Kaks kuud kestnud arendust\u00f6\u00f6d on Linus Torvalds esitanud Linuxi tuuma versiooni 5.11. K\u00f5ige silmapaistvamad muutused h\u00f5lmavad Intel SGX enklaavide toetust, uut s\u00fcsteemi kutsungite sekkumise mehhanismi, abiv\u00f6\u00f6ndi virtuaalbussi, moodulite koostamise keeldu ilma MODULE_LICENSE(), kiire kutsungifilterimise re\u017eiimi seccomp'is, ia64 arhitektuuri toe l\u00f5petamist, WiMAX tehnoloogia \u00fcleviimist 'staging' harusse ja v\u00f5imalust SCTP enkapsuleerida UDP-sse. <\/p>\n
Uues versioonis on aktsepteeritud 15 480 parandust 1 991 arendajalt, pat\u0161i suurus on 72 MB (muudatused puudutasid 12 090 faili, lisatud 868 025 koodirida, eemaldatud 261 456 rida). Umbes 46% k\u00f5ikidest 5.11 esitatud muudatused on seotud seadmedraiverite, umbes 16% muudatused on seotud riistvaraarhitektuuridele spetsiifilise koodi v\u00e4rskendamisega, 13% on seotud v\u00f5rgu protokolliga, 3% -ga failis\u00fcsteemide ja 4% -ga tuuma sisemiste s\u00fcsteemidega. <\/p>\n
Peamised uuendused: <\/p>\n
\n
Diskis\u00fcsteem, sisend\/v\u00e4ljund ja failis\u00fcsteemid<\/b>\n
\n
Btrfs-i on lisatud mitmeid mountimisvalikuid andmete taastamiseks kahjustatud failis\u00fcsteemist: 'rescue=ignorebadroots' v\u00f5imaldab mountimist vaatamata alakoostage kahjustusele (extent, uuid, data reloc, device, csum, free space), 'rescue=ignoredatacsums' keelab andmete kontrollsumma kontrollimise ja 'rescue=all' aktiveerib korraga re\u017eiimid 'ignorebadroots', 'ignoredatacsums' ja 'nologreplay'. Mountimisvalik 'inode_cache', mis oli varem deklareeritud vananenuks, on eemaldatud toest. Koodi ettevalmistamine metainfo ja andmete plokkide toeks, mis on v\u00e4iksemad kui lehe suurus (PAGE_SIZE), ning tsoonitud ruumide eraldamise toetamiseks. Vahetult mittebufferiseeritud (Direct IO) p\u00e4ringud on \u00fcle viidud iomap infrastruktuuri. Tootlikkus on optimeeritud mitmes toimingus, m\u00f5nel juhul v\u00f5ib kiirus suureneda k\u00fcmnete protsentide v\u00f5rra.\n
XFS-is on kasutusele v\u00f5etud 'needsrepair' lipp, mis n\u00e4itab, et taastamine on vajalik. Kui see lipp on seadistatud, ei saa failis\u00fcsteemi montaa\u017eida, kuni lipp ei ole xfs_repair utiliidi poolt l\u00e4htestatud.\n
Ext4-s on pakutud ainult vigade parandusi ja optimeerimist, samuti on kood puhastatud.\n
Korduva ekspordi lubamine failis\u00fcsteemidele, mis on monteeritud NFS-i kaudu (st NFS-i kaudu monteeritud sektsioon on n\u00fc\u00fcd v\u00f5imalik ekspordida NFS l\u00e4bi ja kasutada vahepealse vahem\u00e4luna).\n
S\u00fcsteemi kutse close_range(), mis v\u00f5imaldab protsessil korraga sulgeda kogu vahemiku avatud failide deskriptoritest, on lisatud valik CLOSE_RANGE_CLOEXEC deskriptorite sulgemiseks close-on-exec re\u017eiimis.\n
F2FS-failides on lisatud uued ioctl() kutsed, mis v\u00f5imaldavad kasutajaruumi kaudu hallata, millised failid salvestatakse kompressitud kujul. Lisatud on monteerimisvalik \u201ecompress_mode=\u201d, et valida tihendamise halduri asukoht kas kernelis v\u00f5i kasutajaruumi.\n
Overlayfs'i montaa\u017e on saanud v\u00f5imalikuks privileegideta protsesside poolt, kasutades eraldi kasutaja identifikaatorite ruumi (user namespace). Rakendatud on t\u00e4ielik koodiaudit, et kontrollida turvamudeli vastavust. Overlayfs'is on lisatud ka v\u00f5imalus k\u00e4ivitada koopiaid failis\u00fcsteemi piltidest, lubades valikulise UUID kontrollimise v\u00e4ljal\u00fclitamist.\n
Failis\u00fcsteemi Ceph on lisatud protokolli msgr2.1 tugi, mis v\u00f5imaldab AES-GCM algoritmi kasutamist andmete edastamisel kr\u00fcpteeritud kujul.\n
Lisatud on uus s\u00fcsteemi kutsete katte mehhanism, mis p\u00f5hineb prctl() funktsioonil ja v\u00f5imaldab kasutaja ruumis genereerida erandeid teatud s\u00fcsteemi kutse kutsumise korral ja simuleerida selle t\u00e4itmist. Antud funktsionaalsus on n\u00f5utud Wine'i ja Proton'i jaoks Windowsi s\u00fcsteemi kutsete simuleerimiseks, mis on vajalik m\u00e4ngude ja rakenduste \u00fchilduvuse tagamiseks, mis t\u00e4idavad s\u00fcsteemi kutseid otse Windows API-d m\u00f6\u00f6da (n\u00e4iteks autoriseerimata kasutamise kaitsmiseks).\n
Kasutaja pettuse failist userfaultfd(), mis on ette n\u00e4htud lehek\u00fclje vigade (m\u00e4lu mittejaotatud lehek\u00fclgedele juurdep\u00e4\u00e4s) k\u00e4sitlemiseks kasutaja ruumis, on saanud v\u00f5imaluse keelata tuuma tasemel tekkivate erandite t\u00f6\u00f6tlemise, et raskendada teatud haavatavuste \u00e4rakasutamist.\n
BPF alams\u00fcsteemi on lisatud toetus \u00fclesande kohalike andmete salvestamise (task-local storage) jaoks, mis seob andmed konkreetse BPF t\u00f6\u00f6tlejaga.\n
BPF programmide m\u00e4lutarbimise arvestus on t\u00e4ielikult \u00fcmber tehtud - BPF objektide m\u00e4lu kasutamise haldamiseks on memlock rlimit'i asemel pakutud cgroup kontrollerit.\n
BTF (BPF T\u00fc\u00fcpformaat) mehhanism, mis annab teavet BPF pseudokoodi t\u00fc\u00fcpide kontrollimiseks, toetab n\u00fc\u00fcd s\u00fcdamikku moduleid.\n
As\u00fcnkroonse sisendi ja v\u00e4ljundi io_uring liidesesse on lisatud s\u00fcsteemik\u00f5nede shutdown(), renameat2() ja unlinkat() tugi. io_uring_enter() kutse puhul on lisatud v\u00f5imalus m\u00e4\u00e4rata ajutine ooteaeg (ajutise v\u00e4\u00e4rtuse toetuse kontrollimiseks v\u00f5ib kasutada lippu IORING_FEAT_EXT_ARG).\n
Intel Itaniumi protsessorites kasutatav ia64 arhitektuur on liigitatud mittehaldatud (orphaned) kategooriasse, mis t\u00e4hendab testimise l\u00f5petamist. Hewlett Packard Enterprise l\u00f5petas Itaniumi uue varustuse tellimise, samas kui Intel tegi seda juba eelmisel aastal.\n
MicroBlaze arhitektuuril p\u00f5hinevate s\u00fcsteemide tugi, millel puudub m\u00e4lu valitsemise moodul (MMU), on l\u00f5petatud. Sellised s\u00fcsteemid ei ole juba pikka aega levinud.\n
MIPS arhitektuuri jaoks on lisatud koodi katvuse testimise tugi gcov utiliidi abil.\n
Lisatud on t\u00e4iendava busside toe tugi, et suhelda mitmeotstarbeliste seadmetega, mis vajavad erinevaid draivereid (nt Etherneti ja RDMA toe omavad v\u00f5rgukaardid). Buss v\u00f5ib seadmest m\u00e4\u00e4rata esmase ja teise draiveri, kus MFD (Multi-Function Devices) alams\u00fcsteemi kasutamine on keeruline.\n
RISC-V arhitektuuri jaoks on lisatud CMA (Contiguous Memory Allocator) m\u00e4luhalduse s\u00fcsteemi tugi, mis on optimeeritud suurte pidevate m\u00e4lupiirkondade eraldamiseks m\u00e4lulehtede liikumise tehnikaga. RISC-V jaoks on samuti rakendatud juurdep\u00e4\u00e4sumeetmed \/dev\/mem ja katkestuste t\u00f6\u00f6tlemise aja j\u00e4lgimise jaoks.\n
32-bitiste ARM s\u00fcsteemide jaoks on lisatud KASan (Kernel address sanitizer) silumise t\u00f6\u00f6riista tugi, mis tagab m\u00e4luhalduse vigade leidmise. 64-bitise ARM rakenduse puhul on KASan rakendatud MTE (MemTag) siltide kasutamisele.\n
Lisatud on s\u00fcsteemik\u00f5ne epoll_pwait2(), mis v\u00f5imaldab kasutada nanoskeemide t\u00e4psusega ajutisi ooteseisundeid (epoll_wait kutse manipuleerib millisekunditega).\n
Ehitusprotsessis on tagatud vea v\u00e4ljund, kui proovida ehitada tuumamooduleid, mille puhul makro MODULE_LICENSE() ei ole m\u00e4\u00e4ranud koodi litsentsi. Viga ehituses kutsutakse n\u00fc\u00fcd esile ka makro EXPORT_SYMBOL() kasutamise puhul staatiliste funktsioonide jaoks.\n
Lisatud tugi GEM-objektide kaardistamiseks m\u00e4lu seest, mis on seotud sisendi\/v\u00e4ljundiga, v\u00f5imaldades kiiruselt parandada framebufferi t\u00f6\u00f6d m\u00f5nedes arhitektuurides.\n
Kconfigis on peatatud Qt4 tugi (Qt5, GTK ja Ncurses tugi on j\u00e4etud alles). <\/ul>\n
Virtualiseerimine ja turvalisus<\/b>\n
\n
S\u00fcsteemikutsesse seccomp() on lisatud kiire reageerimise re\u017eiimi tugi, mis v\u00f5imaldab v\u00e4ga kiiresti tuvastada, kas kindlat s\u00fcsteemikutsumist on lubatud v\u00f5i keelatud, tuginedes protsessile kinnitatud volituste tabelile (constant-action bitmap), mis ei n\u00f5ua BPF-k\u00e4itleja k\u00e4ivitamist.\n
Integreeritud tuuma komponendid Intel SGX (Software Guard eXtensions) p\u00f5hjal anklaide loomise ja haldamise jaoks, mis v\u00f5imaldavad rakendustel k\u00e4itada koodi isoleeritud kr\u00fcpteeritud m\u00e4lu piirkondades, millele \u00fclej\u00e4\u00e4nud s\u00fcsteemi ligip\u00e4\u00e4s on piiratud.\n
Kasutajaruumi juurdep\u00e4\u00e4su piiramise algatuses on MSR (model-specific register) registrisse kirjutamine MSR_IA32_ENERGY_PERF_BIAS keelatud, mis v\u00f5imaldab muuta protsessori energiat\u00f5hususe re\u017eiimi (normal, performance, powersave).\n
Reaalajas s\u00fcsteemide kernel-rt harust on kolitud v\u00f5imalus k\u00f5rge prioriteetsete \u00fclesannete r\u00e4ndluse keelamiseks CPU vahel.\n
ARM64 s\u00fcsteemidele on lisatud v\u00f5imalus rakendada MTE (MemTag, Memory Tagging Extension) silte signaalide m\u00e4lu aadressidele. MTE kasutuselev\u00f5tt toimub by SA_EXPOSE_TAGBITS valiku m\u00e4\u00e4ramisega sigaction() kaudu ja v\u00f5imaldab korraldada n\u00e4itajate korrektse kasutamise kontrollimist, et v\u00e4ltida haavatavust, mis tuleneb juba vabastatud m\u00e4lublokkide, puhver\u00fclekatete, enne algatamist toimuva juurdep\u00e4\u00e4sudega ja v\u00e4ljaspool praegust konteksti kasutamisega.\n
Lisa on \u201eDM_VERITY_VERIFY_ROOTHASH_SIG_SECONDARY_KEYRING\u201d, mis lubab dm-verity alams\u00fcsteemil kontrollida sertifikaatide hash-allkirju, mis on salvestatud teisese v\u00f5tmehoidla (keyring) kogus. Praktiliselt v\u00f5imaldab see seadistamine valideerida mitte ainult tuumas sisalduvaid, vaid ka t\u00f6\u00f6 ajal laaditud sertifikaate, mis v\u00f5imaldab sertifikaatide uuendamist ilma kogu tuuma uuendamiseta.\n
User-mode Linux'is on lisatud suspend-to-idle re\u017eiimi tugi, mis v\u00f5imaldab keskkonda k\u00fclmutada ja kasutada SIGUSR1 signaali \u00e4rkamiseks.\n
Virtio-mem mehhanismi, mis v\u00f5imaldab sooja \u00fchendamise ja eemalduse m\u00e4lu virtuaalsetes masinates, on lisatud suuri plokkide re\u017eiimi (BBM, Big Block Mode) tugi, v\u00f5imaldades edastada v\u00f5i v\u00f5tta m\u00e4lu plokkides, mis \u00fcletavad tuuma ploki suuruse, mis on vajalik VFIO optimeerimiseks QEMU-s.\n
Ytktas TLS'i rakendusse on lisatud CHACHA20-POLY1305 kr\u00fcptimise tugi. <\/ul>\n
V\u00f5rgus\u00fcsteem<\/b>\n
\n
802.1Q (VLAN) jaoks on rakendatud \u00fchenduse rikke haldamise mehhanism (CFM, Connectivity Fault Management), v\u00f5imaldades tuvastada, kinnitada ja isoleerida vigu virtuaalsetes sildades (Virtual Bridged Networks). N\u00e4iteks v\u00f5ib CFM-i kasutada probleemide lokaliseerimiseks v\u00f5rkudes, mis h\u00f5lmavad mitmeid s\u00f5ltumatuid organisatsioone, kelle t\u00f6\u00f6tajad p\u00e4\u00e4sevad juurde ainult oma seadmetele.\n
On lisatud SCTP protokolli pakettide kapseldamise tugi UDP-pakettides (RFC 6951), mis v\u00f5imaldab kasutada SCTP vanades aadressit\u00f5lketesse, mis ei toeta SCTP-d otse, ning rakendada SCTP-d s\u00fcsteemides, mis ei paku otsest juurdep\u00e4\u00e4su IP tasemele.\n
WiMAX tehnoloogia rakendus on viidud staging'usse ja tulevikus on plaanis see eemaldada, kui ei leita kasutajaid, kellele WiMAX vajalik on. WiMAXi ei kasutata enam avalikes v\u00f5rkudes ning ainus WiMAXiga \u00fchendatav draiver tuumas on vananenud Intel 2400m draiver. NetworkManageri v\u00f5rgu seadistajas peeti WiMAXi toetus 2015. aastal l\u00f5petatuks. Praegu on WiMAX peaaegu t\u00e4ielikult asendatud selliste tehnolooge nagu LTE, HSPA+ ja Wi-Fi 802.11n.\n
On tehtud t\u00f6\u00f6d sissetuleva TCP liikluse t\u00f6\u00f6tlemise optimeerimiseks zerocopy re\u017eiimis, st ilma t\u00e4iendava kopeerimiseta uutesse puhvrisse. Keskmise suurusega liikluse jaoks, mis h\u00f5lmab k\u00fcmneid v\u00f5i mitu sada kilobaiti andmeid, osutub zerocopy rakendamine recvmsg() asemel m\u00e4rgatavalt efektiivsemaks. N\u00e4iteks on ellu viidud muudatused v\u00f5imaldanud suurendada RPC stiilis liikluse t\u00f6\u00f6tlemise efektiivsust 32 KB s\u00f5numitega zerocopy rakendamisel 60-70%.\n
Lisatud on uued ioctl() kutsed, et luua v\u00f5rgu sildu, mis h\u00f5lmavad mitut PPP kanalit. Pakutav funktsionaalsus v\u00f5imaldab kaadritel liikuda \u00fchelt kanalilt teisele, n\u00e4iteks PPPoE-st PPPoL2TP sessioonile.\n