	Suporte a Arc A-Series (Alchemist); drm atualizado para o Linux 6.18.53
Chips de rede	Intel E610 (ix), Panther Lake e Wildcat Lake (em), Qualcomm WCN7850 (qwz)
RISC-V	Suporte do kernel à extensão vetorial «V» e à Advanced Interrupt Architecture
Plataformas	loongson aposentado; sparc64 passa para a toolchain LLVM
Ferramentas de desktop	Painéis flutuantes no tmux; hibernação no arm64

O RISC-V é um projeto de processador aberto sobre o qual qualquer pessoa pode construir. Sua extensão vetorial permite que um chip processe muitos números em uma única instrução, o que acelera código de mídia e de cálculo pesado. O port para loongson foi aposentado porque «não funcionava com o Clang 22», dizem as notas.

Pacotes e atualizações

A coleção de ports, a biblioteca de software adicional do OpenBSD, tem 13.060 pacotes para amd64 e 12.907 para Arm de 64 bits. Os destaques incluem Firefox 157.0, Chromium 154, GCC 16.1.0, Go 1.27.1, Python 3.14.7, Node.js 24.21.0 e PostgreSQL 18.6. O sistema base traz LLVM e Clang 22.1.6.

Sistemas existentes são atualizados a partir do 7.9 seguindo o guia de atualização do projeto, normalmente com a ferramenta sysupgrade. O instalador e as ferramentas de pacotes agora tratam a configuração do espelho de download da mesma forma, e o diretório atual foi removido do caminho de busca padrão do pkg_add.

Aplicativos do Windows podem ser os próximos

O Wine, a camada que roda programas do Windows em sistemas Unix, nunca esteve disponível no OpenBSD. Isso pode mudar. Em 18 de outubro, o desenvolvedor Thomas Frohwein propôs um port do Wine na lista de discussão openbsd-ports, atribuindo a maior parte do trabalho a outros colaboradores. Ele escreveu que várias dezenas de aplicativos do Windows de 64 bits rodaram, a maioria com sucesso.

É uma proposta, não parte do 8.0. «A maior limitação é que o WoW64 não funciona, então o software de Windows de 32 bits continua sem funcionar», escreveu Frohwein. O WoW64 é a parte do Wine que roda programas de 32 bits, e as versões recentes do Wine vêm reformulando essa parte.

O que isso significa para os desenvolvedores

O OpenBSD 8.0 é uma versão que coloca a segurança em primeiro lugar, e vale a pena copiar seus padrões de criptografia mesmo em outros sistemas.

• Teste o TLS pós-quântico agora. Programas construídos sobre a libtls vão preferir a troca híbrida com ML-KEM. Verifique se os balanceadores de carga e os clientes antigos entre você e seus usuários conseguem lidar com o handshake maior.
• Atualize firewalls com filas do PF. Se você controla tráfego acima de 4 Gbps, o antigo limite das filas acabou. Revise suas regras de filas depois da atualização.
• Planeje-se para o loongson. Essa plataforma acabou, então máquinas loongson não podem migrar para o 8.0. Reserve orçamento para substituí-las por outra arquitetura suportada.
• Use o novo suporte a RISC-V. A extensão vetorial e os novos drivers de interrupção tornam as placas RISC-V um alvo mais sério para o OpenBSD. Teste seus ports nelas.
• Acompanhe o port do Wine. Se você precisa de ferramentas do Windows de 64 bits no OpenBSD, acompanhe a lista de ports. É um rascunho, e o autor do port sugere, por enquanto, rodar o Wine como um usuário separado e sem privilégios.