Версия на ядрото на Linux 6.7

След два месеца разработка, Линус Торвалдс представи версията на Linux ядрото 6.7. Сред най-забележителните промени: интегриране на файловата система Bcachefs, прекратяване на поддръжката за архитектурата Itanium, способността на Nouvea да работи с GSP-R фърмуер, поддръжка на TLS криптиране в NVMe-TCP, възможност за използване на изключения в BPF, поддръжка за futex в io_uring, оптимизиране на fq (Fair Queuing) производителност на планировчика), поддръжка за TCP-AO разширение (TCP Authentication Option) и възможност за ограничаване на мрежовите връзки в механизма за сигурност на Landlock, добавен контрол на достъпа до потребителското пространство от имена и io_uring чрез AppArmor.

Новата версия включва 18405 2066 корекции от 72 13467 разработчици, размерът на корекцията е 906147 MB (промените засегнаха 341048 15291 файла, 2058 39 реда код бяха добавени, 45 6.7 реда бяха изтрити). Последната версия имаше 14 корекции от 13 разработчици, размерът на корекцията беше 5 MB. Около 3% от всички промени, въведени в XNUMX, са свързани с драйвери на устройства, приблизително XNUMX% от промените са свързани с актуализиране на код, специфичен за хардуерни архитектури, XNUMX% са свързани с мрежов стек, XNUMX% са свързани с файлови системи и XNUMX% са свързани с вътрешни подсистеми на ядрото.

Ключови иновации в ядрото 6.7:

• Дискова подсистема, I/O и файлови системи
  • Ядрото приема кода на файловата система Bcachefs, който се опитва да постигне производителността, надеждността и скалируемостта на XFS, комбинирани с елементи от разширената функционалност, открита в Btrfs и ZFS. Например Bcachefs поддържа функции като включване на множество устройства в дял, многослойни оформления на дискове (долният слой с често използвани данни, базирани на бързи SSD дискове, и горният слой с по-малко използвани данни от твърди дискове), репликация (RAID 1/10), кеширане, прозрачно компресиране на данни (режими LZ4, gzip и ZSTD), срезове на състоянието (моментни снимки), проверка на целостта с помощта на контролни суми, възможност за съхраняване на кодове за коригиране на грешки на Reed-Solomon (RAID 5/6), съхраняване на информация в криптирана форма (използват се ChaCha20 и Poly1305). По отношение на производителността Bcachefs изпреварва Btrfs и други файлови системи, базирани на механизма Copy-on-Write, и демонстрира скорост на работа, близка до Ext4 и XFS.
  • Файловата система Btrfs въвежда опростен квотен режим, който ви позволява да постигнете по-висока производителност чрез проследяване на екстентите само в подраздела, в който са създадени, което значително опростява изчисленията и подобрява производителността, но не ви позволява да вземете предвид екстентите, споделени в няколко подразделения.
  • Btrfs добави нова структура от данни „стрип дърво“, подходяща за картографиране на логически екстенти в ситуации, когато физическите картографирания не съвпадат между устройствата. Структурата в момента се използва в реализации на RAID0 и RAID1 за зонирани блокови устройства. В бъдеще те планират да използват тази структура в RAID от по-високо ниво, което ще реши редица проблеми, съществуващи при текущата реализация.
  • Файловата система Ceph реализира поддръжка за съпоставяне на потребителски идентификатори на монтирани файлови системи, използвани за съпоставяне на файловете на конкретен потребител на монтиран чужд дял с друг потребител в текущата система.
  • Добавена е възможност за указване на uid и gid при монтиране към efivarfs, за да се позволи на не-root процеси да променят UEFI променливи.
  • Добавени ioctl извиквания към exFAT за четене и промяна на FS атрибути. Добавена обработка на директории с нулев размер.
  • F2FS реализира възможността за използване на 16K блокове.
  • Механизмът за автоматично монтиране на autofs е превключен да използва новия API за монтиране на дялове.
  • OverlayFS предлага опции за монтиране "lowerdir+" и "datadir+". Добавена е поддръжка за вложено монтиране на OverlayFS с xattrs.
  • XFS е оптимизирал натоварването на процесора в кода за разпределение на блокове в реално време. Осигурена е възможност за едновременно извършване на операции четене и FICLONE.
  • Кодът EXT2 е преобразуван, за да използва фолио на страници.
• Памет и системни услуги
  • Поддръжката за архитектурата ia64, използвана в процесорите Intel Itanium, които бяха напълно прекратени през 2021 г., е преустановена. Процесорите Itanium бяха представени от Intel през 2001 г., но архитектурата ia64 не успя да се конкурира с AMD64, главно поради по-високата производителност на AMD64 и по-плавния преход от 32-битови x86 процесори. В резултат на това интересите на Intel се изместиха в полза на процесорите x86-64, а партията на Itanium остана HP Integrity сървъри, поръчките за които бяха спрени преди три години. Кодът за поддръжка на ia64 беше премахнат от ядрото главно поради дългосрочната липса на поддръжка за тази платформа, докато Линус Торвалдс изрази готовност да върне поддръжката на ia64 в ядрото, но само ако има поддържащ, който може да демонстрира високо качество поддръжка за тази платформа извън основното ядро ​​за поне една година.
  • Добавен е параметърът на командния ред на ядрото „ia32_emulation“, който ви позволява да активирате или деактивирате поддръжката за емулация на 32-битов режим в ядра, изградени за архитектурата x86-64, на етапа на зареждане. От практическа гледна точка, новата опция ви позволява да изградите ядрото с поддръжка за съвместимост с 32-битови приложения, но деактивирайте този режим по подразбиране, за да намалите вектора на атаката върху ядрото, тъй като API за съвместимост е по-малко тестван от основното ядро интерфейси.
  • Продължава миграцията на промените от клона Rust-for-Linux, свързани с използването на езика Rust като втори език за разработване на драйвери и модули на ядрото (поддръжката на Rust не е активна по подразбиране и не води до включването на Rust сред необходимите асемблиращи зависимости за ядрото). Новата версия прави преход към използване на изданието Rust 1.73 и предлага набор от обвързвания за работа с работни опашки.
  • Възможно е да се използва механизмът binfmt_misc за добавяне на поддръжка за нови изпълними файлови формати (например за стартиране на компилирани Java или Python приложения) в отделни непривилегировани пространства от имена.
  • Контролерът на cgroup cpuset, който ви позволява да контролирате използването на CPU ядра при изпълнение на задача, предоставя разделение на локално и отдалечено разделяне, които се различават по това дали родителската cgroup е правилната главна секция или не. Нови настройки „cpuset.cpus.exclusive“ и „cpuset.cpus.excluisve.effective“ също са добавени към cpuset за изключително обвързване на процесора.
  • Подсистемата BPF реализира поддръжка за изключения, които се обработват като авариен изход от BPF програма с възможност за безопасно развиване на стекови рамки. В допълнение, BPF програмите позволяват използването на kptr указатели във връзка с процесора.
  • Към подсистемата io_uring е добавена поддръжка за операции с futex и са внедрени нови операции: IORING_OP_WAITID (асинхронна версия на waitid), SOCKET_URING_OP_GETSOCKOPT (опция getsockoptand), SOCKET_URING_OP_SETSOCKOPT (опция setsockopt) и IORING_OP_READ_MULTISHOT (многократни операции за четене, които не спират, докато има данни или буферът не е пълен).
  • Добавено внедряване на олекотени едносвързани FIFO опашки, които изискват спинлок само за изваждане от опашката в контекст на процес и се освобождават от спинлок за атомарни добавки към опашката във всеки контекст.
  • Добавен пръстен буфер "objpool" с мащабируема реализация на опашка с висока производителност за разпределяне и връщане на обекти.
  • Първоначалната част от промените е добавена за прилагане на новия futex2 API, който има по-добра производителност на NUMA системи, поддържа размери, различни от 32 бита, и може да се използва вместо мултиплексираното системно извикване futex().
  • За архитектурите ARM32 и S390x е добавена поддръжка за текущия набор (cpuv4) от BPF инструкции.
  • За архитектурата RISC-V е възможно да се използва режимът за проверка на стека Shadow-Call, наличен в Clang 17, предназначен да предпазва от презаписване на адреса за връщане от функция в случай на препълване на буфера в стека. Същността на защитата е да запази адреса за връщане в отделен стек „сянка“ след прехвърляне на контрола към функция и извличане на този адрес преди излизане от функцията.
  • Към механизма за обединяване на идентични страници от паметта (KSM: Kernel Samepage Merging) е добавен нов интелигентен режим на сканиране на страници от паметта, който проследява неуспешно сканираните страници и намалява интензивността на повторното им сканиране. За активиране на новия режим е добавена настройката /sys/kernel/mm/ksm/smart_scan.
  • Добавена е нова ioctl команда PAGEMAP_SCAN, която, когато се използва с userfaultfd(), ви позволява да определите фактите за запис в определен диапазон от памет. Новата функция, например, може да се използва в системата за запазване и възстановяване на състоянието на CRIU процесите или в системите против измама в играта.
  • В системата за асемблиране, ако компилаторът Clang е наличен, асемблирането на примери за използване на подсистемата perf, написани като BPF програми, е разрешено по подразбиране.
  • Старият слой videobuf, който беше използван за управление на кадрови буфери в медийната подсистема и беше заменен от нова реализация на videobuf10 преди повече от 2 години, беше премахнат.
• Виртуализация и сигурност
  • Възможността за криптиране на данни в блокове, по-малки от размера на блока във файловата система, е добавена към подсистемата fscrypt. Това може да е необходимо, за да се активират механизми за хардуерно криптиране, които поддържат само малки блокове (например UFS контролери, които поддържат само размер на блока 4096, могат да се използват с файлова система с размер на блока 16K).
  • Подсистемата „iommufd“, която ви позволява да управлявате IOMMU (I/O Memory-Management Unit) таблици на страници с памет чрез файлови дескриптори от потребителско пространство, добави проследяване на данни, които все още не са изчистени от кеша (замърсени) за DMA операции, което е необходимо за определяне на паметта с непрочистени данни по време на миграцията на процеса.
  • Към механизма Landlock е добавена поддръжка за дефиниране на правила за контрол на достъпа за TCP сокети, което ви позволява да ограничите взаимодействието на група процеси с външната среда. Например, можете да създадете правило, което позволява достъп само до мрежов порт 443 за установяване на HTTPS връзки.
  • Подсистемата AppArmor добави възможност за контролиране на достъпа до механизма io_uring и създаване на потребителски пространства от имена, което ви позволява избирателно да разрешите достъп до тези възможности само на определени процеси.
  • Добавен API за удостоверяване на виртуална машина за проверка на целостта на процеса на зареждане на виртуалната машина.
  • Системите LoongArch поддържат виртуализация с помощта на KVM хипервайзора.
  • При използване на KVM хипервайзор на RISC-V системи се появи поддръжка за разширението Smstateen, което блокира достъпа на виртуалната машина до регистрите на процесора, които не се поддържат изрично от хипервизора. Също така е добавена поддръжка за използването на разширението Zicond в системи за гости, което позволява използването на някои условни операции с цели числа.
  • В базирани на x86 системи за гости, работещи под KVM, са разрешени до 4096 виртуални процесора.
• Мрежова подсистема
  • Драйверът NVMe-TCP (NVMe през TCP), който ви позволява да осъществявате достъп до NVMe устройства по мрежата (NVM Express през Fabrics), използвайки TCP протокола, има добавена поддръжка за криптиране на канала за предаване на данни с помощта на TLS (използвайки KTLS и фонов процес в потребителско пространство tlshd за договаряне на връзка).
  • Производителността на планировчика на пакети fq (Fair Queuing) беше оптимизирана, което направи възможно увеличаване на пропускателната способност с 5% при големи натоварвания в теста tcp_rr (TCP Request/Response) и с 13% при неограничен поток от UDP пакети.
  • TCP добавя опционална възможност за клеймо за време с точност до микросекунда (TCP TS) (RFC 7323), което позволява по-точна оценка на латентността и по-усъвършенствани модули за контрол на задръстванията. За да го активирате, можете да използвате командата “ip route add 10/8 ... features tcp_usec_ts”.
  • TCP стекът има добавена поддръжка за разширението TCP-AO (TCP Authentication Option, RFC 5925), което прави възможно проверката на TCP хедъри с помощта на MAC кодове (Message Authentication Code), използвайки по-модерни алгоритми HMAC-SHA1 и CMAC-AES- 128 вместо наличната по-рано опция TCP-MD5, базирана на наследения алгоритъм MD5.
  • Добавен е нов тип виртуални мрежови устройства „netkit“, логиката за пренос на данни, в която се задава с помощта на BPF програма.
  • KSMBD, реализация на ниво ядро ​​на SMB сървър, добави поддръжка за разрешаване на имена на файлове, съдържащи заместващи двойки съставни знаци.
  • NFS подобри внедряването на нишки с RPC услуги. Добавена е поддръжка за делегиране на запис (за NFSv4.1+). NFSD добави поддръжка за манипулатора на мрежовата връзка rpc_status. Подобрена поддръжка за NFSv4.x клиенти при повторно експортиране в knfsd.
• Оборудование
  • Първоначалната поддръжка за GSP-RM фърмуер е добавена към модула на ядрото Nouveau, който се използва в NVIDIA RTX 20+ GPU за преместване на операциите по инициализация и контрол на GPU към отделен GSP микроконтролер (GPU системен процесор). Поддръжката на GSP-RM позволява на драйвера Nouveau да работи чрез извиквания на фърмуера, вместо директно да програмира хардуерни взаимодействия, което прави много по-лесно добавянето на поддръжка за нови графични процесори NVIDIA чрез използване на предварително изградени извиквания за инициализация и управление на захранването.
  • Драйверът AMDGPU поддържа GC 11.5, NBIO 7.11, SMU 14, SMU 13.0 OD, DCN 3.5, VPE 6.1 и DML2. Подобрена поддръжка за безпроблемно зареждане (без трептене при превключване на видео режим).
  • Драйверът i915 добавя поддръжка за чипове Intel Meteor Lake и добавя първоначална реализация на Intel LunarLake (Xe 2).
  • Добавена е поддръжка за асиметрични предавателни канали, добавени към спецификацията USB4 v2 (120/40G).
  • Добавена поддръжка за ARM SoC: Qualcomm Snapdragon 720G (използван в смартфони Xiaomi), AMD Pensando Elba, Renesas, R8A779F4 (R-Car S4-8), USRobotics USR8200 (използван в рутери и NAS).
  • Добавена е поддръжка за смартфон Fairphone 5 и ARM платки Orange Pi 5, QuartzPro64, Turing RK1, Variscite MX6, BigTreeTech CB1, Freescale LX2162, Google Spherion, Google Hayato, Genio 1200 EVK, RK3566 Powkiddy RGB30.
  • Добавена е поддръжка за RISC-V платки Milk-V Pioneer и Milk-V Duo.
  • Добавена е поддръжка за звукови интерфейси на лаптопи HUAWEI, доставени с процесори AMD. Добавена е поддръжка за допълнителни високоговорители, инсталирани на лаптопи Dell Oasis 13/14/16. Добавена е поддръжка за вградени високоговорители ASUS K6500ZC. Добавена е поддръжка за индикатора за заглушаване на лаптопи HP 255 G8 и G10. Добавена е поддръжка за acp6.3 аудио драйвери. Добавена е поддръжка за професионални интерфейси за запис на Focusrite Clarett+ 2Pre и 4Pre.

В същото време Латиноамериканската фондация за свободен софтуер създаде версия на напълно безплатното ядро ​​6.7 - Linux-libre 6.7-gnu, изчистена от елементи на фърмуер и драйвери, съдържащи несвободни компоненти или кодови секции, чийто обхват е ограничен от производителя. Във версия 6.7 кодът за почистване на петна е актуализиран в различни драйвери и подсистеми, например в драйверите amdgpu, nouveau, adreno, mwifiex, mt7988, ath11k, avs и btqca. Кодът за почистване на драйверите localtalk и rtl8192u е премахнат поради изключването им от ядрото. Премахнати са ненужните компоненти за почистване на драйверите xhci-pci, rtl8xxxu и rtw8822b, добавени по-рано по погрешка. Изчистени имена на петна в dts файлове за архитектурата Aarch64. Премахнати петна в новите драйвери mt7925, tps6598x, aw87390 и aw88399.

Източник: opennet.ru