{"id":99149,"date":"2021-02-16T16:22:46","date_gmt":"2021-02-16T14:22:46","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/reliz-yadra-linux-5-11"},"modified":"2021-02-16T16:22:46","modified_gmt":"2021-02-16T14:22:46","slug":"reliz-yadra-linux-5-11","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/novosti-interneta\/reliz-yadra-linux-5-11","title":{"rendered":"Release des Linux-Kernels 5.11.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Nach zwei Monaten Entwicklung hat Linus Torvalds den Release des Linux-Kernels 5.11 vorgestellt. Zu den bemerkenswertesten \u00c4nderungen geh\u00f6ren: die Unterst\u00fctzung von Intel SGX-Enklaven, ein neuer Mechanismus zur Abfangung von Systemaufrufen, der virtuelle Bus auxiliary, das Verbot von Modulerstellungen ohne MODULE_LICENSE(), der Modus zur schnellen Filterung von Systemaufrufen in seccomp, die Einstellung der Unterst\u00fctzung f\u00fcr die Architektur ia64, der Transfer der WiMAX-Technologie in den Branch \u00abstaging\u00bb sowie die M\u00f6glichkeit, SCTP in UDP zu enkapsulieren. <\/p>\n
In die neue Version wurden 15480 Korrekturen von 1991 Entwicklern \u00fcbernommen, die Patchgr\u00f6\u00dfe betr\u00e4gt 72 MB (die \u00c4nderungen betreffen 12090 Dateien, 868025 Zeilen Code wurden hinzugef\u00fcgt, 261456 Zeilen wurden gel\u00f6scht). Etwa 46 % aller in 5.11 eingef\u00fchrten \u00c4nderungen beziehen sich auf Ger\u00e4tetreiber, etwa 16 % der \u00c4nderungen stehen im Zusammenhang mit der Aktualisierung von hardwarearchitektur-spezifischem Code, 13 % sind mit dem Netzwerkstack verbunden, 3 % mit Dateisystemen und 4 % mit internen Subsystemen des Kernels. <\/p>\n
Hauptneuheiten: <\/p>\n
\n
Festplattensubsystem, Ein-\/Ausgabe und Dateisysteme<\/b>\n
\n
In Btrfs wurden mehrere Mount-Optionen hinzugef\u00fcgt, die beim Wiederherstellen von Daten aus einem besch\u00e4digten Dateisystem angewendet werden k\u00f6nnen: \u201erescue=ignorebadroots\u201c zum Mounten trotz Besch\u00e4digungen einiger Wurzelb\u00e4ume (extent, uuid, data reloc, device, csum, freier Speicher), \u201erescue=ignoredatacsums\u201c zum Deaktivieren der Pr\u00fcfzifferpr\u00fcfung f\u00fcr Daten und \u201erescue=all\u201c, um gleichzeitig die Modi \u201eignorebadroots\u201c, \u201eignoredatacsums\u201c und \u201enologreplay\u201c zu aktivieren. Die Unterst\u00fctzung der Montierungsoption \u201einode_cache\u201c wurde eingestellt, die zuvor als veraltet galt. Der Code wurde vorbereitet, um die Unterst\u00fctzung f\u00fcr Bl\u00f6cke mit Metadaten und Daten, die kleiner sind als die Seite (PAGE_SIZE), sowie die Unterst\u00fctzung des zonierten Speicherzuweisungsmodus zu implementieren. Unbuffered (Direct IO) Anfragen wurden auf die iomap-Infrastruktur umgestellt. Die Leistung einer Reihe von Operationen wurde optimiert, in einigen F\u00e4llen kann die Beschleunigung mehrere Prozent betragen.\n
In XFS wurde das Flag \u201eneedsrepair\u201c implementiert, das darauf hinweist, dass eine Wiederherstellung erforderlich ist. Wenn dieses Flag gesetzt ist, kann das Dateisystem nicht gemountet werden, bis das Flag durch das Tool xfs_repair zur\u00fcckgesetzt wird.\n
In Ext4 wurden nur Fehlerbehebungen und Optimierungen vorgenommen, und der Code wurde bereinigt.\n
Die erneute Exportierung von Dateisystemen, die \u00fcber NFS bereitgestellt werden (d.h. ein \u00fcber NFS eingeh\u00e4ngter Teil kann nun \u00fcber NFS exportiert werden und als tempor\u00e4rer Cache verwendet werden), ist erlaubt.\n
Im Systemaufruf close_range(), der es einem Prozess erm\u00f6glicht, einen gesamten Bereich offener Dateideskriptoren gleichzeitig zu schlie\u00dfen, wurde die Option CLOSE_RANGE_CLOEXEC hinzugef\u00fcgt, um Deskriptoren im Close-on-Exec-Modus zu schlie\u00dfen.\n
In das F2FS-Dateisystem wurden neue ioctl()-Aufrufe integriert, die es erm\u00f6glichen, von einem Benutzerspace aus zu steuern, welche Dateien komprimiert gespeichert werden. Die Option «compress_mode=» wurde hinzugef\u00fcgt, um die Platzierung des Kompressionssteuerungs-Handlers im Kernel oder im Benutzerspace auszuw\u00e4hlen.\n
Es wurde die M\u00f6glichkeit geschaffen, Overlayfs von nicht privilegierten Prozessen unter Verwendung eines separaten Benutzer-Namespaces zu mounten. Um die Einhaltung des Sicherheitsmodells zu \u00fcberpr\u00fcfen, wurde ein vollst\u00e4ndiges Code-Audit durchgef\u00fchrt. Dar\u00fcber hinaus wurde die M\u00f6glichkeit hinzugef\u00fcgt, Overlayfs mit Kopien von Dateisystem-Images zu starten, indem die UUID-Pr\u00fcfung optional deaktiviert wird.\n
Im Ceph-Dateisystem wurde die Unterst\u00fctzung des msgr2.1-Protokolls eingef\u00fchrt, das die Anwendung des AES-GCM-Algorithmus f\u00fcr die Daten\u00fcbertragung in verschl\u00fcsselter Form erm\u00f6glicht.\n
Im dm-multipath-Modul wurde die M\u00f6glichkeit implementiert, die CPU-Bindung («IO affinity») bei der Auswahl des Routen von Ein- und Ausgabeanfragen zu ber\u00fccksichtigen. <\/ul>\n
Speicher und Systemdienste<\/b>\n
\n
Ein neues Mechanismus f\u00fcr die Abfangung von Systemaufrufen wurde hinzugef\u00fcgt, basierend auf prctl(), der es erm\u00f6glicht, Ausnahmen aus dem Benutzerspeicher zu generieren, wenn auf einen bestimmten Systemaufruf zugegriffen wird, und die Ausf\u00fchrung zu emulieren. Diese Funktionalit\u00e4t ist in Wine und Proton gefragt, um Windows-Systemaufrufe zu emulieren, was f\u00fcr die Kompatibilit\u00e4t mit Spielen und Programmen erforderlich ist, die Systemaufrufe direkt au\u00dferhalb der Windows-API ausf\u00fchren (zum Beispiel zum Schutz vor unbefugter Nutzung).\n
Im Systemaufruf userfaultfd(), der f\u00fcr die Verarbeitung von Page Faults (Zugriffe auf nicht zugewiesene Speicherseiten) im Benutzerspeicher zust\u00e4ndig ist, wurde die M\u00f6glichkeit hinzugef\u00fcgt, die Verarbeitung von Ausnahmen auf Kernel-Ebene zu deaktivieren, um die Ausnutzung bestimmter Schwachstellen zu erschweren.\n
Die BPF-Subsystem hat Unterst\u00fctzung f\u00fcr task-lokalen Speicher hinzugef\u00fcgt, der eine Bindung von Daten an einen bestimmten BPF-Handler erm\u00f6glicht.\n
Die Verwaltung des Speicherverbrauchs durch BPF-Programme wurde vollst\u00e4ndig \u00fcberarbeitet \u2013 zur Verwaltung des Speicherbedarfes in BPF-Objekten wird anstelle des memlock rlimits ein cgroup-Controller vorgeschlagen.\n
Im BTF-Mechanismus (BPF Type Format), der Informationen zur Typ\u00fcberpr\u00fcfung im Pseudocode BPF bereitstellt, wurde die Unterst\u00fctzung f\u00fcr Kernel-Module implementiert.\n
Die Schnittstelle f\u00fcr asynchrones I\/O io_uring unterst\u00fctzt jetzt die Systemaufrufe shutdown(), renameat2() und unlinkat(). Bei einem Aufruf von io_uring_enter() kann nun ein Timeout angegeben werden (um die Unterst\u00fctzung des Arguments zur Timeout-Angabe zu \u00fcberpr\u00fcfen, nutzen Sie das Flag IORING_FEAT_EXT_ARG).\n
Die Architektur ia64, die in Intel Itanium-Prozessoren verwendet wird, wurde in die Kategorie der nicht mehr unterst\u00fctzten Systeme («orphaned») eingestuft, was das Ende der Testphase bedeutet. Hewlett Packard Enterprise hat die Annahme von Bestellungen f\u00fcr neue Itanium-Hardware eingestellt, und Intel hat dies bereits im letzten Jahr getan.\n
Die Unterst\u00fctzung f\u00fcr Systeme auf Basis der MicroBlaze-Architektur ohne Memory Management Unit (MMU) wurde eingestellt. Solche Systeme sind mittlerweile sehr selten geworden.\n
F\u00fcr die MIPS-Architektur wurde die Unterst\u00fctzung f\u00fcr die Codeabdeckungspr\u00fcfung (coverage testing) mit dem Tool gcov hinzugef\u00fcgt.\n
Die Unterst\u00fctzung f\u00fcr den virtuellen Bus Auxiliary wurde hinzugef\u00fcgt, um die Interaktion mit multifunktionalen Ger\u00e4ten zu erm\u00f6glichen, die Funktionalit\u00e4ten kombinieren, die unterschiedliche Treiber erfordern (z. B. Netzwerkkarten mit Unterst\u00fctzung f\u00fcr Ethernet und RDMA). Der Bus kann verwendet werden, um prim\u00e4re und sekund\u00e4re Treiber f\u00fcr ein Ger\u00e4t zuzuweisen, wenn die Verwendung der MFD (Multi-Function Devices) Subsysteme problematisch ist.\n
F\u00fcr die RISC-V Architektur wurde die Unterst\u00fctzung des CMA (Contiguous Memory Allocator) Speichermanagementsystems hinzugef\u00fcgt, das optimiert ist, um gro\u00dfe zusammenh\u00e4ngende Speicherbereiche unter Verwendung der Paging-Technik zuzuweisen. F\u00fcr RISC-V wurden auch Ma\u00dfnahmen zur Beschr\u00e4nkung des Zugriffs auf \/dev\/mem und zur Erfassung der Interrupt-Verarbeitungszeiten implementiert.\n
F\u00fcr 32-Bit ARM-Systeme wurde die Unterst\u00fctzung des Debugging-Tools KASan (Kernel Address Sanitizer) hinzugef\u00fcgt, das hilft, Speicherfehler zu identifizieren. F\u00fcr 64-Bit ARM-Systeme wurde die Implementierung von KASan auf die Verwendung von MTE (MemTag) Tags umgestellt.\n
Der Systemaufruf epoll_pwait2() wurde hinzugef\u00fcgt, um Timeouts mit Nanosekundenpr\u00e4zision zu erm\u00f6glichen (der Aufruf epoll_wait arbeitet mit Millisekunden).\n
Im Build-System wird nun ein Fehler ausgegeben, wenn beim Versuch, Kernel-Module zu erstellen, mit dem Makro MODULE_LICENSE() keine Lizenz f\u00fcr den Code definiert ist. Die Verwendung des Makros EXPORT_SYMBOL() f\u00fcr statische Funktionen f\u00fchrt ebenfalls zu einem Fehler beim Build-Prozess.\n
Die Unterst\u00fctzung f\u00fcr das Mappen von GEM-Objekten aus f\u00fcr Ein-\/Ausgabe genutztem Speicher wurde hinzugef\u00fcgt, was die Arbeit mit dem Framebuffer auf bestimmten Architekturen beschleunigt.\n
Die Unterst\u00fctzung f\u00fcr Qt4 wurde in Kconfig eingestellt (Qt5, GTK und Ncurses bleiben unterst\u00fctzt). <\/ul>\n
Virtualisierung und Sicherheit<\/b>\n
\n
Der Systemaufruf seccomp() hat Unterst\u00fctzung f\u00fcr den Schnellreaktionsmodus erhalten, der es erm\u00f6glicht, sehr schnell zu bestimmen, ob ein bestimmter Systemaufruf basierend auf der an den Prozess angeh\u00e4ngten Berechtigungstabelle (constant-action bitmap) erlaubt oder verweigert ist, ohne einen BPF-Handler auszuf\u00fchren.\n
Kernkomponenten zur Erstellung und Verwaltung von Enklaven auf Basis der Intel SGX-Technologie (Software Guard eXtensions) wurden integriert, die es Anwendungen erm\u00f6glichen, Code in isolierten, verschl\u00fcsselten Speicherbereichen auszuf\u00fchren, wobei der Zugang zur restlichen System-Umgebung eingeschr\u00e4nkt ist.\n
Im Rahmen der Initiative zur Beschr\u00e4nkung des Zugriffs von Benutzerspace auf die MSR-Register (model-specific register) wurde das Schreiben in das MSR_IA32_ENERGY_PERF_BIAS-Register, das die Energiesparmodi des Prozessors («normal», «performance», «powersave») \u00e4ndern kann, verboten.\n
Aus dem Kernel-RT-Zweig f\u00fcr Echtzeitsysteme wurde die M\u00f6glichkeit \u00fcbernommen, die Migration von hochpriorisierten Aufgaben zwischen CPUs zu deaktivieren.\n
F\u00fcr ARM64-Systeme wurde die M\u00f6glichkeit hinzugef\u00fcgt, MTE-Tags (MemTag, Memory Tagging Extension) f\u00fcr die Adressen von Signalhandlern zu verwenden. Die Nutzung von MTE wird durch die Angabe der Option SA_EXPOSE_TAGBITS in sigaction() aktiviert und erm\u00f6glicht die \u00dcberpr\u00fcfung der korrekten Verwendung von Zeigern zur Vermeidung der Ausnutzung von Sicherheitsl\u00fccken, die durch Zugriffe auf bereits freigegebene Speicherbl\u00f6cke, Puffer\u00fcberl\u00e4ufe, Zugriffe vor der Initialisierung und Verwendung au\u00dferhalb des aktuellen Kontexts verursacht werden.\n
Es wurde der Parameter \u201eDM_VERITY_VERIFY_ROOTHASH_SIG_SECONDARY_KEYRING\u201c hinzugef\u00fcgt, der es dem dm-verity-Subsystem erm\u00f6glicht, die Hash-Signaturen von Zertifikaten, die im sekund\u00e4ren Schl\u00fcsselring gespeichert sind, zu \u00fcberpr\u00fcfen. In der Praxis erm\u00f6glicht diese Einstellung die Verifizierung nicht nur der im Kernel eingebetteten Zertifikate, sondern auch der w\u00e4hrend des Betriebs geladenen Zertifikate, was die Aktualisierung von Zertifikaten ohne vollst\u00e4ndige Kernel-Updates erleichtert.\n
User-mode Linux unterst\u00fctzt jetzt den suspend-to-idle-Modus, der es erm\u00f6glicht, die Umgebung einzufrieren und das Signal SIGUSR1 zum Aufwachen aus dem Schlafzustand zu verwenden.\n
Im virtio-mem-Mechanismus, der das Hot-Plugging und -Unplugging von Speicher an virtuellen Maschinen erm\u00f6glicht, wurde die Unterst\u00fctzung f\u00fcr den Big Block Mode (BBM) hinzugef\u00fcgt, der es erlaubt, Speicher in Bl\u00f6cken zu \u00fcbertragen oder zu entnehmen, die gr\u00f6\u00dfer sind als die Blockgr\u00f6\u00dfe des Kernels, was zur Optimierung von VFIO in QEMU erforderlich ist.\n
In der Kernimplementierung von TLS wurde die Unterst\u00fctzung des Chiffre CHACHA20-POLY1305 hinzugef\u00fcgt. <\/ul>\n
Netzwerksubsystem<\/b>\n
\n
F\u00fcr 802.1Q (VLAN) wurde ein Fehlerverwaltungsmechanismus (CFM, Connectivity Fault Management) implementiert, der es erm\u00f6glicht, St\u00f6rungen in Netzwerken mit virtuellen Br\u00fccken (Virtual Bridged Networks) zu identifizieren, zu verifizieren und einzugrenzen. Beispielsweise kann CFM verwendet werden, um Probleme in Netzwerken zu lokalisieren, die mehrere unabh\u00e4ngige Organisationen umfassen, deren Mitarbeiter nur Zugriff auf ihre eigene Hardware haben.\n
Die Unterst\u00fctzung f\u00fcr die Kapselung von SCTP-Protokolldaten in UDP-Paketen (RFC 6951) wurde hinzugef\u00fcgt, was die Nutzung von SCTP in Netzwerken mit \u00e4lteren Adress\u00fcbersetzern erm\u00f6glicht, die SCTP nicht direkt unterst\u00fctzen, sowie die Implementierung von SCTP auf Systemen, die keinen direkten Zugriff auf die IP-Ebene bieten.\n
Die Implementierung der WiMAX-Technologie wurde in den Staging-Bereich verschoben und soll in Zukunft entfernt werden, wenn keine Benutzer gefunden werden, die WiMAX ben\u00f6tigen. WiMAX wird bereits nicht mehr in \u00f6ffentlichen Netzen verwendet, und im Kern bleibt der einzige Treiber, der WiMAX unterst\u00fctzt, der veraltete Intel 2400m-Treiber. Die Unterst\u00fctzung von WiMAX im Netzwerkmanager NetworkManager wurde 2015 eingestellt. Derzeit wird WiMAX praktisch vollst\u00e4ndig durch Technologien wie LTE, HSPA+ und Wi-Fi 802.11n ersetzt.\n
Optimierung der Leistung bei der Verarbeitung von eingehendem TCP-Verkehr im Zerocopy-Modus wurde durchgef\u00fchrt, d.h. ohne zus\u00e4tzliche Kopierung in neue Puffer. F\u00fcr Verkehr mittlerer Gr\u00f6\u00dfe, der Dutzende oder mehrere Hundert Kilobyte Daten umfasst, zeigt der Einsatz von Zerocopy im Vergleich zu recvmsg() deutlich bessere Effizienz. Beispielsweise konnte die Effizienz der Verarbeitung von RPC-Verkehr mit Nachrichten von 32 KB durch die Verwendung von Zerocopy um 60-70 % gesteigert werden.\n
Neue ioctl() Aufrufe wurden hinzugef\u00fcgt, um Netzwerkbr\u00fccken zu erstellen, die mehrere PPP-Kan\u00e4le abdecken. Die vorgeschlagene Funktion erm\u00f6glicht es Rahmen, von einem Kanal zu einem anderen zu wechseln, z.B. von PPPoE zu einer PPPoL2TP-Sitzung.\n
Die Integration in den MPTCP-Kernel (MultiPath TCP), eine Erweiterung des TCP-Protokolls zur Organisation von TCP-Verbindungen mit gleichzeitiger Paketzustellung \u00fcber mehrere Routen durch verschiedene Netzwerkschnittstellen, die an unterschiedliche IP-Adressen gebunden sind, wurde fortgesetzt. In der neuen Ausgabe wurde die Unterst\u00fctzung f\u00fcr die Option ADD_ADDR zur Ank\u00fcndigung verf\u00fcgbarer IP-Adressen<\/a> Verbindungen bei der Hinzuf\u00fcgung neuer Streams zu einer bestehenden MPTCP-Verbindung implementiert.\n