Версия на ядрото на Linux 5.11

След два месеца разработка Линус Торвалдс представи версията на Linux ядрото 5.11. Сред най-забележителните промени: поддръжка за Intel SGX анклави, нов механизъм за прихващане на системни повиквания, виртуална помощна шина, забрана за сглобяване на модули без MODULE_LICENSE(), бърз режим на филтриране за системни повиквания в seccomp, прекратяване на поддръжката за ia64 архитектура, трансфер на технологията WiMAX към клона „staging“, възможност за капсулиране на SCTP в UDP.

Новата версия включва 15480 1991 корекции от 72 12090 разработчици, размерът на корекцията е 868025 MB (промените засегнаха 261456 46 файла, добавени са 5.11 16 реда код, 13 3 реда са изтрити). Около 4% от всички промени, въведени в XNUMX, са свързани с драйвери на устройства, приблизително XNUMX% от промените са свързани с актуализиране на код, специфичен за хардуерни архитектури, XNUMX% са свързани с мрежов стек, XNUMX% са свързани с файлови системи и XNUMX% са свързани с вътрешни подсистеми на ядрото.

Основни иновации:

• Дискова подсистема, I/O и файлови системи
  • Няколко опции за монтиране са добавени към Btrfs за използване при възстановяване на данни от повредена файлова система: „rescue=ignorebadroots“ за монтиране, въпреки повредата на някои основни дървета (обхват, uuid, преместване на данни, устройство, csum, свободно пространство), „ rescue=ignoredatacsums”, за да деактивирате проверката на контролната сума за данни и „rescue=all”, за да активирате едновременно режимите „ignorebadroots”, „ignoredatacsums” и „nologreplay”. Опцията за монтиране "inode_cache", която преди това беше отхвърлена, е преустановена. Кодът е подготвен за прилагане на поддръжка за блокове с метаданни и данни, по-малки от размера на страницата (PAGE_SIZE), както и поддръжка за режим на разпределение на зонирано пространство. Небуферираните (Direct IO) заявки са преместени в инфраструктурата на iomap. Изпълнението на редица операции е оптимизирано, в някои случаи ускорението може да достигне десетки проценти.
  • XFS прилага флага "needsrepair", който сигнализира необходимостта от ремонт. Когато този флаг е зададен, файловата система не може да бъде монтирана, докато флагът не бъде нулиран от помощната програма xfs_repair.
  • Ext4 предлага само корекции на грешки и оптимизации, както и почистване на кода.
  • Разрешава се повторен експорт на файлови системи, монтирани през NFS (т.е. дял, монтиран чрез NFS, вече може да бъде експортиран чрез NFS и използван като междинен кеш).
  • Системното извикване close_range(), което позволява на процеса да затвори цял набор от отворени файлови дескриптори наведнъж, добави опция CLOSE_RANGE_CLOEXEC за затваряне на дескриптори в режим close-on-exec.
  • Файловата система F2FS добавя нови ioctl() извиквания, за да позволи контрол на потребителското пространство върху това кои файлове се съхраняват в компресирана форма. Добавена е опция за монтиране "compress_mode=", за да изберете дали да поставите манипулатора за компресиране от страната на ядрото или в потребителското пространство.
  • Осигурена възможност за монтиране на Overlayfs от непривилегировани процеси с помощта на отделно потребителско пространство от имена. За да се провери съответствието с изпълнението на модела за сигурност, беше извършен пълен одит на кода. Overlayfs също така добавя възможност за стартиране с помощта на копия на изображения на файлова система, като по желание деактивира проверката на UUID.
  • Файловата система Ceph добави поддръжка за протокола msgr2.1, който позволява използването на алгоритъма AES-GCM при предаване на данни в криптирана форма.
  • Модулът dm-multipath реализира способността да се вземе предвид афинитетът на процесора („IO афинитет“) при избора на маршрут за I/O заявки.
• Памет и системни услуги
  • Добавен е нов механизъм за прихващане на системни повиквания, базиран на prctl(), който ви позволява да генерирате изключения от потребителското пространство при достъп до конкретно системно повикване и да емулирате неговото изпълнение. Тази функционалност е необходима във Wine и Proton за емулиране на системни повиквания на Windows, което е необходимо за осигуряване на съвместимост с игри и програми, които директно извършват системни повиквания, заобикаляйки API на Windows (например за защита срещу неоторизирано използване).
  • Системното извикване userfaultfd(), предназначено да обработва грешки в страницата (достъп до страници с неразпределена памет) в потребителското пространство, вече има способността да деактивира обработката на изключения, която се случва на ниво ядро, за да направи по-трудно използването на определени уязвимости.
  • Подсистемата BPF е добавила поддръжка за локално съхранение на задачи, което осигурява обвързване на данни към конкретен манипулатор на BPF.
  • Отчитането на потреблението на памет от BPF програмите е напълно преработено - беше предложен контролер на cgroup вместо memlock rlimit за управление на използването на памет в BPF обекти.
  • Механизмът BTF (BPF Type Format), който предоставя информация за проверка на типа в BPF псевдокод, осигурява поддръжка за модули на ядрото.
  • Добавена е поддръжка за системни извиквания shutdown(), renameat2() и unlinkat() към асинхронния I/O интерфейс io_uring. При извикване на io_uring_enter() е добавена възможност за указване на таймаут (можете да проверите поддръжката на аргумента за указване на таймаут, като използвате флага IORING_FEAT_EXT_ARG).
  • Архитектурата ia64, използвана в процесорите Intel Itanium, е преместена в категорията „осиротели“, което означава, че тестването е прекратено. Hewlett Packard Enterprise спря да приема поръчки за ново оборудване Itanium, а Intel го направи миналата година.
  • Поддръжката за системи, базирани на архитектурата MicroBlaze, които не включват модул за управление на паметта (MMU), е преустановена. Такива системи отдавна не се срещат в ежедневието.
  • За MIPS архитектурата е добавена поддръжка за тестване на покритието на кода с помощта на помощната програма gcov.
  • Добавена е поддръжка за виртуалната допълнителна шина за взаимодействие с многофункционални устройства, които комбинират функционалност, която изисква различни драйвери (например мрежови карти с поддръжка на Ethernet и RDMA). Шината може да се използва за присвояване на първичен и вторичен драйвер на устройство в ситуации, когато използването на подсистемата MFD (многофункционални устройства) е проблематично.
  • За архитектурата RISC-V е добавена поддръжка за системата за разпределение на паметта CMA (Contiguous Memory Allocator), която е оптимизирана за разпределяне на големи области на непрекъсната памет с помощта на техники за движение на страници с памет. За RISC-V също са внедрени инструменти за ограничаване на достъпа до /dev/mem и отчитане на времето за обработка на прекъсване.
  • За 32-битови ARM системи е добавена поддръжка за инструмента за отстраняване на грешки KASan (Kernel address sanitizer), който помага за идентифициране на грешки при работа с памет. За 64-битов ARM изпълнението на KASan е преобразувано да използва MTE тагове (MemTag).
  • Добавено е системно извикване epoll_pwait2(), което позволява изчакване с наносекунда точност (извикването epoll_wait манипулира милисекунди).
  • Системата за изграждане вече показва грешка при опит за изграждане на зареждаеми модули на ядрото, в които лицензът на кода не е дефиниран с помощта на макроса MODULE_LICENSE(). Отсега нататък използването на макроса EXPORT_SYMBOL() за статични функции също ще доведе до грешка при компилиране.
  • Добавена е поддръжка за картографиране на GEM обекти от паметта, използвана за I/O, което направи възможно ускоряването на работата с framebuffer на някои архитектури.
  • Kconfig отказа поддръжката за Qt4 (като същевременно запази поддръжката за Qt5, GTK и Ncurses).
• Виртуализация и сигурност
  • Поддръжката за режим на бърз отговор е добавена към системното извикване seccomp(), което ви позволява много бързо да определите дали определено системно повикване е разрешено или забранено въз основа на растерното изображение с постоянно действие, прикрепено към процеса, което не изисква стартиране манипулатор на BPF.
  • Интегрирани компоненти на ядрото за създаване и управление на анклави, базирани на технологията Intel SGX (Software Guard eXtensions), която позволява на приложенията да изпълняват код в изолирани криптирани области на паметта, до които останалата част от системата има ограничен достъп.
  • Като част от инициатива за ограничаване на достъпа от потребителското пространство до MSR (специфичен за модела регистър), запис в регистъра MSR_IA32_ENERGY_PERF_BIAS, който ви позволява да промените режима на енергийна ефективност на процесора („нормален“, „производителност“, „пестене на енергия“) , е забранено.
  • Възможността за деактивиране на миграцията на задачи с висок приоритет между централните процесори е преместена от клона kernel-rt за системи в реално време.
  • За системите ARM64 е добавена възможност за използване на MTE тагове (MemTag, разширение за маркиране на паметта) за адреси на паметта на манипулатора на сигнали. Използването на MTE е активирано чрез указване на опцията SA_EXPOSE_TAGBITS в sigaction() и ви позволява да проверите правилното използване на указатели за блокиране на използването на уязвимости, причинени от достъп до вече освободени блокове памет, препълване на буфер, достъп преди инициализация и използване извън текущия контекст.
  • Добавен е параметърът „DM_VERITY_VERIFY_ROOTHASH_SIG_SECONDARY_KEYRING“, който позволява на подсистемата dm-verity да проверява хеш подписи на сертификати, поставени във вторичния ключодържател. На практика настройката ви позволява да проверявате не само сертификати, вградени в ядрото, но и сертификати, заредени по време на работа, което прави възможно актуализирането на сертификати, без да актуализирате цялото ядро.
  • Linux с потребителски режим добави поддръжка за режим на спиране до неактивност, който ви позволява да замразите средата и да използвате сигнала SIGUSR1, за да се събудите от режим на заспиване.
  • Механизмът virtio-mem, който ви позволява да включвате и изключвате памет към виртуални машини, има добавена поддръжка за Big Block Mode (BBM), което прави възможно прехвърлянето или вземането на памет в блокове, по-големи от размера на паметта на ядрото блок, който е необходим за оптимизиране на VFIO в QEMU.
  • Поддръжката на шифъра CHACHA20-POLY1305 е добавена към реализацията на ядрото на TLS.
• Мрежова подсистема
  • За 802.1Q (VLAN) е внедрен механизъм за управление на неуспехите на връзката (CFM, Connectivity Fault Management), който ви позволява да идентифицирате, проверявате и изолирате неуспехи в мрежи с виртуални мостове (Virtual Bridged Networks). Например CFM може да се използва за изолиране на проблеми в мрежи, обхващащи множество независими организации, чиито служители имат достъп само до собственото си оборудване.
  • Добавена е поддръжка за капсулиране на SCTP протоколни пакети в UDP пакети (RFC 6951), което ви позволява да използвате SCTP в мрежи с по-стари преводачи на адреси, които не поддържат директно SCTP, както и да прилагате SCTP на системи, които не предоставят директен достъп до IP слой.
  • Внедряването на технологията WiMAX е преместено към етапа и е предвидено да бъде премахнато в бъдеще, ако няма потребители, които изискват WiMAX. WiMAX вече не се използва в публични мрежи, а в ядрото единственият драйвер, с който може да се използва WiMAX, е остарелият драйвер Intel 2400m. Поддръжката на WiMAX беше прекратена в мрежовия конфигуратор на NetworkManager през 2015 г. В момента WiMax е почти напълно заменен от технологии като LTE, HSPA+ и Wi-Fi 802.11n.
  • Извършена е работа за оптимизиране на производителността на обработката на входящия TCP трафик в режим на нулево копиране, т.е. без допълнително копиране в нови буфери. За средно голям трафик, покриващ десетки или няколкостотин килобайта данни, използването на zerocopy вместо recvmsg() е значително по-ефективно. Например, въведените промени позволиха да се повиши ефективността на обработката на трафик в стил RPC с 32 KB съобщения при използване на zerocopy с 60-70%.
  • Добавени са нови ioctl() извиквания за създаване на мрежови мостове, обхващащи множество PPP връзки. Предложената възможност позволява кадрите да се преместват от един канал в друг, например от PPPoE към PPPoL2TP сесия.
  • Интегриране в ядрото на MPTCP (MultiPath TCP), разширение на TCP протокола за организиране на работата на TCP връзка с доставка на пакети едновременно по няколко маршрута през различни мрежови интерфейси, свързани с различни IP адреси. Новата версия въвежда поддръжка за опцията ADD_ADDR за рекламиране на налични IP адреси, към които може да се свърже при добавяне на нови потоци към съществуваща MPTCP връзка.
  • Добавена е възможност за конфигуриране на действия, когато бюджетът за запитване на връзката е надвишен (заето анкетиране). Предишният достъпен режим SO_BUSY_POLL означаваше преминаване към softirq, когато бюджетът беше изчерпан. За приложения, които трябва да продължат да използват анкета, се предлага нова опция SO_PREFER_BUSY_POLL.
  • IPv6 реализира поддръжка за SRv6 End.DT4 и End.DT6 режими, използвани за създаване на многопотребителски IPv4 L3 VPN и VRF (виртуално маршрутизиране и пренасочване) устройства.
  • Netfilter обедини внедряването на множество изрази, което направи възможно указването на множество изрази за всеки елемент от списъците с набори.
  • API са добавени към безжичния стек 802.11 за конфигуриране на ограниченията на мощността на SAR, както и AE PWE и HE MCS параметри. Драйверът Intel iwlwifi добави поддръжка за обхвата от 6GHz (Ultra High Band). Драйверът Qualcomm Ath11k е добавил поддръжка за FILS (Fast Initial Link Setup, стандартизирана като IEEE 802.11ai) технология, която ви позволява да се отървете от закъсненията при роуминг по време на миграция от една точка на достъп към друга.
• Оборудование
  • Драйверът amdgpu осигурява поддръжка за AMD "Green Sardine" APU (Ryzen 5000) и "Dimgrey Cavefish" GPU (Navi 2), както и първоначална поддръжка за AMD Van Gogh APU с Zen 2 ядро ​​и RDNA 2 GPU (Navi 2). Добавена е поддръжка за нови идентификатори на Renoir APU (базирани на Zen 2 CPU и Vega GPU).
  • Драйверът i915 за видеокарти Intel поддържа технологията IS (Integer scaling) с прилагането на филтър за увеличаване на мащаба, като се вземе предвид състоянието на съседните пиксели (интерполация на най-близкия съсед), за да се определи цвета на липсващите пиксели. Поддръжката за дискретни карти Intel DG1 е разширена. Внедрена е поддръжка за технологията „Big Joiner“, която присъства от чиповете Ice Lake / Gen11 и позволява използването на един транскодер за обработка на два потока, например за извеждане на 8K екран през един DisplayPort. Добавен е режим за асинхронно превключване между два буфера във видео паметта (async flip).
  • Драйверът nouveau добави първоначална поддръжка за графични процесори NVIDIA, базирани на микроархитектурата Ampere (GA100, GeForce RTX 30xx), досега ограничена до инструменти за управление на видео режими.
  • Добавена е поддръжка за протокола 3WIRE, използван в LCD панелите. Добавена е поддръжка за панели novatek nt36672a, TDO tl070wsh30, Innolux N125HCE-GN1 и ABT Y030XX067A 3.0. Отделно можем да отбележим поддръжката на панела на смартфоните OnePlus 6 и 6T, което направи възможно организирането на зареждането на немодифицирано ядро ​​на устройства.
  • Добавена е поддръжка за първия дискретен USB4 хост контролер на Intel, Maple Ridge.
  • Добавена е поддръжка за Allwinner H6 I2S, Analog Devices ADAU1372, Intel Alderlake-S, GMediatek MT8192, NXP i.MX HDMI и XCVR, Realtek RT715 и аудио кодеци Qualcomm SM8250.
  • Добавена поддръжка за ARM платки, устройства и платформи: Galaxy Note 10.1, Microsoft Lumia 950 XL, NanoPi R1, FriendlyArm ZeroPi, Elimo Initium SBC, Broadcom BCM4908, Mediatek MT8192/MT6779/MT8167, MStar Infinity2M, Nuvoton NPCM730, Marvell Armada 382, ​​​​Mikrotik, базиран на Marvell Prestera 98DX3236, сървъри с Nuvoton NPCM750 BMC, Kontron i.MX8M Mini, Espressobin Ultra, “Trogdor” Chromebook, Kobol Helios64, Engicam PX30.Core.
  • Вградена поддръжка за игровата конзола Ouya, базирана на NVIDIA Tegra 3.

В същото време Латиноамериканската фондация за свободен софтуер създаде версия на напълно безплатното ядро ​​5.11 - Linux-libre 5.11-gnu, изчистено от елементи на фърмуер и драйвери, съдържащи несвободни компоненти или кодови секции, чийто обхват е ограничен от производителя. Новата версия почиства драйвери за qat_4xxx (крипто), lt9611uxcm (dsi/hdmi мост), ccs/smia++ (сензор), ath11k_pci, nxp аудио трансивър и mhi pci контролер. Актуализиран код за почистване на петна в драйвери и подсистеми amdgpu, btqca, btrtl, btusb, i915 csr. Деактивирани са нови петна в m3 rproc, idt82p33 ptp часовник и qualcomm arm64.

Източник: opennet.ru