Společnost Oracle první stabilní vydání (UEK R6), rozšířená verze jádra Linuxu, která je určena pro použití v distribuci Oracle Linux jako alternativa k základnímu balíčku s jádrem z Red Hat Enterprise Linux. Jádro je k dispozici pouze pro architektury x86_64 a ARM64 (aarch64). Zdrojové kódy jádra, včetně rozdělení na jednotlivé patche, jsou ve veřejném Git repozitáři Oracle.
Balíček Unbreakable Enterprise Kernel 6 je založen na jádře (UEK R5 byl založen na jádře 4.14), které je doplněno novými funkcemi, optimalizacemi a opravami, a také bylo ověřeno na kompatibilitu s většinou aplikací běžícími na RHEL a speciálně optimalizováno pro práci s průmyslovým softwarem a hardwarem Oracle. Instalační a src balíčky jádra UEK R6 byly připraveny pro Oracle Linux. a . Podpora větve 6.x byla ukončena, pro použití UEK R6 je nutné aktualizovat systém na Oracle Linux 7 (neexistují žádné překážky pro použití tohoto jádra v podobných verzích RHEL, CentOS a Scientific Linux).
Klíčové Unbreakable Enterprise Kernel 6:
- Rozšířená podpora systémů založených na 64-bitové architektuře ARM (aarch64).
- Podpora všech funkcí Cgroup v2 byla implementována.
- Byl implementován framework ktask pro paralelizaci úloh v jádře, které spotřebovávají významné zdroje CPU. Například pomocí ktask může být organizováno paralelní provádění operací čištění oblastí stránek paměti nebo zpracování seznamu inode;
- Zahrnuta byla paralelní verze kswapd pro zpracování operací výměny stránek paměti v asynchronním režimu, což umožňuje snížit počet přímých (synchronních) operací výměny. Při snižování počtu volných stránek paměti kswapd provádí skenování pro identifikaci nepoužívaných stránek, které mohou být uvolněny.
- Podpora verifikace integrity obrazů jádra a firmwaru pomocí digitálního podpisu při startu jádra prostřednictvím mechanismu Kexec (načítání jádra z již zavedeného systému).
- Byla optimalizována výkonnost systému správy virtuální paměti, zlepšena účinnost čištění stránek paměti a cache, zlepšena obrátka na nealokované stránky paměti (page faults).
- Rozšířena podpora NVDIMM, nově označená trvalá paměť může být nyní použita jako tradiční RAM.
- Byl proveden přechod na systém dynamického ladění DTrace 2.0, který pro používání subsystému jádra eBPF. DTrace nyní funguje na eBPF, podobně jako existující nástroje pro sledování v Linuxu.
- Byla provedena vylepšení souborového systému OCFS2 (Oracle Cluster File System).
- Byla vylepšena podpora souborového systému Btrfs. Přidána možnost použití Btrfs na kořenových oddílech. Do instalátoru byla přidána volba pro výběr Btrfs při formátování zařízení. Byla přidána možnost umístění swapových souborů na oddílech s Btrfs. Podpora komprese byla přidána do Btrfs za použití algoritmu ZStandard.
- Byla přidána podpora rozhraní pro asynchronní I/O — io_uring, které se vyznačuje podporou polling I/O a možností fungovat jak s buffering, tak bez bufferingu. Z hlediska výkonu je io_uring velmi blízko k SPDK a výrazně předčí libaio při práci s povoleným pollingem. Pro použití io_uring v koncových aplikacích běžících v uživatelském prostoru byla připravena knihovna liburing, poskytující vysoceúrovňové obalení nad rozhraním jádra.
- Byla přidána podpora režimu pro rychlé šifrování úložišť.
- Byla přidána podpora komprese za použití algoritmu (zstd).
- V souborovém systému ext4 byly použity 64bitové časové značky v polích superbloku.
- V XFS byly zahrnuty nástroje pro informování o stavu integrity FS během provozu a získání stavu provedení fsck za běhu.
- TCP zásobník byl standardně převeden na model „“ místo „As Fast As Possible“ při odesílání paketů. Pro UDP byla přidána podpora GRO (Generic Receive Offload). Byla přidána podpora příjmu a odesílání TCP paketů v režimu zero-copy.
- Byla implementována podpora protokolu TLS na úrovni jádra (KTLS), která nyní může být použita nejen pro odesílaná, ale i pro přijímaná data.
- Jako backend pro firewall je standardně použit
nftables. Volitelně byla přidána podpora . - Byla přidána podpora subsystému XDP (eXpress Data Path), který umožňuje v Linuxu spouštět BPF programy na úrovni síťového ovladače s přímým přístupem k DMA bufferům paketů a ve fázi před alokací bufferu skbuff síťovým stackem.
- Byla vylepšena a povolena při použití režimu UEFI Secure Boot. , který omezuje přístup uživatele root k jádru a blokuje cesty obcházení UEFI Secure Boot. Například v režimu lockdown je omezen přístup k /dev/mem, /dev/kmem, /dev/port, /proc/kcore, debugfs, ladicímu režimu kprobes, mmiotrace, tracefs, BPF, PCMCIA CIS (Card Information Structure), některým rozhraním ACPI a MSR registrům CPU, jsou blokovány volání kexec_file a kexec_load, zakazuje se přechod do spánkového režimu, je omezeno používání DMA pro PCI zařízení, zakazuje se import kódu ACPI z EFI proměnných, nejsou povoleny manipulace s porty vstupu/výstupu, včetně změny čísla přerušení a portu vstupu/výstupu pro sériový port.
- Byla přidána podpora rozšířených instrukcí IBRS (Enhanced Indirect Branch Restricted Speculation), které umožňují adaptivně povolovat a zakazovat spekulativní provádění instrukcí během zpracování přerušení, systémových volání a přepínání kontextu. Při podpoře Enhanced IBRS je tato metoda používána k ochraně proti útokům třídy Spectre V2 místo Retpoline, protože umožňuje dosáhnout vyšší výkonnosti.
- Byla vylepšena ochrana v adresářích, které mají zápisový přístup pro všechny. V takových adresářích je zakázáno vytváření FIFO souborů a souborů, které patří uživatelům, kteří se neshodují s vlastníkem adresáře se sticky flagem.
- Ve výchozím nastavení je na systémech ARM povolena randomizace adresního prostoru jádra (KASLR). Pro Aarch64 je povolena autentizace ukazatelů.
- Byla přidána podpora „NVMe over Fabrics TCP“.
- Byl přidán ovladač virtio-pmem, který poskytuje přístup k úložným zařízením zrcadlícím se v fyzickém adresním prostoru, jako je NVDIMM.
Zdroj: opennet.ru
