Релиз на ядрото Linux 5.11

След два месеца разработка Линус Торвалдс представи версия 5.11 на ядрото Linux. Сред най-забележителните промени: поддръжка на анклави Intel SGX, нов механизъм за прихващане на системни повиквания, виртуална шина auxiliary, забрана за компилиране на модули без MODULE_LICENSE(), режим за бързо филтриране на системни повиквания в seccomp, прекратяване на поддръжката на архитектурата ia64, прехвърляне на технологията WiMAX в клон „staging“, възможност за инкапсулация на SCTP в UDP.

В новата версия са включени 15480 корекции от 1991 разработчици, размерът на патча е 72 MB (промените засягат 12090 файла, добавени са 868025 реда код, изтрити са 261456 реда). Около 46% от всички представени в 5.11 промени са свързани с драйвери на устройства, приблизително 16% от промените са свързани с обновление на код, специфичен за хардуерни архитектури, 13% са свързани с мрежовия стек, 3% с файлови системи и 4% с вътрешни подсистеми на ядрото.

Основни нововъведения:

• Дисковата подсистема, вход/изход и файловите системи
  • В Btrfs бяха добавени няколко опции за монтиране, които да се прилагат при възстановяване на данни от повредена файловата система: „rescue=ignorebadroots“ за монтиране, въпреки повредите на някои основни дървета (extent, uuid, data reloc, device, csum, free space), „rescue=ignoredatacsums“ за деактивиране на проверката на контролни суми за данните и „rescue=all“ за едновременно активиране на режимите ‘ignorebadroots’, ‘ignoredatacsums’ и ‘nologreplay’. Поддръжката на опцията за монтиране „inode_cache“, която преди това беше обявена за остаряла, беше прекратена. Подготвен е код за реализиране на поддръжка на блокове с метаданни и данни, по-малки от страница (PAGE_SIZE), както и поддръжка на режим за зонирано разпределение на място. Небуферираните (Direct IO) заявки са прехвърлени на инфраструктурата iomap. Оптимизирана е производителността на редица операции, като в някои случаи ускорението може да достигне десетки проценти.
  • В XFS е реализиран флаг „needsrepair“, който сигнализира за необходимост от възстановяване. При задаване на този флаг файловата система не може да бъде монтирана, докато флагът не бъде нулиран с помощта на утилита xfs_repair.
  • В Ext4 са предложени само корекции на грешки и оптимизации, а също така е проведена почистване на кода.
  • Разрешен е повторен експорт на файлови системи, монтирани над NFS (т.е. монтираният чрез NFS дял вече може да бъде експортиран чрез NFS и използван като междинен кеш).
  • В системния повик close_range(), който позволява на процеса да затвори диапазон от отворени дескриптори за файлове, е добавена опция CLOSE_RANGE_CLOEXEC за затваряне на дескрипторите в режим close-on-exec.
  • В файловата система F2FS са добавени нови повиквания на ioctl(), които позволяват от потребителското пространство да управляват кои файлове да се съхраняват в компресиран вид. Добавена е опция за монтиране «compress_mode=» за избор на местоположението на контролера за компресия, който да бъде от страната на ядрото или в потребителското пространство.
  • Предоставена е възможност за монтиране на Overlayfs от непривилегировани процеси, използвайки отделно пространство от идентификатори на потребители (user namespace). За проверка на съвместимостта с модела за безопасност е проведен пълен одит на кода. В Overlayfs е добавена и възможността за стартиране с използване на копия на образи на файловата система чрез опционално изключване на проверката на UUID.
  • В файловата система Ceph е добавена поддръжка на протокол msgr2.1, който позволява използването на алгоритъма AES-GCM за предаване на данни в криптиран вид.
  • В модула dm-multipath е реализирана възможността за вземане предвид на привързаността към CPU («IO affinity») при избор на маршрут за входно/изходни заявки.
• Памет и системни услуги
  • Добавен е нов механизъм за прихващане на системни повиквания, базиран на prctl() и позволяващ от потребителското пространство да генерира изключения при обръщение към определен системен повик и да емулира неговото изпълнение. Указаната функционалност е търсена в Wine и Proton за емулиране на системни повиквания на Windows, което е необходимо за осигуряване на съвместимост с игри и програми, които директно извършват системни повиквания, заобикаляйки Windows API (например, за защита от неразрешено използване).
  • В системния повик userfaultfd(), предназначено за обработка на page faults (обръщение към неразпределени страници в паметта) в потребителското пространство, е добавена възможност за изключване на обработката на изключения, възникващи на нива на ядрото, за усложняване на експлоатацията на определени уязвимости.
  • В подсистемата BPF е добавена поддръжка на локално хранилище за данни, специфично за задачата (task-local storage), осигуряващо привързване на данните към конкретен BPF обработчик.
  • Напълно преработено е проследяването на потреблението на памет от програмите BPF — за управление на използването на паметта в BPF обекти вместо memlock rlimit е предложен контролер cgroup.
  • В механизма BTF (BPF Type Format), който предоставя информация за проверка на типовете в псевдокод BPF, е реализирана поддръжка за модули на ядрото.
  • В интерфейса за асинхронен вход/изход io_uring е добавена поддръжка на системни извиквания shutdown(), renameat2() и unlinkat(). При извикване на io_uring_enter() е добавена възможност за задаване на таймаут (можете да проверите поддръжката на аргумента за задаване на таймаут с флага IORING_FEAT_EXT_ARG).
  • Архитектурата ia64, използвана в процесорите Intel Itanium, е преместена в категорията на оставените без поддръжка („orphaned“), което предполага прекратяване на тестовете. Компанията Hewlett Packard Enterprise спря приемането на поръчки за ново оборудване Itanium, а Intel направи това още миналата година.
  • Прекратена е поддръжката на системи, базирани на архитектурата MicroBlaze, без контролер за памет (MMU). Такива системи отдавна не се срещат в практиката.
  • За архитектурата MIPS е добавена поддръжка за тестване на покритие на кода (coverage testing) с помощта на утилитата gcov.
  • Добавена е поддръжка на виртуалната шина auxiliary за взаимодействие с многофункционални устройства, комбиниращи функционалности, изискващи различни драйвери (например мрежови карти с поддръжка за Ethernet и RDMA). Шината може да се използва за назначаване на основен и вторичен драйвер за устройството в ситуации, в които е проблематично да се използва подсистемата MFD (Multi-Function Devices).
  • За архитектурата RISC-V е добавена поддръжка на системата за разпределение на памет CMA (Contiguous Memory Allocator), която е оптимизирана за назначаване на големи непрекъснати области на паметта, използвайки техника за преместване на страници памет. За RISC-V също са реализирани средства за ограничаване на достъпа до /dev/mem и за отчитане на времето за обработка на прекъсвания.
  • За 32-битови системи ARM е добавена поддръжка на инструмента за дебъгване KASan (Kernel address sanitizer), който позволява откриване на грешки при работа с паметта. За 64-битови ARM реализацията на KASan е преведена на използване на етикети MTE (MemTag).
  • Добавен е системен извикване epoll_pwait2(), което позволява използването на таймаути с наносекундна точност (извикването epoll_wait манипулира с милисекунди).
  • В системата за сборка е осигурен изход на грешка при опит за компилиране на зареждащите модули на ядрото, при които чрез макроса MODULE_LICENSE() не е зададена лицензия за кода. Грешката при компилация вече ще предизвиква и използването на макроса EXPORT_SYMBOL() за статични функции.
  • Добавена е поддръжка за мапиране на GEM-обекти от паметта, използвана за вход/изход, което ускори работата с framebuffer-a на някои архитектури.
  • В Kconfig е прекратена поддръжката на Qt4 (поддръжката на Qt5, GTK и Ncurses остава).
• Виртуализация и сигурност
  • В системния изизов seccomp() е добавена поддръжка на режим на бързо реагиране, която позволява много бързо да се определи дали е разрешен или забранен определен системен изизов на базата на прикрепената към процеса таблица с права (constant-action bitmap), която не изисква стартиране на BPF-обработчик.
  • Интегрирани са компонентите на ядрото за създаване и управление на анклави на базата на технологията Intel SGX (Software Guard eXtensions), позволяваща на приложенията да изпълняват код в изолирани криптирани области на паметта, достъпът до които от останалата система е ограничен.
  • В рамките на инициативата за ограничаване на достъпа от потребителското пространство до регистрите на MSR (model-specific register) е забранено записването в регистъра MSR_IA32_ENERGY_PERF_BIAS, който позволява да се промени режимът на енергийна ефективност на процесора («normal», «performance», «powersave»).
  • От клона kernel-rt за системи с реално време е пренесена възможността за изключване на миграцията на високо приоритетни задачи между CPU.
  • За системите ARM64 е добавена възможността за прилагане на тагове MTE (MemTag, Memory Tagging Extension) за адресите на паметта на обработчиците на сигнали. Използването на MTE се активира чрез задаване на опцията SA_EXPOSE_TAGBITS в sigaction() и позволява организирането на проверка на коректността на използването на указателите с цел блокиране на експлоатацията на уязвимости, предизвикани от достъп до вече освободени блокове памет, препълване на буфера, достъпи преди инициализация и използване извън текущия контекст.
  • Добавен е параметърът «DM_VERITY_VERIFY_ROOTHASH_SIG_SECONDARY_KEYRING», който позволява на подсистемата dm-verity да проверява хеш-сигнатурите на сертификатите, разположени във вторичното хранилище на ключове (keyring). На практика настройката позволява верификация на не само сертификатите, вградени в ядрото, но и на сертификатите, заредени по време на работа, което дава възможност за обновяване на сертификатите без обновяване на цялото ядро.
  • В User-mode Linux е добавена поддръжка на режим suspend-to-idle, който позволява замразяване на средата и използване на сигнала SIGUSR1 за събуждане от спящ режим.
  • В механизма virtio-mem, който позволява горещо свързване и отключване на памет към виртуални машини, е добавена поддръжка на режима на голям блок (BBM, Big Block Mode), позволяваща предаване или извличане на памет на блокове, надвишаващи размера на блока памет в ядрото, което е необходимо за оптимизация на VFIO в QEMU.
  • В работещата на ниво ядро реализация на TLS е добавена поддръжка на шифъра CHACHA20-POLY1305.
• Мрежова подсистема
  • За 802.1Q (VLAN) е реализиран механизъм за управление на повреди при свързване (CFM, Connectivity Fault Management), който позволява идентифициране, верифициране и изолиране на повреди в мрежи с виртуални мостове (Virtual Bridged Networks). Например, CFM може да се използва за локализиране на проблеми в мрежи, обхващащи няколко независими организации, служителите на които имат достъп само до собственото си оборудване.
  • Добавена е поддръжка за инкапсулация на пакети от протокола SCTP в UDP-пакети (RFC 6951), което позволява използване на SCTP в мрежи със стари адресни транслатори, които не поддържат SCTP, както и реализиране на SCTP в системи, които не предоставят пряк достъп до IP слоя.
  • Реализацията на технологията WiMAX е преместена в staging и в бъдеще е предвидена за премахване, ако не се намерят потребители, които се нуждаят от WiMAX. WiMAX вече не се използва в публични мрежи, а в ядрото единственият драйвер, с който може да се използва WiMAX, остава остарелият драйвер Intel 2400m. В мрежовия конфигуратор NetworkManager поддръжката за WiMAX беше прекратена през 2015 година. В момента WiMAX практически е напълно заместена от технологии като LTE, HSPA+ и Wi-Fi 802.11n.
  • Извършена е работа по оптимизация на производителността на обработка на входящ TCP трафик в режим zerocopy, т.е. без допълнителни копия в нови буфери. За трафик със среден размер, обхващащ десетки или няколко стотици килобайта данни, използването на zerocopy вместо recvmsg() е забележимо по-ефективно. Например, реализираните промени позволиха да се увеличи ефективността на обработката на трафик в стил RPC с съобщения от 32 КБ при използване на zerocopy с 60-70%.
  • Добавени са нови администраторски повиквания ioctl() за създаване на мрежови мостове, обхващащи няколко канала PPP. Предложената възможност позволява кадрите да се преместват от един канал в друг, например от PPPoE в сесия PPPoL2TP.
  • Продължена е интеграцията в ядрото на MPTCP (MultiPath TCP), разширение на TCP протокола за организиране на TCP свързване с доставка на пакети едновременно по няколко маршрута през различни мрежови интерфейси, свързани с различни IP адреси. В новото издание е реализирана поддръжка на опцията ADD_ADDR за обявяване на наличните IP адреса към които е възможно свързване при добавяне на нови потоци към съществуващо MPTCP свързване.
  • Добавена е възможност за конфигуриране на действия при превишаване на бюджета за поллинг на свързвания (busy-polling). Предишният режим SO_BUSY_POLL предвиждаше преминаване на softirq при изчерпване на бюджета. За приложения, които трябва да продължат да използват поллинг, е предложена нова опция SO_PREFER_BUSY_POLL.
  • В IPv6 е реализирана поддръжка на режимите SRv6 End.DT4 и End.DT6, използвани за създаване на многопотребителски IPv4 L3 VPN и устройства VRF (Virtual routing and forwarding).
  • В Netfilter е унифицирана реализацията на изразите set, което позволява посочване на няколко израза за всеки елемент от set-списъците.
  • В безжичния стек 802.11 са добавени API за настройка на ограниченията на мощността SAR, както и параметрите AE PWE и HE MCS. В драйвера Intel iwlwifi е добавена поддръжка на диапазона 6GHz (Ultra High Band). В драйвера Qualcomm Ath11k е добавена поддръжка на технологията за бърза настройка на свързвания FILS (Fast Initial Link Setup, стандартизирана като IEEE 802.11ai), която позволява премахване на забавянията при роуминг по време на миграцията от точка за достъп към друга.
• Оборудване
  • В драйвера amdgpu е реализирана поддръжка на APU AMD „Green Sardine“ (Ryzen 5000) и GPU „Dimgrey Cavefish“ (Navi 2), както и начална поддръжка на APU AMD Van Gogh с ядро Zen 2 и GPU RDNA 2 (Navi 2). Добавена е поддръжка на нови идентификатори APU Renoir (на базата на CPU Zen 2 CPU и GPU Vega).
  • В драйвера i915 за видеокартите Intel е реализирана поддръжка на технологията IS (Integer scaling) с реализация на филтър за увеличаване на мащаба, отчитайки състоянието на съседните пиксели (интерполация Nearest-neighbor) за определяне на цвета на отсъстващите пиксели. Разширена е поддръжката на дискретни карти Intel DG1. Реализирана е поддръжка на технологията „Big Joiner“, налична от чиповете Ice Lake / Gen11, която позволява използването на един транскодер за обработка на два потока, например, за изход на 8K екран през един DisplayPort. Добавен е режим на асинхронно превключване между два буфера в видеопаметта (async flip).
  • В драйвера nouveau е добавена начална поддръжка на GPU NVIDIA, базирани на микроархитектурата „Ampere“ (GA100, GeForce RTX 30xx), която все още е ограничена в средствата за управление на видеорежимите.
  • Добавена е поддръжка на протокола 3WIRE, използван в LCD панелите. Добавена е поддръжка на панелите novatek nt36672a, TDO tl070wsh30, Innolux N125HCE-GN1 и ABT Y030XX067A 3.0. Поотделно може да се отбележи поддръжката на панела на смартфоните OnePlus 6 и 6T, която е позволила организацията на зареждане на устройства с немодифицирано ядро.
  • Добавена е поддръжка на първия дискретен USB4 хост-контролер Intel Maple Ridge.
  • Добавена е поддръжка на аудио кодеци Allwinner H6 I2S, Analog Devices ADAU1372, Intel Alderlake-S, GMediatek MT8192, NXP i.MX HDMI и XCVR, Realtek RT715 и Qualcomm SM8250.
  • Добавена е поддръжка на ARM платформи, устройства и платформи: Galaxy Note 10.1, Microsoft Lumia 950 XL, NanoPi R1, FriendlyArm ZeroPi, Elimo Initium SBC, Broadcom BCM4908, Mediatek MT8192/MT6779/MT8167, MStar Infinity2M, Nuvoton NPCM730, Marvell Armada 382, Mikrotik на базата на Marvell Prestera 98DX3236, сървъри с Nuvoton NPCM750 BMC, Kontron i.MX8M Mini, Espressobin Ultra, Chromebook „Trogdor“, Kobol Helios64, Engicam PX30.Core.
  • Вградена е поддръжка на игровата конзола Ouya, базирана на NVIDIA Tegra 3.

Междувременно, Латинскоамериканският Фонд за свободен софтуер създаде вариант на напълно свободното ядро 5.11 — Linux-libre 5.11-gnu, почистено от елементи на фърмуер и драйвери, съдържащи несвободни компоненти или участъци от код, чиято употреба е ограничена от производителя. В новото издание е извършено почистване на драйверите за qat_4xxx (crypto), lt9611uxcm (dsi/hdmi bridge), ccs/smia++ (сензор), ath11k_pci, nxp audio transceiver и mhi pci controller. Обновен е кодът за почистване на блобове в драйверите и подсистемите amdgpu, btqca, btrtl, btusb, i915 csr. Деактивирани са нови блобове в m3 rproc, idt82p33 ptp clock и qualcomm arm64.

Източник: opennet.ru