Azienda Oracle prima uscita stabile (UEK R6), una build avanzata del kernel Linux, progettata per l'uso nella distribuzione Oracle Linux come alternativa al pacchetto di default con kernel da Red Hat Enterprise Linux. Il kernel è disponibile solo per architetture x86_64 e ARM64 (aarch64). I sorgenti del kernel, inclusa la suddivisione in patch separate, sono disponibili nel repository Git pubblico di Oracle.
Il pacchetto Unbreakable Enterprise Kernel 6 si basa sul kernel (UEK R5 si basava sul kernel 4.14), che è stato arricchito con nuove funzionalità, ottimizzazioni e correzioni, ed è stato testato per la compatibilità con la maggior parte delle applicazioni che funzionano in RHEL, ed è stato specificamente ottimizzato per lavorare con software e hardware industriale Oracle. I pacchetti installabili e src del kernel UEK R6 sono stati preparati per Oracle Linux e . Il supporto per la branch 6.x è terminato, per applicare UEK R6 è necessario aggiornare il sistema a Oracle Linux 7 (non ci sono ostacoli nell'uso di questo kernel in versioni simili di RHEL, CentOS e Scientific Linux).
Le chiave Unbreakable Enterprise Kernel 6:
- Supporto esteso per sistemi basati su architettura ARM a 64 bit (aarch64).
- Supporto implementato per tutte le funzionalità di Cgroup v2.
- Implementato il framework ktask per la parallelizzazione di compiti nel kernel che consumano risorse CPU significative. Ad esempio, con ktask è possibile organizzare la parallelizzazione delle operazioni di pulizia delle aree di memoria o dell'elaborazione dell'elenco degli inode;
- Inclusa una versione parallelizzata di kswapd per gestire le operazioni di sostituzione delle pagine di memoria in modalità asincrona, consentendo di ridurre il numero di operazioni di sostituzione dirette (sincrone). Quando il numero di pagine di memoria libere diminuisce, kswapd esegue una scansione per identificare le pagine non utilizzate che possono essere liberate.
- Supporto per la verifica dell'integrità dell'immagine del kernel e dei firmware tramite firma digitale, al caricamento del kernel tramite il meccanismo Kexec (caricamento del kernel da un sistema già avviato).
- Ottimizzazione delle prestazioni del sistema di gestione della memoria virtuale, migliorata l'efficienza della pulizia delle pagine di memoria e della cache, migliorata la gestione delle richieste di pagine non allocate (page faults).
- Espanso il supporto per NVDIMM, la memoria persistente ora può essere utilizzata come tradizionale RAM.
- Effettuato il passaggio al sistema di debug dinamico DTrace 2.0, che per l'uso del sottosistema del kernel eBPF. DTrace ora funziona sopra eBPF, analogamente agli strumenti di tracciamento esistenti in Linux.
- Sono stati apportati miglioramenti al filesystem OCFS2 (Oracle Cluster File System).
- Migliorato il supporto per il file system Btrfs. Aggiunta la possibilità di utilizzare Btrfs sulle partizioni radice. Nell'installer è stata aggiunta un'opzione per scegliere Btrfs durante il formattazione dei dispositivi. È stata aggiunta la possibilità di posizionare file di swap su partizioni Btrfs. A Btrfs è stato aggiunto il supporto per la compressione utilizzando l'algoritmo ZStandard.
- Aggiunto il supporto per l'interfaccia di input/output asincrono — io_uring, che si distingue per il supporto del polling di input/output e la possibilità di lavorare sia con buffering che senza buffering. In termini di prestazioni, io_uring è molto vicino a SPDK e supera significativamente libaio quando il polling è attivato. Per utilizzare io_uring nelle applicazioni terminali che operano nello spazio utente, è stata preparata la libreria liburing, che fornisce un binding di alto livello sopra l'interfaccia del kernel;
- Aggiunto il supporto per la modalità per la crittografia rapida dei dispositivi.
- Aggiunto il supporto per la compressione utilizzando l'algoritmo (zstd).
- Nel file system ext4 sono state attivate etichette temporali a 64 bit nei campi del superblocco.
- In XFS sono stati inclusi strumenti per monitorare lo stato dell'integrità del file system durante il funzionamento e ottenere lo stato di esecuzione di fsck in tempo reale.
- Lo stack TCP è stato per impostazione predefinita convertito al modello “” anziché “As Fast As Possible” per l'invio dei pacchetti. Per UDP è stato attivato il supporto per GRO (Generic Receive Offload). Aggiunto il supporto per la ricezione e l'invio di pacchetti TCP in modalità zero-copy.
- È stata implementata l'implementazione del protocollo TLS a livello di kernel (KTLS), che ora può essere applicata non solo ai dati inviati ma anche a quelli ricevuti.
- Come backend per il firewall, per impostazione predefinita è stato attivato
nftables. È stato opzionalmente aggiunto il supporto per . - Aggiunto il supporto per il sottosistema XDP (eXpress Data Path), che consente di eseguire programmi BPF a livello del driver di rete in Linux con accesso diretto al buffer DMA dei pacchetti e nella fase prima dell'allocazione del buffer skbuff da parte dello stack di rete.
- Migliorato e attivato quando si utilizza UEFI Secure Boot modalità , che limita l'accesso dell'utente root al kernel e blocca i percorsi di bypass del UEFI Secure Boot. Ad esempio, in modalità lockdown, l'accesso a /dev/mem, /dev/kmem, /dev/port, /proc/kcore, debugfs, modalità di debug kprobes, mmiotrace, tracefs, BPF, PCMCIA CIS (Card Information Structure), alcune interfacce ACPI e registri MSR della CPU è vietato, vengono bloccate le chiamate kexec_file e kexec_load, viene vietato il passaggio in modalità sospensione, viene limitato l'uso del DMA per i dispositivi PCI, viene vietato l'import di codice ACPI da variabili EFI, non è consentita la manipolazione delle porte di input/output, comprese le modifiche al numero di interruzione e alla porta di input/output per la porta seriale.
- Aggiunto il supporto per le istruzioni avanzate IBRS (Enhanced Indirect Branch Restricted Speculation), che consentono di abilitare e disabilitare in modo adattivo l'esecuzione speculativa delle istruzioni durante l'elaborazione delle interruzioni, delle chiamate di sistema e dei passaggi di contesto. Con il supporto di Enhanced IBRS, questo metodo viene utilizzato per proteggere dagli attacchi della classe Spectre V2 invece di Retpoline, in quanto consente di ottenere prestazioni superiori.
- Migliorata la protezione nelle directory accessibili a tutti in scrittura. In tali directory è vietato creare file FIFO e file appartenenti a utenti diversi dal proprietario della directory con il flag sticky.
- Per impostazione predefinita, sui sistemi ARM è abilitata la randomizzazione dello spazio degli indirizzi del kernel nei sistemi (KASLR). Per Aarch64 è abilitata l'autenticazione dei puntatori.
- Aggiunto il supporto per "NVMe over Fabrics TCP".
- Aggiunto il driver virtio-pmem, che fornisce accesso a dispositivi di archiviazione mappati nello spazio degli indirizzi fisici, come NVDIMM.
Fonte: opennet.ru
