{"id":102933,"date":"2022-01-10T15:36:38","date_gmt":"2022-01-10T13:36:38","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/%d1%80%d0%b5%d0%bb%d0%b8%d0%b7-%d1%8f%d0%b4%d1%80%d0%b0-linux-5-16"},"modified":"2022-01-10T15:36:38","modified_gmt":"2022-01-10T13:36:38","slug":"reliz-yadra-linux-5-16","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/news\/reliz-yadra-linux-5-16","title":{"rendered":"Release des Linux-Kernels 5.16","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Nach zwei Monaten Entwicklung stellte Linus Torvalds die Ver\u00f6ffentlichung des Linux-Kernels 5.16 vor. Zu den bemerkenswertesten \u00c4nderungen geh\u00f6ren: der Systemaufruf futex_waitv zur Leistungssteigerung von Windows-Spielen unter Wine, die Fehlerverfolgung im Dateisystem \u00fcber fanotify, das Konzept von Folios im Speichermanagement, die Unterst\u00fctzung von Prozessoranweisungen AMX, die M\u00f6glichkeit der Reservierung von Speicher f\u00fcr Netzwerksockets, die Unterst\u00fctzung von netfilter zur Klassifizierung von Paketen im \u201aEgress\u2018-Stadium, die Aktivierung des DAMON-Subsystems zur proaktiven Auslagerung nicht ben\u00f6tigter Speicherbereiche, Verbesserungen beim Umgang mit \u00dcberlastungen bei hohem Schreibaufkommen und die Unterst\u00fctzung von mehrlaufenden Festplatten. <\/p>\n
Die neue Version enth\u00e4lt 15.415 Korrekturen von 2.105 Entwicklern, die Patchgr\u00f6\u00dfe betr\u00e4gt 45 MB (die \u00c4nderungen betreffen 12.023 Dateien, 685.198 Codezeilen wurden hinzugef\u00fcgt, 263.867 Zeilen wurden gel\u00f6scht). Etwa 44% aller in 5.16 enthaltenen \u00c4nderungen betreffen Ger\u00e4tetreiber, etwa 16% der \u00c4nderungen sind auf die Aktualisierung architekturspezifischer Codes zur\u00fcckzuf\u00fchren, 16% betreffen das Netzwerk-Framework, 4% die Dateisysteme und 4% die internen Subsysteme des Kernels. <\/p>\n
Die wichtigsten Neuerungen im Kernel 5.16: <\/p>\n
\n
Festplattensubsystem, Ein-\/Ausgabe und Dateisysteme<\/b>\n
\n
In das fanotify-System wurden Mittel zur \u00dcberwachung des Zustands des Dateisystems und zur Verfolgung von Fehlern integriert. Fehlerinformationen werden \u00fcber einen neuen Ereignistyp - FAN_FS_ERROR - \u00fcbermittelt, der in Benutzeranwendungssystemen zur \u00dcberwachung abgefangen werden kann, um den Administrator sofort zu informieren oder Wiederherstellungsprozesse zu starten. Bei einer kaskadierenden Auftreten von Fehlern sorgt fanotify daf\u00fcr, dass die Meldung \u00fcber den ersten Fehler zusammen mit einem Gesamtschalter f\u00fcr die Probleme geliefert wird, um das nachfolgende Verst\u00e4ndnis der Ausfallursachen zu erleichtern. Die Unterst\u00fctzung zur Fehlerverfolgung ist derzeit nur f\u00fcr das Dateisystem Ext4 umgesetzt.\n
Die Verarbeitung von \u00dcberlastungen bei Schreiboperationen (write congestion) wurde verbessert, die auftreten, wenn das Volumen der Schreiboperationen die Speicherkapazit\u00e4t \u00fcbersteigt und das System gezwungen ist, die Schreibanforderungen des Prozesses bis zum Abschluss der bereits \u00fcbermittelten Anfragen zu blockieren. In der neuen Version wurde der Kernmechanismus, der zur Erfassung von \u00dcberlastungen und zur Blockierung von Aufgaben verwendet wird, vollst\u00e4ndig \u00fcberarbeitet, da bei der alten Implementierung Probleme mit der Synchronisation der Verarbeitung von Schreib\u00fcberlastungen und dem Auslagern von Speicherseiten auf den Swap-Speicher bei unzureichendem Speicher im System auftraten.\n
Btrfs unterst\u00fctzt die Zonierungstechnologie (Zoned Namespace), die in Festplatten oder NVMe-SSDs verwendet wird, um den Speicherraum in Zonen zu unterteilen, die aus Gruppen von Bl\u00f6cken oder Sektoren bestehen, in die Daten nur sequenziell hinzugef\u00fcgt werden d\u00fcrfen, wobei die gesamte Gruppe von Bl\u00f6cken aktualisiert wird. Zudem wurden kleine Optimierungen des Inode-Loggings vorgenommen, wodurch die Durchsatzrate im dbench-Test um 3% gesteigert und die Latenz um 11% reduziert werden konnte. Der Mechanismus zur Protokollierung von Verzeichnissen wurde \u00fcberarbeitet, wobei die Anzahl der Suchoperationen und Sperren im Baum zur Effizienzsteigerung reduziert wurde. Die Einf\u00fcgung von Elementen in die btree-Struktur wurde im Batch-Modus beschleunigt (die Zeit f\u00fcr die Masseninsertionsoperationen wurde um 4% verk\u00fcrzt, die f\u00fcr L\u00f6schungen um 12%). Es wurde eine eingeschr\u00e4nkte Unterst\u00fctzung f\u00fcr die Verwendung von Kompression beim Schreiben von unvollst\u00e4ndigen Seiten hinzugef\u00fcgt sowie die M\u00f6glichkeit zur Defragmentierung von Unterseiten (subpage). Es wurden Vorbereitungen f\u00fcr die Unterst\u00fctzung der zweiten Version des Protokolls f\u00fcr den Befehl «send» getroffen.\n
Im Dateisystem XFS wurde der Speicherverbrauch durch die Verwendung separater Slab-Caches f\u00fcr h\u00e4ufig verwendete Elemente und die Reduzierung bestimmter Datenstrukturen gesenkt.\n
Im Dateisystem Ext4 wurden lediglich Fehlerbehebungen und eine genauere Berechnung der Parameter f\u00fcr die verz\u00f6gerte Initialisierung der Inode-Tabelle festgestellt.\n
Auf der Ebene der Blockger\u00e4te wurden Optimierungen implementiert, die eine erhebliche Effizienzsteigerung bei der Zuweisung von Operationen zu CPU-Kernen erm\u00f6glichen.\n
Erste Unterst\u00fctzung f\u00fcr Festplatten mit mehreren unabh\u00e4ngigen Antrieben (multi-actuator) wurde hinzugef\u00fcgt, die es erm\u00f6glichen, gleichzeitig auf mehrere Sektoren in verschiedenen Zonen der magnetischen Platte zuzugreifen.\n
Ein neuer ioctl-Befehl CDROM_TIMED_MEDIA_CHANGE wurde hinzugef\u00fcgt, um Ereignisse zum Wechsel von Medien in CD-Laufwerken zu erkennen.\n
Im EROFS-Dateisystem (Enhanced Read-Only File System) wurde die M\u00f6glichkeit hinzugef\u00fcgt, \u00fcber mehrere Speicherger\u00e4te hinweg zu arbeiten. Verschiedene Ger\u00e4te k\u00f6nnen in einem 32-Bit-Adressraum von Bl\u00f6cken zusammengefasst werden. Zudem wurde die Unterst\u00fctzung f\u00fcr die Kompression mittels LZMA-Algorithmus hinzugef\u00fcgt.\n
Im F2FS-Dateisystem wurden Montageoptionen hinzugef\u00fcgt, um die Fragmentierung von Dateien bei der Ablage im Speicher zu steuern (zum Beispiel zur Fehlersuche bei der Optimierung der Arbeit mit fragmentierten Speichern).\n
In CEPH sind standardm\u00e4\u00dfig die Operationen zum Erstellen und L\u00f6schen von Verzeichnissen im asynchronen Modus aktiviert (um das alte Verhalten wiederherzustellen, sollte beim Mounten die Option ‘-o wsync’ verwendet werden). Es wurden Metriken hinzugef\u00fcgt, die die Operationen zum Kopieren externer Objekte verfolgen.\n
Im CIFS wurde die Montageoption tcpnodelay hinzugef\u00fcgt, bei der f\u00fcr das Netzwerk-Socket der Modus tcp_sock_set_nodelay gesetzt wird, der das Warten auf die Auff\u00fcllung der Warteschlange im TCP-Stack deaktiviert. Zudem wurde die Unterst\u00fctzung f\u00fcr verschachtelte DFS-Links (Distributed File System) beim Remounting hinzugef\u00fcgt.\n
Die Unterst\u00fctzung f\u00fcr die Beendigung von Anfragen an Blockger\u00e4te im Batch-Modus wurde hinzugef\u00fcgt. Tests der \u00c4nderung zeigten eine Steigerung der Intensit\u00e4t der Ausf\u00fchrung von zuf\u00e4lligen Leseoperationen von Optane-Speichern von 6,1 auf 6,6 Millionen IOPS auf einem CPU-Kern. <\/ul>\n
Speicher und Systemdienste<\/b>\n
\n
Ein neuer Systemaufruf futex_waitv wurde hinzugef\u00fcgt, der es erm\u00f6glicht, den Status mehrerer Futexe mit einem einzigen Systemaufruf zu \u00fcberwachen. Diese Funktion \u00e4hnelt der in Windows verf\u00fcgbaren Funktionalit\u00e4t WaitForMultipleObjects, deren Emulation \u00fcber futex_waitv n\u00fctzlich sein k\u00f6nnte, um die Leistung von Windows-Spielen zu steigern, die unter Wine oder Proton ausgef\u00fchrt werden. Dar\u00fcber hinaus kann das gleichzeitige Warten auf Futexe auch zur Optimierung der Leistung nativer Linux-Spielversionen verwendet werden.\n
Die Konzept der Seitenfolianten (page folios) wurde umgesetzt, deren Verwendung in bestimmten Teilsystemen des Kerns die Speicherverwaltung bei typischen Lasten beschleunigen wird. Derzeit wurde das Hauptteilsystem zur Speicherverwaltung im Kern bereits auf Folianten umgestellt, ebenso wie die Implementierung des Seitencaches, und in Zukunft ist die Umstellung der Dateisysteme geplant. Zuk\u00fcnftig ist auch die Unterst\u00fctzung f\u00fcr mehrseitige Folianten im Kern vorgesehen.\n
Folianten \u00e4hneln zusammengesetzten Seiten (compound pages), unterscheiden sich jedoch durch eine verbesserte Semantik und eine klarere Arbeitsorganisation. F\u00fcr die Verwaltung des Systemspeichers wird der verf\u00fcgbare RAM in Seiten unterteilt, deren Gr\u00f6\u00dfe von der Architektur abh\u00e4ngt, jedoch in x86-Systemen in Kilobyte gemessen wird (gew\u00f6hnlich 4096 Byte). Moderne Systeme sind mit Dutzenden von Gigabyte RAM ausgestattet, was die Verwaltung des Speichers erschwert, da eine enorme Anzahl von Seiten bearbeitet werden muss. Um die Anzahl der Seiten zu reduzieren, wurde im Kern fr\u00fcher das Konzept der zusammengesetzten Seiten (compound pages) mit Strukturen, die mehr als eine physische Seite umfassen, umgesetzt. Doch die API zur Manipulation von zusammengesetzten Seiten hinterlie\u00df zu w\u00fcnschen \u00fcbrig und f\u00fchrte zu zus\u00e4tzlichen Overheadkosten. <\/p>\n
Dem Task-Scheduler wurde ein Handler hinzugef\u00fcgt, der die Clusterung des Caches in der CPU ber\u00fccksichtigt. In bestimmten Prozessoren, wie dem Kunpeng 920 (ARM) und Intel Jacobsville (x86), kann eine bestimmte Anzahl von CPU-Kernen, in der Regel 4, den L3- oder L2-Cache gemeinsam nutzen. Die Ber\u00fccksichtigung solcher Topologien kann die Effizienz der Aufgabenverteilung \u00fcber die CPU-Kerne im Task-Scheduler erheblich steigern, da das Verschieben von Aufgaben innerhalb eines CPU-Clusters die Speicherzugriffsbandbreite erh\u00f6ht und den Wettbewerb im Cache verringert.\n
Die Unterst\u00fctzung f\u00fcr AMX (Advanced Matrix Extensions), die in den kommenden Serverprozessoren Intel Xeon Scalable unter dem Codenamen Sapphire Rapids implementiert werden, wurde hinzugef\u00fcgt. AMX bietet anpassbare Register TMM «TILE» und Instruktionen zur Manipulation von Daten in diesen Registern, wie TMUL (Tile matrix MULtiply) zur Matrixmultiplikation.\n
Es wurden mehrere neue Funktionen implementiert, die auf dem im letzten Release hinzugef\u00fcgten DAMON (Data Access MONitor)-Subsystem basieren. Dieses erm\u00f6glicht die \u00dcberwachung des Zugriffs auf Daten im Arbeitsspeicher in Bezug auf den ausgew\u00e4hlten Prozess, der im Benutzerspeicherraum l\u00e4uft. Beispielsweise erlaubt das Subsystem die Analyse, auf welche spezifischen Speicherbereiche der Prozess w\u00e4hrend seiner gesamten Laufzeit zugegriffen hat und welche Bereiche ungenutzt blieben.\n
\n
DAMON_RECLAIM zur Identifizierung und Verdr\u00e4ngung von Speicherbereichen, auf die nicht zugegriffen wurde. Der Mechanismus kann verwendet werden, um proaktiv Seiten im Arbeitsspeicher zu verdr\u00e4ngen, wenn sich ein Mangel an freiem Speicher n\u00e4herungsweise anbahnt.\n
DAMOS (Data Access Monitoring-based Operation Schemes) zur Anwendung der festgelegten Funktion `madvise()`, wie z.B. zur Freigabe zus\u00e4tzlicher freier Speicherbereiche, auf bestimmte Speicherbereiche eines Prozesses, f\u00fcr die eine gewisse Zugriffsfrequenz auf den Speicher erfasst wird. Die Konfiguration der DAMOS-Parameter erfolgt \u00fcber `debugfs`.\n
Die M\u00f6glichkeit, den physischen Adressraum des Speichers zu \u00fcberwachen (fr\u00fcher konnten nur virtuelle Adressen verfolgt werden). <\/ul>\n
Die Implementierung des Zstd-Kompressionsalgorithmus wurde auf Version 1.4.10 aktualisiert, was die Leistung verschiedener Subsysteme des Kernels, in denen die Kompression angewendet wird, erheblich verbessert hat (z. B. wurde die Entpackung des Kernel-Images um 35 % beschleunigt, die Entpackungsleistung komprimierter Daten in Btrfs und SquashFS erh\u00f6hte sich um 15 %, und in ZRAM um 30 %). Urspr\u00fcnglich wurde im Kernel eine separate Implementierung von zstd verwendet, die auf Version 1.3.1 basierte, die vor \u00fcber drei Jahren ver\u00f6ffentlicht wurde und viele wichtige Optimierungen nicht enthielt. Neben dem Wechsel auf die aktuelle Version vereinfacht der hinzugef\u00fcgte Patch auch die Synchronisierung mit dem Upstream-Zweig von zstd, wodurch der Code zur direkten Einbindung in den Kernel aus dem Hauptrepository von zstd generiert werden kann. In Zukunft plant man, den zstd-Code im Kernel mit Erscheinen neuer Versionen der zstd-Bibliothek zu aktualisieren.\n
Es wurden umfangreiche Verbesserungen im eBPF-Subsystem vorgenommen. Es wurde die M\u00f6glichkeit hinzugef\u00fcgt, Funktionen von Kernelmodulen aus BPF-Programmen aufzurufen. Die Funktion bpf_trace_vprintk() wurde implementiert, die im Gegensatz zu bpf_trace_printk() die Ausgabe von mehr als drei Argumenten auf einmal erm\u00f6glicht. Eine neue Datenspeicherstruktur (BPF map) namens Bloom-Filter wurde hinzugef\u00fcgt, die die Verwendung einer gleichnamigen probabilistischen Datenstruktur zur Feststellung der Existenz eines Elements in einer Menge erm\u00f6glicht. Ein neuer Attribut BTF_KIND_TAG wurde hinzugef\u00fcgt, der in BPF-Programmen zur Bindung von Tags an Funktionsparameter verwendet werden kann, um beispielsweise das Auffinden von Fehlern in Benutzerprogrammen zu erleichtern. In libbpf wurde die Erstellung eigener Abschnitte .rodata.* \/ .data.* erlaubt, die Unterst\u00fctzung f\u00fcr Tracing-Events durch uprobe und kprobe wurde implementiert, sowie ein API zum Kopieren aller BTF-Typen von einem Objekt zu einem anderen hinzugef\u00fcgt. Die Unterst\u00fctzung von AF_XDP wurde aus libbpf in die separate Bibliothek libxdp ausgelagert. F\u00fcr die MIPS-Architektur wurde ein JIT-Compiler f\u00fcr die BPF-VM implementiert.\n
F\u00fcr die ARM64-Architektur wurde die Unterst\u00fctzung f\u00fcr die ARMv8.6-Erweiterungen f\u00fcr Timer implementiert, die insbesondere die Selbstsynchronisierung der Darstellung von Systemregistern ohne Verwendung von ISB-Anweisungen erm\u00f6glichen.\n
F\u00fcr die PA-RISC-Architektur wurde die M\u00f6glichkeit implementiert, den KFENCE-Mechanismus zur Erkennung von Speicherfehlern zu nutzen, und es wurde Unterst\u00fctzung f\u00fcr den KCSAN-Racing-Zustandsdetektor hinzugef\u00fcgt.\n
Es wurde die M\u00f6glichkeit geschaffen, die Zugriffsrechte auf tracefs auf Ebene einzelner Benutzer und Gruppen zu konfigurieren. Beispielsweise kann nun der Zugriff auf Tracing-Tools nur f\u00fcr Mitglieder einer bestimmten Gruppe erlaubt werden. <\/ul>\n
Virtualisierung und Sicherheit<\/b>\n
\n
In den Subsystemen io_uring und device-mapper wurde die Unterst\u00fctzung f\u00fcr die Generierung von Auditevents implementiert. In io_uring wurde die M\u00f6glichkeit zur Zugriffskontrolle \u00fcber LSM-Module hinzugef\u00fcgt. Au\u00dferdem wurde die M\u00f6glichkeit zur Auditierung des Systemaufrufs openat2() bereitgestellt.\n
Der Kernel-Code ist vollst\u00e4ndig von nicht unterbrochenen casE-Ausdr\u00fccken in switch-Befehlen befreit (ohne return oder break nach jedem case-Block). Beim Kompilieren des Kernels kann jetzt der Modus \u201e-Wimplicit-fallthrough\u201c angewendet werden.\n
\u00c4nderungen zur Versch\u00e4rfung von Grenzkontrollen bei der Ausf\u00fchrung der Funktion memcpy() wurden eingef\u00fchrt.\n
Im Interface f\u00fcr asynchrone Ein- \/ Ausgabeverarbeitung io_uring wurde die M\u00f6glichkeit implementiert, Sicherheitsrichtlinien, die von den Modulen SELinux und Smack definiert werden, auf Ein- \/ Ausgabeverfahren anzuwenden.\n
Im IMA (Integrity Measurement Architecture)-Subsystem, das es externen Diensten erm\u00f6glicht, den Zustand der Kernsubsysteme zu \u00fcberpr\u00fcfen, um deren Authentizit\u00e4t sicherzustellen, wurde die M\u00f6glichkeit implementiert, Regeln basierend auf der Gruppen-ID (GID), zu der die Datei geh\u00f6rt oder in die der Benutzer, der auf die Datei zugreift, geh\u00f6rt, anzuwenden.\n
Einige erweiterte Schutzmechanismen f\u00fcr Streams seccomp(), die als \u00fcberfl\u00fcssig erachtet wurden und die Sicherheit nicht signifikant erh\u00f6hen, sondern sich negativ auf die Leistung auswirken, sind standardm\u00e4\u00dfig deaktiviert. Der Einsatz des Retpoline-Schutzes wurde \u00fcberarbeitet.\n
Die Implementierung des cryptoloop-Mechanismus wurde entfernt, der 2004 durch dm-crypt ersetzt wurde und bei Bedarf dieselben Algorithmen unterst\u00fctzt.\n
Standardm\u00e4\u00dfig ist der unprivilegierte Zugriff auf das eBPF-Subsystem verboten. Diese \u00c4nderung wurde vorgenommen, um die Verwendung von BPF-Programmen zur Umgehung von Schutzma\u00dfnahmen gegen Seitenkanalangriffe zu verhindern. Bei Bedarf kann der Administrator den unprivilegierten Benutzern den Zugriff auf eBPF wieder erm\u00f6glichen.\n
Im Hypervisor ACRN, der f\u00fcr die Ausf\u00fchrung von Echtzeitanwendungen und f\u00fcr den Einsatz in kritischen Systemen konzipiert ist, wurde die Unterst\u00fctzung f\u00fcr das Erstellen\/L\u00f6schen von virtuellen Ger\u00e4ten und das Durchreichen von MMIO-Ger\u00e4ten hinzugef\u00fcgt.\n
In die Krypto-Engine wurde die Unterst\u00fctzung f\u00fcr KPP-Definitionen (Key-agreement Protocol Primitives) hinzugef\u00fcgt, die die Logik der Treiberentwicklung f\u00fcr Kryptosysteme vereinfachen.\n