{"id":99149,"date":"2021-02-16T16:22:46","date_gmt":"2021-02-16T14:22:46","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/reliz-yadra-linux-5-11"},"modified":"2021-02-16T16:22:46","modified_gmt":"2021-02-16T14:22:46","slug":"reliz-yadra-linux-5-11","status":"publish","type":"post","link":"https:\/\/prohoster.info\/da\/blog\/news\/reliz-yadra-linux-5-11","title":{"rendered":"Udgivelse af Linux-kernen 5.11","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Efter to m\u00e5neders udvikling pr\u00e6senterede Linus Torvalds udgivelsen af Linux-kernen 5.11. Blandt de mest bem\u00e6rkelsesv\u00e6rdige \u00e6ndringer er: underst\u00f8ttelse af Intel SGX-enklaver, en ny mekanisme til opfangning af systemopkald, en virtuel auxiliary-bus, forbud mod at samle moduler uden MODULE_LICENSE(), hurtig filtrering af systemopkald i seccomp, oph\u00f8r af support til ia64-arkitekturen, flytning af WiMAX-teknologi til 'staging'-grenen, samt muligheden for indkapsling af SCTP i UDP. <\/p>\n
Den nye version indeholder 15480 rettelser fra 1991 udviklere, patch-st\u00f8rrelsen er 72 MB (\u00e6ndringerne ber\u00f8rte 12090 filer, 868025 linjer kode blev tilf\u00f8jet, 261456 linjer blev fjernet). Omkring 46% af alle \u00e6ndringerne i 5.11 relaterer til enhedsdrev, cirka 16% vedr\u00f8rer opdatering af arkitekturspecifik kode, 13% er relateret til netv\u00e6rksstakken, 3% til filsystemer, og 4% til interne kerneundersystemer. <\/p>\n
Hovednyhederne: <\/p>\n
\n
DiskSubsystem, input\/output og filsystemer<\/b>\n
\n
I Btrfs er der tilf\u00f8jet flere monteringsmuligheder til brug ved gendannelse af data fra beskadigede filsystemer: 'rescue=ignorebadroots' til montering trods beskadigelser af nogle rodtr\u00e6er (extent, uuid, data reloc, device, csum, free space), 'rescue=ignoredatacsums' til at deaktivere kontrolsumverifikationen for data, og 'rescue=all' til samtidig aktivering af 'ignorebadroots', 'ignoredatacsums' og 'nologreplay'. Underst\u00f8ttelse af monteringsmuligheden 'inode_cache', som tidligere blev betragtet som for\u00e6ldet, er blevet oph\u00e6vet. Koden er blevet forberedt til at implementere underst\u00f8ttelse af blokke med metadata og data, der er mindre end siden (PAGE_SIZE), samt st\u00f8tte til zoneret pladseringsmetode. Ubufferede (Direct IO) anmodninger er flyttet til iomap-infrastrukturen. Ydeevnen for en r\u00e6kke operationer er optimeret, og i nogle tilf\u00e6lde kan hastigheden forbedres med procentdele.\n
I XFS er der implementeret et flag 'needsrepair', der signalerer behovet for reparation. N\u00e5r dette flag er indstillet, kan filsystemet ikke monteres, f\u00f8r flaget bliver nulstillet af v\u00e6rkt\u00f8jet xfs_repair.\n
I Ext4 er der kun blevet foresl\u00e5et fejlrettelser og optimeringer samt en oprydning af koden.\n
Geneksport af filsystemer, der er monteret ovenp\u00e5 NFS, er nu tilladt (dvs. en partition, der er monteret via NFS, kan nu eksporteres via NFS og bruges som et mellemled-cache).\n
I systemkaldet close_range() er der tilf\u00f8jet en CLOSE_RANGE_CLOEXEC mulighed, der g\u00f8r det muligt for processer at lukke et helt udvalg af \u00e5bne filbeskrivere p\u00e5 \u00e9n gang med close-on-exec tilstand.\n
I filsystemet F2FS er der tilf\u00f8jet nye ioctl()-opkald, der giver brugeren mulighed for at styre, hvilke filer der gemmes i komprimeret format. Der er tilf\u00f8jet en monteringsmulighed «compress_mode=» for at v\u00e6lge placeringen af kontrollelementet for komprimering enten p\u00e5 kerne-siden eller i brugerens rum.\n
Det er nu muligt at montere Overlayfs af ikke-privilegerede processer ved hj\u00e6lp af et separat brugernavnrum. For at kontrollere overensstemmelse med sikkerhedsmodel blev koden grundigt revideret. Overlayfs har ogs\u00e5 f\u00e5et mulighed for at k\u00f8re ved hj\u00e6lp af kopier af filsystembilleder via valgfrit at deaktivere UUID-kontrol.\n
Ceph-filsystemet har f\u00e5et st\u00f8tte til msgr2.1-protokollen, der muligg\u00f8r brug af AES-GCM-algoritmen til at overf\u00f8re data i krypteret form.\n
I dm-multipath-modulet er muligheden for at tage h\u00f8jde for CPU-bindning («IO affinity») ved valg af ruten for input\/output-anmodninger blevet implementeret. <\/ul>\n
Hukommelse og systemtjenester<\/b>\n
\n
Et nyt mekanisme til indfangning af systemkald er blevet tilf\u00f8jet, baseret p\u00e5 prctl(), som muligg\u00f8r, at brugerens rum genererer undtagelser ved adgang til visse systemkald og emulerer dets udf\u00f8relse. Den n\u00e6vnte funktionalitet er efterspurgt i Wine og Proton til at emulere Windows-systemkald, hvilket er n\u00f8dvendigt for at sikre kompatibilitet med spil og programmer, der direkte udf\u00f8rer systemkald udenom Windows API (f.eks. for at beskytte mod uautoriseret brug).\n
I systemkaldet userfaultfd(), der er beregnet til at h\u00e5ndtere page faults (adgang til ikke-tildelte hukommelsessider) i brugerens rum, er det nu muligt at deaktivere behandling af undtagelser, der opst\u00e5r p\u00e5 kerneniveau, for at g\u00f8re udnyttelsen af visse s\u00e5rbarheder vanskeligere.\n
BPF-underdelen har f\u00e5et st\u00f8tte til opbevaring af opgaver (task-local storage), der giver binding af data til en specifik BPF-behandler.\n
Forbruget af hukommelse til BPF-programmer er blevet helt omarbejdet \u2014 til styring af hukommelsesforbruget i BPF-objekter er der blevet foresl\u00e5et en cgroup-controller i stedet for memlock rlimit.\n
BTF (BPF Type Format) mekanismen, der giver information til typekontrol i BPF-pseudokode, underst\u00f8tter nu kernemoduler.\n
I gr\u00e6nsefladen for asynkron I\/O io_uring er der tilf\u00f8jet support for systemopkaldene shutdown(), renameat2() og unlinkat(). Ved kald til io_uring_enter() er der tilf\u00f8jet mulighed for at angive en tidsgr\u00e6nse (underst\u00f8ttelse af argumentet for tidsgr\u00e6nsen kan kontrolleres ved hj\u00e6lp af flaget IORING_FEAT_EXT_ARG).\n
Arkitekturen ia64, der anvendes i Intel Itanium-processorer, er blevet kategoriseret som forladt («orphaned»), hvilket indeb\u00e6rer oph\u00f8r af testning. Hewlett Packard Enterprise har stoppet modtagelsen af bestillinger p\u00e5 nyt Itanium-udstyr, og Intel gjorde det allerede sidste \u00e5r.\n
Supporten for systemer baseret p\u00e5 MicroBlaze-arkitekturen uden hukommelseskontrolenhed (MMU) er blevet oph\u00e6vet. S\u00e5danne systemer er sj\u00e6ldent set i dag.\n
Der er tilf\u00f8jet support til MIPS-arkitekturen for d\u00e6kningstest ved hj\u00e6lp af gcov-v\u00e6rkt\u00f8jet.\n
Der er tilf\u00f8jet support til en auxiliary bus til at interagere med multifunktionelle enheder, der kombinerer funktionalitet, som kr\u00e6ver forskellige drivere (for eksempel netv\u00e6rkskort med underst\u00f8ttelse af Ethernet og RDMA). Bussen kan bruges til at tildele prim\u00e6re og sekund\u00e6re drivere til enheden, n\u00e5r det er problematisk at bruge MFD (Multi-Function Devices) under-systemet.\n
Der er tilf\u00f8jet support til CMA (Contiguous Memory Allocator) til RISC-V-arkitekturen, som er optimeret til at allokere store sammenh\u00e6ngende hukommelsesomr\u00e5der ved hj\u00e6lp af sideflytningsteknikker. For RISC-V er der ogs\u00e5 implementeret begr\u00e6nsningsv\u00e6rkt\u00f8jer til adgang til \/dev\/mem og m\u00e5lretning af behandlingstid for afbrydelser.\n
Der er tilf\u00f8jet support til KASan (Kernel Address Sanitizer) til 32-bit ARM-systemer, som muligg\u00f8r opdagelse af hukommelsesfejl. For 64-bit ARM er KASan-implementeringen blevet overflyttet til brug af MTE-tags (MemTag).\n
Der er tilf\u00f8jet systemopkald epoll_pwait2(), som g\u00f8r det muligt at anvende tidsgr\u00e6nser med nanosekunders pr\u00e6cision (epoll_wait-opkald manipulerer med millisekunder).\n
I byggesystemet er der tilf\u00f8jet en fejldiagnose ved fors\u00f8g p\u00e5 at bygge indl\u00e6ste kernejmoduler, hvor licensen for koden ikke er defineret ved hj\u00e6lp af makroen MODULE_LICENSE(). Fejlen under bygningen vil ogs\u00e5 blive for\u00e5rsaget ved anvendelse af makroen EXPORT_SYMBOL() for statiske funktioner.\n
Der er tilf\u00f8jet support til kortl\u00e6gning af GEM-objekter fra det hukommelsesomr\u00e5de, der anvendes til input\/output, hvilket har muliggjort en hurtigere behandling af framebufferen p\u00e5 nogle arkitekturer.\n
I Kconfig er underst\u00f8ttelsen af Qt4 blevet fjernet (underst\u00f8ttelsen af Qt5, GTK og Ncurses er bevaret). <\/ul>\n
Virtualisering og sikkerhed<\/b>\n
\n
Systemopkaldet seccomp() har f\u00e5et tilf\u00f8jet support for en hurtig reaktionsmode, der muligg\u00f8r en hurtig bestemmelse af, om et bestemt systemopkald er tilladt eller forbudt baseret p\u00e5 den tilknyttede privilegietabel (constant-action bitmap) til processen, uden behov for at k\u00f8re en BPF-behandler.\n
Kernens komponenter til oprettelse og styring af enclaves baseret p\u00e5 Intel SGX (Software Guard eXtensions) er blevet integreret, hvilket g\u00f8r det muligt for applikationer at k\u00f8re kode i isolerede krypterede hukommelsesomr\u00e5der, hvortil den \u00f8vrige systemadgang er begr\u00e6nset.\n
Som en del af initiativet til at begr\u00e6nse adgangen fra brugerens rum til MSR-registere (model-specifikke registre) er skrivning til registrene MSR_IA32_ENERGY_PERF_BIAS blevet forbudt, hvilket g\u00f8r det muligt at \u00e6ndre CPU'ens energieffektivitetsindstilling («normal», «performance», «powersave»).\n
Muligheden for at deaktivere migration af h\u00f8jprioriterede opgaver mellem CPU'er er blevet overf\u00f8rt fra kernel-rt-grenen til realtidssystemer.\n
For ARM64-systemer er muligheden for at anvende MTE-tags (MemTag, Memory Tagging Extension) til adresserne for signalbehandlere blevet tilf\u00f8jet. Anvendelsen af MTE aktiveres ved at angive mulighed SA_EXPOSE_TAGBITS i sigaction() og g\u00f8r det muligt at organisere kontrol af korrekt anvendelse af pointere for at blokere udnyttelse af s\u00e5rbarheder, der skyldes adgang til allerede frigivne hukommelsesblokke, bufferoverl\u00f8b, adgang f\u00f8r initialisering og brug uden for den aktuelle kontekst.\n
Parameteren «DM_VERITY_VERIFY_ROOTHASH_SIG_SECONDARY_KEYRING» er blevet tilf\u00f8jet, hvilket tillader dm-verity subsystemet at verificere hash-signaturer af certifikater, der er placeret i sekund\u00e6re n\u00f8glelager (keyring). I praksis g\u00f8r denne indstilling det muligt at verificere ikke kun certifikater indbygget i kernen men ogs\u00e5 certifikater indl\u00e6st under drift, hvilket giver mulighed for at opdatere certifikater uden at opdatere hele kernen.\n
I User-mode Linux er der tilf\u00f8jet support til suspend-to-idle-tilstand, som g\u00f8r det muligt at fryse milj\u00f8et og bruge SIGUSR1-signalet til at v\u00e6kke det fra dvalen.\n
I virtio-mem-mekanismen, der g\u00f8r det muligt at tilslutte og frakoble hukommelse til virtuelle maskiner, er der tilf\u00f8jet support til Big Block Mode (BBM), som tillader overf\u00f8rsel eller fjernelse af hukommelse i blokke, der overstiger st\u00f8rrelsen p\u00e5 kernens hukommelsesblok, hvilket er n\u00f8dvendigt for at optimere VFIO i QEMU.\n
I den kernebaserede implementering af TLS er der tilf\u00f8jet support for cipher CHACHA20-POLY1305. <\/ul>\n
Netv\u00e6rkssubsystem<\/b>\n
\n
For 802.1Q (VLAN) er der implementeret en mekanisme til fejlstyring af forbindelser (CFM, Connectivity Fault Management), som g\u00f8r det muligt at identificere, verificere og isolere fejl i netv\u00e6rk med virtuelle broer (Virtual Bridged Networks). For eksempel kan CFM bruges til at lokalisere problemer i netv\u00e6rk, der d\u00e6kker flere uafh\u00e6ngige organisationer, hvis medarbejdere kun har adgang til deres eget udstyr.\n
Der er tilf\u00f8jet support til indkapsling af SCTP-pakker i UDP-pakker (RFC 6951), hvilket g\u00f8r det muligt at bruge SCTP i netv\u00e6rk med gamle adresseovers\u00e6ttere, der ikke direkte underst\u00f8tter SCTP, samt implementere SCTP p\u00e5 systemer, der ikke giver direkte adgang til IP-laget.\n
Implementeringen af WiMAX-teknologi er flyttet til staging og er planlagt til at blive fjernet i fremtiden, medmindre der findes brugere, der har brug for WiMAX. WiMAX anvendes ikke l\u00e6ngere i offentlige netv\u00e6rk, og i kernen er den eneste driver, der kan anvendes til WiMAX, den for\u00e6ldede Intel 2400m-driver. Under Netv\u00e6rkskonfiguratoren NetworkManager blev st\u00f8tte til WiMAX stoppet i 2015. I \u00f8jeblikket er WiMAX n\u00e6sten helt blevet erstattet af teknologier som LTE, HSPA+ og Wi-Fi 802.11n.\n
Der er udf\u00f8rt optimeringsarbejde til forbedring af ydeevnen ved h\u00e5ndtering af indkommende TCP-trafik i zerocopy-tilstand, dvs. uden yderligere kopiering til nye buffere. For trafik af mellemstor st\u00f8rrelse, der d\u00e6kker titusinder eller flere hundrede kilobyte data, er anvendelsen af zerocopy i stedet for recvmsg() betydeligt mere effektiv. For eksempel har de implementerede \u00e6ndringer gjort det muligt at \u00f8ge effektiviteten af h\u00e5ndtering af RPC-stil trafik med beskeder p\u00e5 32 KB med 60-70 % ved brug af zerocopy.\n
Der er tilf\u00f8jet nye ioctl() opkald til at oprette netv\u00e6rksbroer, der d\u00e6kker flere PPP-kanaler. Den foresl\u00e5ede funktionalitet muligg\u00f8r, at rammer kan bev\u00e6ge sig fra en kanal til en anden, for eksempel fra PPPoE til PPPoL2TP-session.\n
Integrationen i MPTCP (MultiPath TCP) kernen forts\u00e6tter, hvilket er en udvidelse af TCP-protokollen for at organisere TCP-forbindelser med levering af pakker samtidig over flere ruter gennem forskellige netv\u00e6rksgr\u00e6nseflader, der er knyttet til forskellige IP-adresser. Den nye version implementerer underst\u00f8ttelse af ADD_ADDR-optionen til at annoncere de tilg\u00e6ngelige IP-adresser<\/a> som kunne forbindes ved tilf\u00f8jelse af nye flow til en eksisterende MPTCP-forbindelse.\n