Linuxi tuuma 5.13 väljaanne.

Kaks kuud kestnud arendustööst pärast esitleb Linus Torvalds Linuxi tuuma versiooni 5.13. Olulisemate muudatuste seas on: EROFS failisüsteem, algne tugi Apple M1 kiipidele, cgroup-kontroller "misc", toetahtmine /dev/kmemist, uute Intel ja AMD GPU-de tugi, võimalus kutsuda tuuma funktsioone otse BPF-programmidest, tuuma steki randomiseerimine iga süsteemi kutsumise korral, võimalus koostada Clangis CFI (Control Flow Integrity) kaitsega, Landlock LSM-moodul protsesside täiendavate piirangute seadmiseks, virtuaalne heliseade virtio alusel ja multi-shot režiim io_uring'is.

Uues versioonis on vastu võetud 17189 parandust 2150 arendajalt (kõige suurem ajaloos), plaastri suurus on 60 MB (muudatused puudutasid 12996 faili, juurde on lisatud 794705 koodirida, eemaldatud on 399590 rida). Umbes 47% kõikidest 5.13 versioonis esitatud muudatustest on seotud seadme draiveritega, umbes 14% muudatustest puudutab riistvaraarhitektuurile spetsiifilise koodi uuendusi, 13% on seotud võrgu virnastamisega, 5% - ga failisüsteemidega ja 4% tuuma siseste süsteemidega.

Peamised uuendused:

• Diskisüsteem, sisend/väljund ja failisüsteemid
  • Lisatud on EROFS (Enhanced Read-Only File System) failisüsteemi tugi, mille on välja pakkunud Huawei kasutamiseks ainult lugemise režiimis osades. Uus failisüsteem toetab andmete salvestamist tihendatud kujul ja näitab võrreldes Ext4-ga sarnast jõudlust järjestikuste lugemistoimingute tegemisel, kuid ületab Ext4 mitu korda juhuslikus andmete juurdepääsus. Näiteks tihendustasemega 4 ja testimisel serveris tihendusega HDD-l ületas EROFS failisüsteem Ext4 juhuslikest lugemistest enam kui kuus korda, samas kui Android-smartfoni Flashi kasutamisel peaaegu kolm korda. Nagu teistes lugemiseks mõeldud failisüsteemides, on EROFS-i struktuur oluliselt lihtsustatud, loobudes rakendamisel mõnest metadata valdkonnast, nagu vaba plokkide bitikaart.
  • SMB3 failisüsteemist on rakendatud "rasize" mountimise valik, mille abil saab määrata ennustava lugemise (readahead) akna suuruse, et tõsta jõudlust teatud koormuste korral.
  • ext4 failisüsteemis on tagatud kataloogielementide üle kirjutamine failide kustutamisel. ext4-s on samuti lubatud samal ajal kasutamine mitte-täheandmete režiimis ja krüpteerimist.
  • FS exFAT on lisatud toetamine ioctl-käsku FITRIM (discard), et teavitada seadet mittekasutatavatest plokkidest FS-is.
  • FS XFS on lisatud võimalus eraldada ruumi viimases jaotamisgrupis, mis on esimene samm olemasolevate XFS failisüsteemi partitsioonide suuruse vähendamise funktsiooni rakendamiseks.
  • Lisatud uus süsteemikõne quotactl_path, mis erineb quotactl-ist, kuna see võimaldab hallata kvoote mitte läbi seadme spetsiaalfaili, vaid osutades FS-i mountimispunktile.
  • Fanotify mehhanismis on laienenud võimalused, mis on kergelt kasutatavad mitteprivilegeeritud kasutajatele. Näiteks inotify-taoliste õigusteta SYS_CAP_ADMIN-ga on nüüd võimalik jälgida avamise, juurdepääsu, muutmise ja sulgemise sündmusi failide ja kaustade jaoks.
• Mälu ja süsteemiteenused
  • Lisatud uus cgroup kontroller - 'Misc' (CONFIG_CGROUP_MISC), mille eesmärk on piirata ja jälgida skalaarsed ressursse, mida saab hallata lihtsa loenduri abil ja piirata, seadistades maksimaalsed väärtused. Uue cgroup kontrolleri rakendamise näiteks tuuakse esile aadressiruumi identifikaatorite haldamine, mida kasutatakse AMD SEV (Secure Encrypted Virtualization) mehhanismis.
  • Asünkroonse sisendi/väljundi io_uring liidese POLL päringute jaoks on rakendatud 'multi-shot' režiim, kus POLL ei eemaldata sündmuse genereerimise järel, vaid jääb aktiivseks ja võib genereerida mitu sündmust.
  • Reaalajas tuumikuharu kood on edastatud, tagades tuumade voogude siseneva katkestuse töötlemise, mis võimaldab neid kõrge prioriteediga protsesside poolt ületada.
  • Lisatud sisemine raamatukogu netfs, kuhu on viidud tüüpilised funktsioonid, mida kasutatakse võrgufailisüsteemides.
  • PowerPC arhitektuurile on rakendatud ajaruumi nimed (time namespaces), mis võimaldavad konteineris kasutada oma aega.
  • RISC-V arhitektuurile on rakendatud toetust kexec, crash dump, kprobe ja tuuma käivitamiseks kohapeal (execute-in-place, ülesande teostamine algallikalt, ilma RAM-i kopeerimata).
  • BPF-jälgimisprogrammides on lisatud võimalus kasutada ülesande-local storage, mis tagab suurema jõudluse, seostades andmed konkreetse BPF- töötlejaga.
  • Uus mehhanism on rakendatud tuumafunktsioonide otse kutsumiseks BPF-programmides, mida on juba kasutatud TCP ülekande algoritmide teostamiseks. Turvalisuse tagamiseks peavad kutsutavad funktsioonid olema selgelt valgete nimekirjades määratletud.
  • Funktsioonide jälgimise süsteemile ftrace on lisatud funktsioon func-no-repeats, mis võimaldab kuvada järjestikuseid funktsioonikõnesid loendina.
  • Kasutajafunktsiooni userfaultfd(), mis on mõeldud lehe vigade (mäluprogrammide, millele ei ole eraldatud lehti) käsitlemiseks, on lisatud osa vigade juhtimise võimalus, kus leht on olemas, kuid lehteede tabelis ei ole sissekannet.
  • Toetamine erifailile /dev/kmem, mis võimaldab pääseda juurde kogu tuuma aadressiruumi, on lõpetatud. See fail on tunnistatud aegunuks ja põhjustab turvaprobleeme.
  • Intel'i kiipidele on rakendatud uus jahutuse juhtimise draiver, mis võimaldab vähendada protsessori sagedust ülekuumenemise ohu korral. Erinevalt olemasolevast TCC (Thermal Control Circuit) aktiveerimise mehhanismist, manipuleerib uus draiver suhteliste väärtustega, st võib vähendada sagedust enne temperatuurikriitilise piiri ületamist.
• Virtualiseerimine ja turvalisus
  • Komplekti on lisatud LSM-modul, mis tagab rakenduste isolatsiooni Landlock kaudu, piirates protsessigrupi suhtlemist väliskeskkonnaga. See on loodud silmas pidades selliseid isolatsioonimehhanisme, nagu XNU Sandbox, FreeBSD Capsicum ja OpenBSD Pledge/Unveil. Juurdepääsu loogika määratakse BPF-programmi abil, kuid erinevalt seccomp-bpf'ist ei filtreeri Landlock süsteemi kõnesid ja nende argumente, vaid võimaldab piirata tuuma objektide, näiteks failihalduse hierarhiate kasutamist. Landlock võimaldab igal protsessil, sealhulgas privileegideta protsessidel, end kindlalt isoleerida ja vältida isolatsiooni ületamist, kui avastatakse haavatavusi või kahjulikke muudatusi rakendustes. Landlock võimaldab protsessil luua kaitstud isoleeritud keskkondi, mis on loodud olemasolevate juurdepääsu haldussüsteemide täiendava kihina.
  • Lisatud võimalus teha juhuslikke nihkeid kerneli virnas süsteemi väljakutseid töötlemisel, et keerulisemaks muuta rünnakute sooritamine virnale. Pakutud kaitse tuum seisneb virna juhusliku nihke valimises iga süsteemi väljakutse korral, mis muudab virna paigutuse määramise mälu sees keerukamaks isegi juhul, kui saadakse teavet aadresside kohta, kuna järgmise süsteemi väljakutse korral muutub virna põhja aadress. Juhuslikkuse lubamiseks on ette nähtud kerneli käsurea parameeter "randomize_kstack_offset=on/off" ja seadistus CONFIG_RANDOMIZE_KSTACK_OFFSET_DEFAULT. Üksikasjalikud kulud on hinnatud ligikaudu 1% tootlikkuse kaduks.
  • Lisatud tugi kernelite koostamiseks Clangi kompilaatoris CFI (Control Flow Integrity) kaitsemehhanismi aktiveerimiseks, mis lisab iga kaudse funktsiooni väljakutsele kontrolli, et tuvastada teatavat tüüpi määramatut käitumist, mis võib potentsiaalselt viia normaalsete teostamisjärjekordade (control flow) rikkumiseni, kui kasutatakse ekspluataatoreid, mis muudavad funktsioonide mälus hoitavaid näitajaid. CFI lubamiseks on ette nähtud parameeter CONFIG_CFI_CLANG.
  • Kerneli pakutavas krüpteerimise võtmete salvestamise teenuses (key ring) hõlmab usaldusväärsete võtmete (Trusted Keys) mehhanism nüüd mitte ainult TPM-modulite võtmeid, vaid ka TEE (Trusted Execution Environment) keskkonnast. Usaldusväärsete võtmete allika haldamiseks on pakutud laadimisparameeter "trusted.source". Lisaks on lisatud võimalus töödelda usaldusväärseid võtmeid ASN.1 formaadis.
  • Lisatud parameeter tagasivõetud sertifikaatide nimekirja ennetavaks laadimiseks kernelile laadimise ajal. Lahendatud probleem (CVE-2020-26541) UEFI Secure Boot-i sertifikaatide mustas nimekirjas, mida tarniti EFI_CERT_X509_GUID formaadis, mis võimaldas süsteemi käivitada tagasivõetud sertifikaadi olemasolul.
  • Kerneli krüptosüsteemi on lisatud ECDSA digitaalsete allkirjade kontrollimise tugi elliptsete kõverate põhjal.
  • Teostatud on SELinux poliitikate valideerimise võimalus IMA (Integrity Measurement Architecture) süsteemi abil, mis tagab andmete terviklikkuse kontrollimiseks hashide aluse säilitamise.
• Võrgusüsteem
  • WiMAX-tehnoloogia toetus on eemaldatud, kuna seda enam avalikes võrkudes ei kasutata, ning tuumades on ainus draiver, millega WiMAX-i kasutada, aegunud Intel 2400m draiver. Võrgukonfigureerijas NetworkManager lõpetati WiMAX-i tugi 2015. aastal. Praegu on WiMax praktiliselt täielikult asendatud selliste tehnoloogiatega nagu LTE, HSPA+ ja Wi-Fi 802.11n.
  • Lisatud on draiver MANA (Microsoft Azure Network Adapter) võrguadapterile.
  • Draiverisse ath11k on lisatud tugi Qualcomm QCN9074 juhtmeta moodulitele, mis toetavad 802.11ax.
  • Draiveris iwlwifi on implementeeritud võimalus passiivseks kanalite skaneerimiseks 6GHz sagedusalas. Ukrainale on lisatud võimalus lülitada IEEE 802.11ax sisse/ välja BIOS-i parameetrite alusel.
  • XDP (eXpress Data Path) alamsüsteemi optimeerimine, mis võimaldab võrgu pakettide manipuleerimist enne nende töötlemist Linuxi tuuma võrgu stackis. Tehtud testid näitavad XDP jõudluse tõusu 4-8%. Virtio seadmete puhul võib AF_XDP protsessitöötluse jõudluse kasv ulatuda kuni 33%.
  • ICMP-s on rakendatud laienemise PROBE-õnumite tugi, nagu on määratletud RFC 8335.
  • MPTCP (MultiPath TCP) tuuma integreerimist on jätkatud; see on TCP protokolli laiendus, mis korraldab TCP-ühenduse töö pakettide edastamiseks mitme marsruudi kaudu, kasutades erinevaid võrguinterfääre, mis on seotud erinevate IP-aadresside. Uues väljaandes on lisatud sockopt tuge TCP tüüpiliste valikute määramiseks. Tehtud on võimalus taastada eraldi alamsilte (subflow).
  • Netfilter’is on lisatud ressursside juhtimise tugi ühtse cgroups v2 hierarhiaga.
  • Ethtoolis on implementeeritud liides IEEE MIB statistika lugemiseks, toetades mlx5 ja bnxt. Võrgu draiveritele on lubatud alustada suvaliste andmete väljatoomist SFP EEPROM-ist, manipuleerides mitte sidese + suuruse, vaid mälulehtedega.
• Varustus
  • On rakendatud esmane tugi ARM-kiibile Apple M1, mis hõlmab katkestuste kontrollerit, taimerit, UART-i, SMP-d, I/O korraldamise funktsioone ja MMIO-d. GPU tagumist inseneerimist pole veel lõpetatud, väljundi korraldamiseks on pakutud framebufferi ja konsooli tugi seerianpordiga.
  • Tuuma puhastamine vanadest draiveritest on jätkunud, eemaldatud on draiverid «gasket» (Google ASIC), «sysace», «umem» ja mitmed vanad draiverid järjestikuste portide jaoks.
  • Pärast 13 aastat staging harus on draiver «comedi», mis toetab andmete kogumise seadmeid, stabiliseeritud ja peamisse koosseisu viidud.
  • Lisatud on GUD (Generic USB Display) draiver, mis rakendab baasdraiverit USB liidese kaudu ühendatud ekraanide ja TV-adapterite jaoks. Draiver pakub DRM-omadusi (Direct Rendering Manager) pildi pööramiseks, heledusreguleerimiseks, EDID ligipääsuks, video režiimide seadistamiseks ja TV ühendamiseks, mida saab kasutada konkreetsete seadmete draiverite loomise aluseks.
  • Lisatud on heli draiver 'virtio', mis rakendab virtuaalset heliseadet, mida saab kasutada võõrustatavates süsteemides heli esitamiseks ja salvestamiseks ilma helikaardile ligipääsu edastamiseta ning ilma emuleerimiseta.
  • Draiverisse amdgpu on lisatud algtugi GPU Aldebaranile (gfx90a). Algne tugi FreeSync adaptatiivse synchroniseerimise tehnoloogiale HDMI jaoks on sisse lülitatud (varem oli saadaval DisplayPorti jaoks), mis võimaldab ekraani värskendussageduse täpset korrigeerimist. Aktiveeritud on ASSR (Alternate Scrambler Seed Reset) tugi. Lisatud on ioctl video kodeerimise ja dekodeerimisega seotud võimete pärimise jaoks. Sisestatud on CONFIG_DRM_AMD_SECURE_DISPLAY režiim kriitilise teabe kuvavate ekraanide muutuste tuvastamiseks. Energiat säästva mehhanismi ASPM tugi on lisatud.
  • Draiveris i915 Intel graafikakaartidele on sisse lülitatud Intel Alderlake-S kiipide tugi. Lisatud on eDP MSO (Embedded DisplayPort Multi-SST Operation) tugi.
  • Lisatud on mängukontrolleri Luna (Amazon) tugi ning ka puutetundlike ekraanide Hycon HY46XX, ILITEK Lego Series ja MStar MSG2638 tugi.

Samaaegselt lõi Ladina-Ameerika Vaba Tarkvara Fond Linuxi täielikult vaba tuuma versiooni 5.11 — Linux-libre 5.11-gnu, mis on puhastatud tootja piiratud vaba tarkvara komponentide või koodiplokkide elementidest. Uues väljaandes on tehtud puhastamine draiverile comedi. Draiverite cyclades, isicom tty ja i2400m wimax puhastamine on lõpetatud, need on tuumast eemaldatud. Draiverite ja alam-süsteemide amdgpu, i915 csr, r8152 usb, mhi bus, x86 puuteekraan ja qualcomm arm64 blobide puhastamise kood on uuendatud.

Allikas: opennet.ru