{"id":99149,"date":"2021-02-16T16:22:46","date_gmt":"2021-02-16T14:22:46","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/reliz-yadra-linux-5-11"},"modified":"2021-02-16T16:22:46","modified_gmt":"2021-02-16T14:22:46","slug":"reliz-yadra-linux-5-11","status":"publish","type":"post","link":"https:\/\/prohoster.info\/es\/blog\/news\/reliz-yadra-linux-5-11","title":{"rendered":"Lanzamiento del n\u00facleo Linux 5.11","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Despu\u00e9s de dos meses de desarrollo, Linus Torvalds present\u00f3 la versi\u00f3n del n\u00facleo Linux 5.11. Entre los cambios m\u00e1s destacados: soporte para enclaves Intel SGX, un nuevo mecanismo de interceptaci\u00f3n de llamadas al sistema, un bus virtual auxiliar, prohibici\u00f3n de compilar m\u00f3dulos sin MODULE_LICENSE(), modo de filtrado r\u00e1pido de llamadas al sistema en seccomp, cese del soporte para la arquitectura ia64, traslado de la tecnolog\u00eda WiMAX a la rama «staging», posibilidad de encapsular SCTP en UDP. <\/p>\n
En la nueva versi\u00f3n se han aceptado 15,480 correcciones de 1,991 desarrolladores, el tama\u00f1o del parche — 72 MB (los cambios afectaron a 12,090 archivos, se a\u00f1adieron 868,025 l\u00edneas de c\u00f3digo, se eliminaron 261,456 l\u00edneas). Aproximadamente el 46% de todos los cambios presentados en 5.11 est\u00e1n relacionados con controladores de dispositivos, aproximadamente el 16% de los cambios se refieren a la actualizaci\u00f3n de c\u00f3digo espec\u00edfico de arquitecturas de hardware, el 13% est\u00e1 relacionado con la pila de red, el 3% con los sistemas de archivos y el 4% con subsistemas internos del n\u00facleo. <\/p>\n
Novedades principales: <\/p>\n
\n
Subsistema de disco, entrada\/salida y sistemas de archivos<\/b>\n
\n
En Btrfs se han a\u00f1adido varias opciones de montaje para su uso al recuperar datos de un sistema de archivos da\u00f1ado: «rescue=ignorebadroots» para montar a pesar de los da\u00f1os en algunos \u00e1rboles ra\u00edz (extent, uuid, data reloc, device, csum, free space), «rescue=ignoredatacsums» para desactivar la verificaci\u00f3n de sumas de verificaci\u00f3n para los datos y «rescue=all» para activar simult\u00e1neamente los modos ‘ignorebadroots’, ‘ignoredatacsums’ y ‘nologreplay’. Se ha descontinuado el soporte para la opci\u00f3n de montaje «inode_cache», que anteriormente se hab\u00eda declarado obsoleta. Se ha preparado el c\u00f3digo para implementar el soporte para bloques de metadatos y datos de menos del tama\u00f1o de p\u00e1gina (PAGE_SIZE), as\u00ed como para el soporte del modo de asignaci\u00f3n de espacio zonificado. Las solicitudes no bufferizadas (Direct IO) se han trasladado a la infraestructura iomap. Se ha optimizado el rendimiento de varias operaciones, en algunos casos la aceleraci\u00f3n puede alcanzar decenas de por ciento.\n
En XFS se ha implementado la bandera «needsrepair», que indica la necesidad de recuperaci\u00f3n. Al establecer esta bandera, el sistema de archivos no se puede montar hasta que la bandera no se restablezca con la utilidad xfs_repair.\n
En Ext4 se han propuesto \u00fanicamente correcciones de errores y optimizaciones, as\u00ed como una limpieza de c\u00f3digo.\n
Se ha permitido la reexportaci\u00f3n de sistemas de archivos montados sobre NFS (es decir, una partici\u00f3n montada a trav\u00e9s de NFS ahora puede ser exportada a trav\u00e9s de NFS y utilizada como cach\u00e9 intermedia).\n
En la llamada al sistema close_range(), que permite a un proceso cerrar de una vez un rango completo de descriptores de archivos abiertos, se a\u00f1adi\u00f3 la opci\u00f3n CLOSE_RANGE_CLOEXEC para cerrar descriptores en modo close-on-exec.\n
En el sistema de archivos F2FS se han a\u00f1adido nuevas llamadas a ioctl(), que permiten gestionar desde el espacio de usuario qu\u00e9 archivos se guardan en formato comprimido. Se ha a\u00f1adido la opci\u00f3n de montaje \"compress_mode=\" para elegir la ubicaci\u00f3n del controlador de compresi\u00f3n, ya sea en el lado del n\u00facleo o en el espacio de usuario.\n
Se ha permitido el montaje de Overlayfs por procesos no privilegiados, utilizando un espacio separado de identificadores de usuarios (user namespace). Para verificar la conformidad con el modelo de seguridad, se llev\u00f3 a cabo una auditor\u00eda completa del c\u00f3digo. En Overlayfs tambi\u00e9n se a\u00f1adi\u00f3 la opci\u00f3n de iniciar utilizando copias de im\u00e1genes del sistema de archivos a trav\u00e9s de una opci\u00f3n para desactivar la verificaci\u00f3n UUID.\n
Se a\u00f1adi\u00f3 al sistema de archivos Ceph el soporte para el protocolo msgr2.1, que permite aplicar el algoritmo AES-GCM durante la transmisi\u00f3n de datos de forma cifrada.\n
En el m\u00f3dulo dm-multipath se ha implementado la posibilidad de tener en cuenta la afinidad al CPU (\"IO affinity\") al seleccionar la ruta para las solicitudes de entrada\/salida. <\/ul>\n
Memoria y servicios del sistema<\/b>\n
\n
Se a\u00f1adi\u00f3 un nuevo mecanismo de intercepci\u00f3n de llamadas al sistema, basado en prctl(), que permite generar excepciones desde el espacio de usuario al acceder a una llamada al sistema espec\u00edfica y emular su ejecuci\u00f3n. Esta funcionalidad es demandada en Wine y Proton para emular llamadas al sistema de Windows, lo cual es necesario para asegurar la compatibilidad con juegos y programas que ejecutan llamadas al sistema directamente, eludiendo la API de Windows (por ejemplo, para protegerse contra el uso no autorizado).\n
En la llamada al sistema userfaultfd(), destinada a gestionar page faults (accesos a p\u00e1ginas de memoria no asignadas) en el espacio de usuario, se a\u00f1ade la capacidad de desactivar el manejo de excepciones que ocurren a nivel de n\u00facleo, con el fin de dificultar la explotaci\u00f3n de algunas vulnerabilidades.\n
Se a\u00f1adi\u00f3 al subsistema BPF el soporte para almacenamiento de datos local para la tarea (task-local storage), que proporciona vinculaci\u00f3n de datos a un manejador BPF espec\u00edfico.\n
Se ha reestructurado completamente el seguimiento del uso de memoria por parte de los programas BPF \u2014 para gestionar el uso de memoria en los objetos BPF se ha propuesto un controlador cgroup en lugar de memlock rlimit.\n
En el mecanismo BTF (BPF Type Format), que proporciona informaci\u00f3n para la verificaci\u00f3n de tipos en el pseudoc\u00f3digo BPF, se ha implementado soporte para m\u00f3dulos del n\u00facleo.\n
En la interfaz de entrada\/salida as\u00edncrona io_uring se ha a\u00f1adido soporte para las llamadas al sistema shutdown(), renameat2() y unlinkat(). Al invocar io_uring_enter() se ha incorporado la posibilidad de especificar un tiempo de espera (la compatibilidad con este argumento se puede verificar con la bandera IORING_FEAT_EXT_ARG).\n
La arquitectura ia64, utilizada en los procesadores Intel Itanium, ha sido trasladada a la categor\u00eda de abandonada (\"orphaned\"), lo que implica que se ha cesado la prueba. Hewlett Packard Enterprise ha dejado de aceptar pedidos para nuevo hardware Itanium, mientras que Intel lo hizo el a\u00f1o pasado.\n
Se ha descontinuado el soporte para sistemas basados en la arquitectura MicroBlaze que no est\u00e9n equipados con unidad de gesti\u00f3n de memoria (MMU). Tales sistemas ya no son comunes.\n
Para la arquitectura MIPS se ha a\u00f1adido soporte para pruebas de cobertura de c\u00f3digo mediante la utilidad gcov.\n
Se ha a\u00f1adido soporte para el bus virtual auxiliary para la interacci\u00f3n con dispositivos multifuncionales que combinan funcionalidad que requiere diferentes controladores (por ejemplo, tarjetas de red con soporte para Ethernet y RDMA). Este bus se puede usar para asignar un controlador primario y secundario al dispositivo, en situaciones donde el uso del subsistema MFD (Multi-Function Devices) es problem\u00e1tico.\n
Para la arquitectura RISC-V se ha a\u00f1adido soporte para el sistema de asignaci\u00f3n de memoria CMA (Contiguous Memory Allocator), optimizado para la asignaci\u00f3n de grandes bloques continuos de memoria utilizando t\u00e9cnicas de paginaci\u00f3n. Tambi\u00e9n se han implementado medidas para restringir el acceso a \/dev\/mem y contabilizar el tiempo de procesamiento de interrupciones.\n
Para sistemas ARM de 32 bits se ha a\u00f1adido soporte para la herramienta de depuraci\u00f3n KASan (Kernel Address Sanitizer), que identifica errores en el uso de la memoria. Para ARM de 64 bits, la implementaci\u00f3n de KASan se ha trasladado al uso de etiquetas MTE (MemTag).\n
Se ha a\u00f1adido la llamada al sistema epoll_pwait2(), que permite el uso de temporizadores con precisi\u00f3n en nanosegundos (la llamada epoll_wait manipula milisegundos).\n
El sistema de compilaci\u00f3n ahora proporciona un mensaje de error al intentar compilar m\u00f3dulos del n\u00facleo que no tienen definida la licencia de c\u00f3digo mediante el macro MODULE_LICENSE(). Adem\u00e1s, el uso del macro EXPORT_SYMBOL() para funciones est\u00e1ticas tambi\u00e9n provocar\u00e1 un error en la compilaci\u00f3n.\n
Se a\u00f1adi\u00f3 soporte para mapeo de objetos GEM desde la memoria utilizada para entrada\/salida, lo que acelera el trabajo con el framebuffer en algunas arquitecturas.\n
Se ha descontinuado el soporte de Qt4 en Kconfig (se mantiene soporte para Qt5, GTK y Ncurses). <\/ul>\n
Virtualizaci\u00f3n y seguridad<\/b>\n
\n
Se ha agregado soporte para un modo de respuesta r\u00e1pida en la llamada al sistema seccomp(), que permite determinar muy r\u00e1pidamente si un llamado al sistema est\u00e1 permitido o prohibido en funci\u00f3n de la tabla de permisos (constant-action bitmap) adjunta al proceso, sin necesidad de ejecutar un manejador BPF.\n
Se integraron componentes del n\u00facleo para crear y gestionar enclaves basados en la tecnolog\u00eda Intel SGX (Software Guard eXtensions), que permite a las aplicaciones ejecutar c\u00f3digo en \u00e1reas de memoria cifradas y aisladas, a las que el resto del sistema tiene acceso restringido.\n
En el marco de la iniciativa para restringir el acceso desde el espacio de usuario a los registros MSR (model-specific register), se ha prohibido la escritura en el registro MSR_IA32_ENERGY_PERF_BIAS, que permite cambiar el modo de eficiencia energ\u00e9tica del procesador (\"normal\", \"performance\", \"powersave\").\n
Se ha transferido desde la rama kernel-rt para sistemas de tiempo real la capacidad de desactivar la migraci\u00f3n de tareas de alta prioridad entre CPU.\n
Para sistemas ARM64, se ha a\u00f1adido la capacidad de aplicar etiquetas MTE (MemTag, Memory Tagging Extension) a las direcciones de memoria de los manejadores de se\u00f1ales. El uso de MTE se activa especificando la opci\u00f3n SA_EXPOSE_TAGBITS en sigaction() y permite organizar la verificaci\u00f3n de la correcta utilizaci\u00f3n de los punteros para bloquear la explotaci\u00f3n de vulnerabilidades causadas por el acceso a bloques de memoria ya liberados, desbordamientos de b\u00fafer, accesos antes de la inicializaci\u00f3n y usos fuera del contexto actual.\n
Se ha a\u00f1adido el par\u00e1metro \"DM_VERITY_VERIFY_ROOTHASH_SIG_SECONDARY_KEYRING\", que permite al subsistema dm-verity verificar las firmas hash de los certificados almacenados en el almac\u00e9n de claves secundario (keyring). En la pr\u00e1ctica, esta configuraci\u00f3n permite verificar no solo los certificados integrados en el n\u00facleo, sino tambi\u00e9n los certificados cargados durante la ejecuci\u00f3n, lo que permite actualizar certificados sin necesidad de actualizar todo el n\u00facleo.\n
En User-mode Linux se ha a\u00f1adido soporte para el modo suspend-to-idle, que permite congelar el entorno y utilizar la se\u00f1al SIGUSR1 para salir del estado de suspensi\u00f3n.\n
En el mecanismo virtio-mem, que permite la conexi\u00f3n y desconexi\u00f3n en caliente de la memoria a m\u00e1quinas virtuales, se ha a\u00f1adido soporte para el modo de bloque grande (BBM, Big Block Mode), que permite transferir o retirar memoria en bloques que superan el tama\u00f1o del bloque de memoria del n\u00facleo, lo que es necesario para optimizar VFIO en QEMU.\n
Se ha a\u00f1adido soporte para el cifrado CHACHA20-POLY1305 en la implementaci\u00f3n TLS a nivel de n\u00facleo. <\/ul>\n
Subsistema de red<\/b>\n
\n
Para 802.1Q (VLAN), se ha implementado un mecanismo de gesti\u00f3n de fallos de conectividad (CFM, Connectivity Fault Management), que permite detectar, verificar y aislar fallos en redes con puentes virtuales (Virtual Bridged Networks). Por ejemplo, CFM puede usarse para localizar problemas en redes que abarcan varias organizaciones independientes, cuyos empleados solo tienen acceso a su propio equipo.\n
Se ha a\u00f1adido soporte para la encapsulaci\u00f3n de paquetes del protocolo SCTP en paquetes UDP (RFC 6951), lo que permite usar SCTP en redes con traductores de direcciones antiguos que no admiten SCTP directamente, as\u00ed como implementar SCTP en sistemas que no ofrecen acceso directo al nivel IP.\n
La implementaci\u00f3n de la tecnolog\u00eda WiMAX se ha movido a staging y se prev\u00e9 su eliminaci\u00f3n en el futuro si no se encuentran usuarios que requieran WiMAX. WiMAX ya no se utiliza en redes p\u00fablicas, y en el n\u00facleo el \u00fanico controlador que se puede usar con WiMAX sigue siendo el antiguo controlador Intel 2400m. En el configurador de red NetworkManager, el soporte para WiMAX se interrumpi\u00f3 en 2015. Actualmente, WiMax ha sido pr\u00e1cticamente reemplazada por tecnolog\u00edas como LTE, HSPA+ y Wi-Fi 802.11n.\n
Se han realizado optimizaciones en el rendimiento del procesamiento de tr\u00e1fico TCP entrante en modo zerocopy, es decir, sin copias adicionales en nuevos b\u00faferes. Para tr\u00e1fico de tama\u00f1o medio, que abarca decenas o cientos de kilobytes de datos, el uso de zerocopy en lugar de recvmsg() es considerablemente m\u00e1s eficiente. Por ejemplo, los cambios implementados lograron aumentar la eficiencia del procesamiento de tr\u00e1fico estilo RPC con mensajes de 32 KB al utilizar zerocopy entre un 60-70%.\n
Se han a\u00f1adido nuevas llamadas ioctl() para crear puentes de red que abarcan m\u00faltiples canales PPP. La funcionalidad propuesta permite que los tramas se muevan de un canal a otro, por ejemplo, de PPPoE a una sesi\u00f3n PPPoL2TP.\n
Se ha continuado con la integraci\u00f3n en el n\u00facleo de MPTCP (MultiPath TCP), una extensi\u00f3n del protocolo TCP para gestionar la conexi\u00f3n TCP con entrega de paquetes simult\u00e1neamente a trav\u00e9s de m\u00faltiples rutas a trav\u00e9s de diferentes interfaces de red, ligadas a diferentes direcciones IP. En esta nueva versi\u00f3n se ha implementado el soporte para la opci\u00f3n ADD_ADDR para anunciar los disponibles direcciones IP<\/a> a los que es posible conectarse al agregar nuevos flujos a una conexi\u00f3n existente de MPTCP.\n