{"id":99149,"date":"2021-02-16T16:22:46","date_gmt":"2021-02-16T14:22:46","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/reliz-yadra-linux-5-11"},"modified":"2021-02-16T16:22:46","modified_gmt":"2021-02-16T14:22:46","slug":"reliz-yadra-linux-5-11","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/news\/reliz-yadra-linux-5-11","title":{"rendered":"Ver\u00f6ffentlichung des Linux-Kernels 5.11","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Nach zwei Monaten Entwicklung stellte Linus Torvalds das Release des Linux-Kernels 5.11 vor. Zu den auff\u00e4lligsten \u00c4nderungen geh\u00f6ren: Unterst\u00fctzung f\u00fcr Intel SGX-Enklaven, ein neuer Mechanismus zur Abfangung von Systemaufrufen, der virtuelle Bus auxiliary, das Verbot der Kompilierung von Modulen ohne MODULE_LICENSE(), der Modus zur schnellen Filterung von Systemaufrufen in seccomp, die Einstellung der Unterst\u00fctzung f\u00fcr die Architektur ia64, die \u00dcbertragung der WiMAX-Technologie in den Branch «staging», sowie die M\u00f6glichkeit der Kapselung von SCTP in UDP. <\/p>\n
In die neue Version wurden 15480 Korrekturen von 1991 Entwicklern aufgenommen, die Patchgr\u00f6\u00dfe betr\u00e4gt 72 MB (\u00c4nderungen betrafen 12090 Dateien, 868025 Codezeilen wurden hinzugef\u00fcgt und 261456 Zeilen gel\u00f6scht). Etwa 46 % aller in 5.11 pr\u00e4sentierten \u00c4nderungen beziehen sich auf Ger\u00e4tetreiber, rund 16 % der \u00c4nderungen betreffen die Aktualisierung architekturspezifischen Codes, 13 % stehen mit dem Netzwerk-Stack in Verbindung, 3 % mit Dateisystemen und 4 % mit internen Subsystemen des Kernels. <\/p>\n
Hauptneuheiten: <\/p>\n
\n
Festplattensubsystem, Ein-\/Ausgabe und Dateisysteme<\/b>\n
\n
In Btrfs wurden mehrere Montageoptionen hinzugef\u00fcgt, die bei der Wiederherstellung von Daten von besch\u00e4digten Dateisystemen verwendet werden k\u00f6nnen: «rescue=ignorebadroots» zum Mounten trotz Sch\u00e4den an einigen Wurzelb\u00e4umen (extent, uuid, data reloc, device, csum, free space), «rescue=ignoredatacsums» zur Deaktivierung der \u00dcberpr\u00fcfung von Pr\u00fcfziffern f\u00fcr Daten und «rescue=all» zur gleichzeitigen Aktivierung der Modi ‘ignorebadroots’, ‘ignoredatacsums’ und ‘nologreplay’. Die Unterst\u00fctzung der Montageoption «inode_cache» wurde eingestellt, die zuvor als veraltet galt. Der Code wurde f\u00fcr die Implementierung der Unterst\u00fctzung von Bl\u00f6cken mit Metadaten und Daten, die kleiner als eine Seite (PAGE_SIZE) sind, sowie f\u00fcr die Unterst\u00fctzung des Modi der zonierten Speicherzuweisung vorbereitet. Unbuffered (Direct IO) Anfragen wurden auf die iomap-Infrastruktur umgestellt. Die Leistung einiger Operationen wurde optimiert, in einigen F\u00e4llen kann die Beschleunigung mehrere Prozents\u00e4tze erreichen.\n
In XFS wurde das Flag «needsrepair» implementiert, das auf die Notwendigkeit der Wiederherstellung hinweist. Wenn dieses Flag gesetzt ist, kann das Dateisystem nicht gemountet werden, bis das Flag durch das Tool xfs_repair zur\u00fcckgesetzt wird.\n
In Ext4 wurden nur Fehlerkorrekturen und Optimierungen angeboten sowie der Code gereinigt.\n
Die erneute Exportierung von \u00fcber NFS gemounteten Dateisystemen wurde erlaubt (d.h. der \u00fcber NFS gemountete Partition kann jetzt \u00fcber NFS exportiert und als Zwischenablage verwendet werden).\n
In den system call close_range() wurde die Option CLOSE_RANGE_CLOEXEC hinzugef\u00fcgt, die es Prozessen erm\u00f6glicht, eine gesamte Reihe von ge\u00f6ffneten Dateideskriptoren im close-on-exec-Modus auf einmal zu schlie\u00dfen.\n
Im F2FS-Dateisystem wurden neue ioctl()-Aufrufe hinzugef\u00fcgt, die es Benutzerspace erm\u00f6glichen, zu verwalten, welche Dateien komprimiert gespeichert werden. Die Mount-Option \u201ecompress_mode=\u201c wurde hinzugef\u00fcgt, um den Speicherort des Kompressionsmanagementhandlers entweder im Kernel oder im Userspace auszuw\u00e4hlen.\n
Es wurde die M\u00f6glichkeit hinzugef\u00fcgt, Overlayfs von unprivilegierten Prozessen zu mounten, indem ein separater Benutzer-Namensraum (user namespace) verwendet wird. Um die \u00dcbereinstimmung mit dem Sicherheitsmodell zu \u00fcberpr\u00fcfen, wurde eine vollst\u00e4ndige Code\u00fcberpr\u00fcfung durchgef\u00fchrt. In Overlayfs wurde auch die M\u00f6glichkeit hinzugef\u00fcgt, mit geklonten Abbilden von Dateisystemen durch das optionale Deaktivieren der UUID-Pr\u00fcfung zu arbeiten.\n
Im Ceph-Dateisystem wurde die Unterst\u00fctzung f\u00fcr das msgr2.1-Protokoll hinzugef\u00fcgt, das es erm\u00f6glicht, den AES-GCM-Algorithmus f\u00fcr die \u00dcbertragung von Daten in verschl\u00fcsselter Form anzuwenden.\n
Im dm-multipath-Modul wurde die M\u00f6glichkeit implementiert, die Bindung an die CPU (\u201eIO affinity\u201c) bei der Auswahl der Routen f\u00fcr E\/A-Anfragen zu ber\u00fccksichtigen. <\/ul>\n
Speicher und Systemdienste<\/b>\n
\n
Ein neuer Mechanismus zum Abfangen von Systemaufrufen wurde hinzugef\u00fcgt, der auf prctl() basiert und es dem Benutzermodus erm\u00f6glicht, Ausnahmen beim Zugriff auf bestimmte Systemaufrufe zu generieren und deren Ausf\u00fchrung zu emulieren. Diese Funktionalit\u00e4t wird in Wine und Proton ben\u00f6tigt, um Systemaufrufe von Windows zu emulieren, was notwendig ist, um die Kompatibilit\u00e4t mit Spielen und Programmen zu gew\u00e4hrleisten, die Systemaufrufe direkt umgehen (zum Beispiel zum Schutz vor unbefugter Nutzung).\n
In den Systemaufruf userfaultfd(), der zum Umgang mit Seitenfehlern (Zugriff auf nicht zugewiesene Seiten im Speicher) im Benutzermodus dient, wurde die M\u00f6glichkeit hinzugef\u00fcgt, die Verarbeitung von Ausnahmen, die auf Kernel-Ebene auftreten, zu deaktivieren, um die Ausnutzung bestimmter Schwachstellen zu erschweren.\n
In das BPF-Subsystem wurde die Unterst\u00fctzung f\u00fcr task-lokale Datenspeicherung hinzugef\u00fcgt, die es erm\u00f6glicht, Daten an einen bestimmten BPF-Handler zu binden.\n
Die Verwaltung des Speicherverbrauchs von BPF-Programmen wurde grundlegend neu gestaltet \u2013 zur Steuerung des Speicherverbrauchs in BPF-Objekten wurde anstelle von memlock rlimit ein cgroup-Controller vorgeschlagen.\n
Im BTF-Mechanismus (BPF Type Format), der Informationen zur Typ\u00fcberpr\u00fcfung im BPF-Pseudocode bereitstellt, wurde die Unterst\u00fctzung f\u00fcr Kernelmodule implementiert.\n
Im asynchronen E\/A-Interface io_uring wurde die Unterst\u00fctzung f\u00fcr die Systemaufrufe shutdown(), renameat2() und unlinkat() hinzugef\u00fcgt. Bei der Aufruf von io_uring_enter() wurde die M\u00f6glichkeit hinzugef\u00fcgt, eine Zeit\u00fcberschreitung anzugeben (die Unterst\u00fctzung des Arguments zur Angabe einer Zeit\u00fcberschreitung kann mit dem Flag IORING_FEAT_EXT_ARG \u00fcberpr\u00fcft werden).\n
Die ia64-Architektur, die in Intel Itanium-Prozessoren verwendet wird, wurde in die Kategorie der nicht mehr unterst\u00fctzten (\u201eorphaned\u201c) \u00fcberf\u00fchrt, was bedeutet, dass die Tests eingestellt werden. Hewlett Packard Enterprise hat die Annahme von Bestellungen f\u00fcr neue Itanium-Hardware eingestellt, w\u00e4hrend Intel dies bereits im letzten Jahr getan hat.\n
Die Unterst\u00fctzung f\u00fcr Systeme auf Basis der MicroBlaze-Architektur, die nicht mit einem Speicherverwaltungseinheit (MMU) ausgestattet sind, wurde eingestellt. Solche Systeme sind seit langem nicht mehr im Gebrauch.\n
F\u00fcr die MIPS-Architektur wurde die Unterst\u00fctzung f\u00fcr die Codeabdeckungstestung (Coverage Testing) mit dem Tool gcov hinzugef\u00fcgt.\n
Die Unterst\u00fctzung f\u00fcr den zus\u00e4tzlichen virtuellen Bus wurde hinzugef\u00fcgt, um mit Multifunktionsger\u00e4ten zu interagieren, die Funktionen erfordern, die unterschiedliche Treiber ben\u00f6tigen (z. B. Netzwerkkarten mit Unterst\u00fctzung f\u00fcr Ethernet und RDMA). Der Bus kann verwendet werden, um einem Ger\u00e4t einen prim\u00e4ren und einen sekund\u00e4ren Treiber zuzuweisen, wenn die Verwendung des MFD-Subsystems (Multi-Function Devices) problematisch ist.\n
F\u00fcr die RISC-V-Architektur wurde die Unterst\u00fctzung f\u00fcr das Contiguous Memory Allocator (CMA) hinzugef\u00fcgt, das optimiert ist, um gro\u00dfe zusammenh\u00e4ngende Speicherbereiche mit der Technik des Seitenverschiebens zuzuweisen. Au\u00dferdem wurden f\u00fcr RISC-V Mittel zur Zugriffskontrolle auf \/dev\/mem und zur Erfassung der Interruptverarbeitungszeit implementiert.\n
F\u00fcr 32-Bit-ARM-Systeme wurde die Unterst\u00fctzung f\u00fcr das Debugging-Tool KASan (Kernel Address Sanitizer) hinzugef\u00fcgt, das hilft, Fehler im Umgang mit dem Speicher zu erkennen. F\u00fcr 64-Bit-ARM wurde die Implementierung von KASan auf die Verwendung von MTE-Tags (MemTag) umgestellt.\n
Der Systemaufruf epoll_pwait2() wurde hinzugef\u00fcgt, der die Verwendung von Zeit\u00fcberschreitungen mit Nanosekunden-Genauigkeit erm\u00f6glicht (der Aufruf von epoll_wait arbeitet mit Millisekunden).\n
Im Build-System wird ein Fehler ausgegeben, wenn versucht wird, Module des Kernels zu compilieren, in denen durch das Makro MODULE_LICENSE() keine Lizenz f\u00fcr den Code definiert ist. Ein Fehler w\u00e4hrend des Builds wird jetzt auch durch die Verwendung des Makros EXPORT_SYMBOL() f\u00fcr statische Funktionen ausgel\u00f6st.\n
Die Unterst\u00fctzung f\u00fcr das Mapping von GEM-Objekten aus dem f\u00fcr Ein-\/Ausgabe verwendeten Speicher wurde hinzugef\u00fcgt, was die Arbeit mit dem Framebuffer auf einigen Architekturen beschleunigt hat.\n
Die Unterst\u00fctzung f\u00fcr Qt4 wurde in Kconfig eingestellt (Qt5, GTK und Ncurses bleiben unterst\u00fctzt). <\/ul>\n
Virtualisierung und Sicherheit<\/b>\n
\n
Die Systemaufruf seccomp() unterst\u00fctzt jetzt den Modus f\u00fcr schnelles Reagieren, der es erm\u00f6glicht, sehr schnell zu bestimmen, ob ein bestimmter Systemaufruf basierend auf der an den Prozess angeh\u00e4ngten Berechtigungstabelle (constant-action bitmap) erlaubt oder verboten ist, ohne einen BPF-Handler auszuf\u00fchren.\n
Die Kernkomponenten f\u00fcr die Erstellung und Verwaltung von Enklaven auf Basis der Intel SGX-Technologie (Software Guard eXtensions) wurden integriert, die es Anwendungen erm\u00f6glicht, Code in isolierten, verschl\u00fcsselten Speicherbereichen auszuf\u00fchren, auf die der restliche Systemzugang beschr\u00e4nkt ist.\n
Im Rahmen der Initiative zur Beschr\u00e4nkung des Zugriffs aus dem Userspace auf die MSR-Register (model-specific register) wurde das Schreiben in das Register MSR_IA32_ENERGY_PERF_BIAS verboten, welches den Modus der Energieeffizienz des Prozessors ver\u00e4ndern kann (\u201enormal\u201c, \u201eperformance\u201c, \u201epowersave\u201c).\n
Die M\u00f6glichkeit, die Migration hochpriorisierter Aufgaben zwischen CPUs abzuschalten, wurde aus dem kernel-rt Branch f\u00fcr Echtzeitsysteme \u00fcbernommen.\n
F\u00fcr ARM64-Systeme wurde die M\u00f6glichkeit hinzugef\u00fcgt, MTE-Tags (MemTag, Memory Tagging Extension) f\u00fcr Adressen von Signalhandlern zu verwenden. Die Verwendung von MTE wird durch die Angabe der Option SA_EXPOSE_TAGBITS in sigaction() aktiviert und erm\u00f6glicht die \u00dcberpr\u00fcfung der Korrektheit der Verwendung von Zeigern, um die Ausnutzung von Schwachstellen zu verhindern, die durch den Zugriff auf bereits freigegebene Speicherbl\u00f6cke, Puffer\u00fcberl\u00e4ufe, Zugriffe vor der Initialisierung und Verwendung au\u00dferhalb des aktuellen Kontexts verursacht werden.\n
Es wurde ein Parameter \u201eDM_VERITY_VERIFY_ROOTHASH_SIG_SECONDARY_KEYRING\u201c hinzugef\u00fcgt, der dem dm-verity-Subsystem erlaubt, die Hash-Signaturen von Zertifikaten zu \u00fcberpr\u00fcfen, die im sekund\u00e4ren Schl\u00fcsselring (keyring) abgelegt sind. In der Praxis erm\u00f6glicht diese Einstellung die Verifizierung nicht nur von in den Kernel eingebetteten Zertifikaten, sondern auch von w\u00e4hrend des Betriebs geladenen Zertifikaten, was die Aktualisierung von Zertifikaten ohne ein gesamtes Kernel-Upgrade erm\u00f6glicht.\n
Im User-mode Linux wurde die Unterst\u00fctzung f\u00fcr den Suspend-to-Idle-Modus hinzugef\u00fcgt, der es erm\u00f6glicht, die Umgebung einzufrieren und das Signal SIGUSR1 zum Aufwecken aus dem Schlafmodus zu verwenden.\n
Im virtio-mem-Mechanismus, der das Hot-Plugging und -Entfernen von Speicher f\u00fcr virtuelle Maschinen erm\u00f6glicht, wurde die Unterst\u00fctzung f\u00fcr den Big Block Mode (BBM) hinzugef\u00fcgt, der es erm\u00f6glicht, Speicher in Bl\u00f6cken zu \u00fcbertragen oder abzuziehen, die gr\u00f6\u00dfer als die Blockgr\u00f6\u00dfe des Kernspeichers sind, was f\u00fcr die Optimierung von VFIO in QEMU notwendig ist.\n
In die Kernel-basierte Implementierung von TLS wurde die Unterst\u00fctzung f\u00fcr den CHACHA20-POLY1305-Algorithmus integriert. <\/ul>\n
Netzwerksubsystem<\/b>\n
\n
F\u00fcr 802.1Q (VLAN) wurde ein Mechanismus zur Verwaltung von Verbindungsfehlern (CFM, Connectivity Fault Management) implementiert, der es erm\u00f6glicht, Fehler in Netzwerken mit virtuellen Br\u00fccken zu erkennen, zu verifizieren und zu isolieren. Zum Beispiel kann CFM verwendet werden, um Probleme in Netzwerken zu lokalisieren, die mehrere unabh\u00e4ngige Organisationen betreffen, deren Mitarbeiter nur Zugang zu ihrer eigenen Hardware haben.\n
Die Unterst\u00fctzung f\u00fcr das Encapsulieren von SCTP-Paketen in UDP-Paketen (RFC 6951) wurde hinzugef\u00fcgt, was die Verwendung von SCTP in Netzwerken mit \u00e4lteren Adress\u00fcbersetzern erm\u00f6glicht, die SCTP nicht direkt unterst\u00fctzen, sowie die Implementierung von SCTP auf Systemen, die keinen direkten Zugang zur IP-Ebene bieten.\n
Die Umsetzung der WiMAX-Technologie wurde in den Staging-Bereich verschoben und ist f\u00fcr die zuk\u00fcnftige Entfernung vorgesehen, sofern keine Benutzer gefunden werden, die WiMAX ben\u00f6tigen. WiMAX wird in \u00f6ffentlichen Netzwerken nicht mehr verwendet, und im Kernel bleibt der einzige Treiber, der mit WiMAX betrieben werden kann, der veraltete Intel 2400m-Treiber. Im Netzwerk-Manager NetworkManager wurde die Unterst\u00fctzung f\u00fcr WiMAX 2015 eingestellt. Derzeit wird WiMax nahezu vollst\u00e4ndig von Technologien wie LTE, HSPA+ und Wi-Fi 802.11n verdr\u00e4ngt.\n
Die Leistung bei der Verarbeitung von eingehendem TCP-Verkehr im Zerocopy-Modus wurde optimiert, d.h. ohne zus\u00e4tzliches Kopieren in neue Puffer. F\u00fcr mittelgro\u00dfen Verkehr, der Dutzende oder mehrere Hundert Kilobyte Daten umfasst, ist der Einsatz von Zerocopy anstelle von recvmsg() deutlich effizienter. Beispielsweise haben die implementierten \u00c4nderungen die Effizienz der Verarbeitung von RPC-\u00e4hnlichem Verkehr mit 32 KB gro\u00dfen Nachrichten beim Einsatz von Zerocopy um 60-70 % gesteigert.\n
Neue ioctl()-Aufrufe zum Erstellen von Netzwerkbr\u00fccken, die mehrere PPP-Kan\u00e4le abdecken, wurden hinzugef\u00fcgt. Die vorgeschlagene Funktion erm\u00f6glicht es, dass Frames von einem Kanal in einen anderen wechseln, zum Beispiel von PPPoE zu einer PPPoL2TP-Sitzung.\n
Die Integration in den MPTCP-Kernel (MultiPath TCP) wurde fortgesetzt, einer Erweiterung des TCP-Protokolls f\u00fcr die Organisation von TCP-Verbindungen mit gleichzeitiger Paketlieferung \u00fcber mehrere Routen hinweg, die \u00fcber verschiedene Netzwerkinterfaces mit unterschiedlichen IP-Adressen gebunden sind. In der neuen Version wurde die Unterst\u00fctzung f\u00fcr die Option ADD_ADDR implementiert, um verf\u00fcgbare IP-Adressen<\/a> Verbindungen anzuk\u00fcndigen, wenn neue Streams zu einer bestehenden MPTCP-Verbindung hinzugef\u00fcgt werden.\n