Verze Red Hat Enterprise Linux 10.3 a 9.9

Společnost Red Hat představila vydání distribuce Red Hat Enterprise Linux 10.3 a také aktualizaci starší větve — Red Hat Enterprise Linux 9.9. Hotové instalační obrazy jsou dostupné pro registrované uživatele Red Hat Customer Portal (ke zhodnocení funkčnosti lze použít veřejné iso-obrazy CentOS Stream 10 a také bezplatné sestavení RHEL pro vývojáře). Vydání je k dispozici pro architektury x86_64, s390x (IBM System z), ppc64le (POWER9), Aarch64 (ARM64) a RISC-V (preview). Větve RHEL 10 budou podporovány do roku 2035 (+ 4 roky rozšířené placené podpory), RHEL 9 — do konce května 2032 a RHEL 8 — do roku 2029.

Balíčky RHEL nejsou umístěny v veřejném repozitáři git.centos.org a jsou poskytovány klientům společnosti pouze prostřednictvím uzavřené sekce webu, na kterém je platná uživatelská smlouva (EULA), zakazující redistribuci dat stažených prostřednictvím klientského portálu, což vytváří právní rizika při použití těchto balíčků k vytváření odvozených distribucí. Zdrojové texty RHEL zůstávají k dispozici v repozitáři CentOS Stream, ale nejsou plně synchronizovány s RHEL a verze balíčků v něm se ne vždy shodují s balíčky z RHEL. Rocky Linux, Oracle a SUSE reprodukují zdrojové texty rpm-balíčků vydání RHEL v rámci projektu OpenELA.

Hlavní změny v RHEL 10.3 (většina uvedených změn je přítomna i v RHEL 9.9):

• Byla rozšířena podpora postkvantových šifrovacích algoritmů. Do SSH byla přidána podpora algoritmů mlkem768nistp256-sha256 a mlkem1024nistp384-sha384. Do libreswan, implementace protokolů IPsec a IKE (Internet Key Exchange), byla přidána podpora postkvantových algoritmů výměny klíčů ML-KEM-768 a ML-KEM-1024. Do balíku rust-sequoia-sqv s implementací utility gpgv v jazyce Rust byla přidána plná podpora postkvantových šifrovacích algoritmů, definovaných v nové specifikaci OpenPGP. Do balíku audit byla přidána podpora postkvantových algoritmů v TLS 1.3 a použití PSK-ověřování při přenosu logů na externí hostitele. Do OpenSC byla přidána podpora specifikace PKCS #11 v3.2 a postkvantového šifrování.
• Subsystémy eBPF a Perf byly synchronizovány s jádrem Linux 6.19.
• Ve verzích jádra pro CentOS Stream byly v subsystému RV (Runtime Verification), určeném k ověřování správnosti fungování vysoce spolehlivých systémů, zahrnuty komponenty monitorování „sched“ pro analýzu chování plánovače úloh a „rtapp“ (monitor reálného času) pro sledování typických problémů v aplikacích pracujících v reálném čase.
• Do nástroje rtla, používaného pro analýzu práce v reálném čase v jádře, byla přidána podpora připojení vlastních eBPF zpracovatelů pro provádění akcí při překročení určitého prahového hodnocení, a také byla rozšířena možnost analýzy zásobníku EFI-volání pomocí utility timerlat.
• V mechanismu IMA (Integrity Measurement Architecture), používaném k ověřování integrity komponent systému podle digitálních podpisů a hashů, byly zpřísněny kontroly na některých souborových systémech, které byly dříve ignorovány (například tmpfs a ramfs).
• V modulu jádra tboot (Trusted Boot) byla rozšířena podpora technologie Intel TXT (Trusted Execution Technology).
• Byla vylepšena podpora rozšíření Intel RDT (Intel Resource Director Technology), které umožňuje sledovat a omezovat využití určitých procesorových zdrojů.
• Byl přidán experimentální ovladač amdxdna pro NPU čipy (Neural Processing Unit) společnosti AMD.
• Byla poskytnuta možnost využití konzolového nástroje image-builder pro sestavení systémových obrazů se zadanými parametry a nastavením. Nástroj bootc-image-builder byl prohlášen za zastaralý, ale bude nadále podporován v rámci cyklu RHEL 10. Do webové konzoly byla přidána podpora pro sestavení obrazů kompatibilních s bootc ze všech základních obrazů dostupných v aktuálním systému, včetně obrazů z Fedora, CentOS Stream a libovolných kontejnerů. Názvy typů systémových obrazů byly synchronizovány mezi konzolovým nástrojem a webovým rozhraním (například aws pro Amazon Machine Image (AMI) a guest-image pro QCOW2). Byla přidána podpora pro vytváření vlastních sestavení pro distribuci Hummingbird (verzi Fedora založenou na kontejnerech).
• V edici RHEL for Edge byla implementována možnost nasazení edge systémů pomocí FIDO Device Onboard (FDO). Implementace FDO v jazyce Rust (fdo-rs, fido-device-onboard) byla nahrazena variantou go-fdo v jazyce Go, a bash nástroj greenboot byl nahrazen implementací v jazyce Rust (greenboot-rs). Při aktualizaci je zajištěn automatický převod obrazů z bootc na použití greenboot-rs. Greenboot se používá v atomárně aktualizovaných variantách RHEL pro kontrolu stavu systému při spuštění a návrat na předchozí verzi při zjištění problémů.
• Ve frameworku fapolicyd (File Access Policy Daemon), který určuje, které programy může určitý uživatel spouštět a které ne, byla implementována vícivláknová paralelní zpracování operací, dynamická změna velikosti databáze a integrace se službou watchdog systemd.
• Byly přidány nové systémové role (System Roles): auditd pro automatizaci řízení procesu systémového auditu; trustee_server a trustee_client pro automatizaci nasazení serverových a klientských komponent důvěrných virtuálních strojů s hardwarovým šifrováním paměti (CVM, Confidential Virtual Machine).
• V SELinux byly pravidla powerprofiles_t převedena do režimu "enforcing",
  qgs_t,
  redfish_finder_t,
  sshd_auth_t,
  sshd_session_t,
  systemd_mountfsd_t a
  systemd_oomd_t. Služba go-fdo-server byla převedena pod ochranu SELinux.
• Pro dnf-automatic byla implementována blokace restartu během automatické instalace aktualizací balíčků.
• Do nástroje rpmdb byl přidán příznak "--parkdb" pro optimalizaci databáze RPM při použití na médiích dostupných pouze v režimu pouze pro čtení.
• Součástí jsou balíčky s moduly mod_security (firewall pro ochranu webových aplikací) a mod_security_crs (sada pravidel OWASP Core Rule Set) pro Apache httpd.
• V kompozitním správci GNOME Kiosk, určeném pro vytváření internetových kiosků, byly rozšířeny prostředky pro osoby se zdravotním postižením. Byla přidána speciální velká panel, možnost zvětšování oblastí na obrazovce a možnost vypnout animaci.
• V GNOME bylo v nastavení displeje implementováno nastavení pro řízení automatického otáčení obrazovky v závislosti na měření akcelerometru.
• Na systémech s čipy AMD byla zavedena podpora kamer s rozhraním MIPI (Mobile Industry Processor Interface).
• Byl zvýšen výkon ovladače virtio-fs pro hostitelské systémy Windows.
• Do nástroje Podman byla přidána možnost přiřazení několika statických IP adress IP adres pro jedno síťové rozhraní při vytváření kontejneru.
• Do NetworkManageru byla přidána podpora GENEVE tunelů a mechanismu CLAT (Customer-side Translator, 464XLAT) pro zajištění funkce aplikací, které podporují pouze IPv4, na hostiteli s IPv6. Byla implementována možnost použití API Nmstate pro konfiguraci tunelů IPv4 over IPv4 (IPIP),
  IPv4 over IPv6 (IPIP6),
  IPv6 over IPv6 (IP6IP6) a
  Simple Internet Transition (SIT).
• Ve Stratis, nástroji pro správu logických oddílů, byla implementována možnost konverze nešifrovaných poolů oddílů na šifrované.
• Byla přidána experimentální (Technology Preview) podpora subsystému asynchronního vstupu/výstupu io_uring (ve výchozím nastavení je zakázána, aktivuje se přes /proc/sys/kernel/io_uring_disabled).
• Byly přidány experimentální balíčky crypto-auditing-agent a crypto-auditing-log-parser pro trasování a audit kryptografických operací prováděných knihovnami v uživatelském prostoru (pro analýzu se používají eBPF a USDT kontroly).
• Byla přidána experimentální možnost přesměrování smart karet na vzdálenou plochu GNOME (GNOME Remote Desktop) při použití protokolu RDP.
• Do správce zobrazení GDM (GNOME Display Manager) byla přidána podpora bezheslových metod autentizace, například prostřednictvím biometrické autentizace a technologie passkey.
• Při připojení k bezdrátovým sítím byla ukončena podpora protokolu WEP (Wired Equivalent Privacy).
• MCP Server byl uveden do provozu, což umožňuje připojovat AI agenty a poskytovat jim přístup k systémovým datům pro diagnostiku problémů.
• Byl navržen experimentální AI asistent, který poskytuje kontextové nápovědy a vysvětlení v příkazovém řádku. Může být použit jako lokálně prováděný AI model nebo jako externí služba.
• Byla stabilizována implementace „zapečetěných“ obrazů, která poskytuje kryptografickou ochranu integrity, zaručující, že spuštěný systém bit za bitem odpovídá tomu, co bylo původně nasazeno a podepsáno.
• Byly aktualizovány verze balíčků pro vývojáře: GCC 16.2, LLVM 22.1.8, Go 1.27.3, Rust 1.97, gdb 17.2, Valgrind 3.27.1, valkey 8.1, Node.js 26.
• Byly aktualizovány serverové balíčky: iproute 7.0.0, netfilter 7.2, libreswan 5.4, libcap-ng 0.9.3 (s novým nástrojem cap-audit), Grafana 12.4.3, firewalld 2.4.2, Podman 6.0.
• Byly aktualizovány systémové balíčky: Binutils 2.46, audit 4.2.1, bootc 1.16.4, ostree 2026.3, opencryptoki 3.27.0, sequoia-sqv 1.5.0,
  SELinux 3.11, SystemTap 5.5, fwupd 2.1.6.
• Byly přidány nové ovladače:
  • stmmac — STMicroelectronics Multi-Gigabit Ethernet
  • dwmac-starfive — StarFive DWMAC Ethernet
  • smbdirect — CIFS SMB Direct (RDMA)
  • dibs (Data Integrity Block Store)
  • spi-nor — SPI NOR flash
  • spi-cadence-quadspi — Cadence Quad SPI
  • spi-fsl-quadspi — Freescale QuadSPI
  • mmc-dw-starfive — StarFive MMC/SD
  • sdhci-of-k1 — SpaceMit K1 SDHCI
  • at24 — AT24 I2C EEPROM
  • amd-isp4 — AMD ISP4 (záznamové zařízení videa)
  • snd-sof-novalake — Intel NovaLake Sound Open Firmware
  • snd-soc-tas2781-i2c — zesilovač zvuku TI TAS2781 I2C
  • dwc3 — Synopsys DesignWare USB3 DRD
  • cdns3 — Cadence USB3
  • xhci-plat-hcd — Generic xHCI
  • gpio-dwapb — Synopsys DesignWare APB GPIO
  • gpio-novalake — Intel Nova Lake GPIO ACPI
  • gpio-spacemit-k1 — SpaceMit K1 GPIO
  • spd5118 — teplotní senzor SPD5118
  • spacemit — SoC SpaceMit
  • starfive — SoC StarFive
  • eswin — SoC Eswin
  • mediatek — SoC MediaTek
  • arm64-mpam — ARM64 MPAM (rozdělování a sledování paměti)
  • riscv-iommu — RISC-V IOMMU
  • resctrl — pseudo-FS pro správu zdrojů
  • nvidia-tegra410-c2c-pmu — NVIDIA Tegra410 C2C PMU
  • nvidia-tegra410-cmem-latency-pmu — NVIDIA Tegra410 PMU
  • rpmsg_virtio — virtio ovladač pro RPM (Remote Processor Messaging)
  • ti-k3-dsp-remoteproc — TI K3 DSP
  • hid-haptic — HID haptický touchpad
  • starfive-wdt — StarFive watchdog

Zdroj: opennet.ru