{"id":99149,"date":"2021-02-16T16:22:46","date_gmt":"2021-02-16T14:22:46","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/reliz-yadra-linux-5-11"},"modified":"2021-02-16T16:22:46","modified_gmt":"2021-02-16T14:22:46","slug":"reliz-yadra-linux-5-11","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/news\/reliz-yadra-linux-5-11","title":{"rendered":"Rilascio del kernel Linux 5.11","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Dopo due mesi di sviluppo, Linus Torvalds ha presentato il rilascio del kernel Linux 5.11. Tra le modifiche pi\u00f9 significative: supporto per gli enclave Intel SGX, un nuovo meccanismo per l'intercettazione delle chiamate di sistema, il bus virtuale ausiliario, divieto di compilazione dei moduli senza MODULE_LICENSE(), modalit\u00e0 di filtraggio rapido delle chiamate di sistema in seccomp, cessazione del supporto per l'architettura ia64, trasferimento della tecnologia WiMAX nel ramo 'staging', possibilit\u00e0 di incapsulamento di SCTP in UDP. <\/p>\n
Nella nuova versione sono stati inclusi 15480 fix da 1991 sviluppatori, la dimensione della patch \u00e8 di 72 MB (le modifiche hanno interessato 12090 file, sono state aggiunte 868025 righe di codice, sono state eliminate 261456 righe). Circa il 46% di tutte le modifiche presentate in 5.11 riguardano i driver di dispositivi, circa il 16% \u00e8 legato all'aggiornamento del codice specifico per le architetture hardware, il 13% \u00e8 connesso allo stack di rete, il 3% ai file system e il 4% ai sottosistemi interni del kernel. <\/p>\n
Novit\u00e0 principali: <\/p>\n
\n
Sottosistema di disco, input\/output e file system<\/b>\n
\n
In Btrfs sono state aggiunte diverse opzioni di montaggio da utilizzare durante il recupero dati da un file system danneggiato: 'rescue=ignorebadroots' per montare nonostante i danni a alcuni alberi radice (extent, uuid, data reloc, device, csum, free space), 'rescue=ignoredatacsums' per disattivare il controllo delle sommarie per i dati e 'rescue=all' per attivare simultaneamente le modalit\u00e0 'ignorebadroots', 'ignoredatacsums' e 'nologreplay'. \u00c8 stata cessata la supporto per l'opzione di montaggio 'inode_cache', che era stata precedentemente dichiarata obsoleta. \u00c8 stata preparata la base di codice per implementare il supporto di blocchi di metadati e dati di dimensioni inferiori alla pagina (PAGE_SIZE), oltre al supporto per modalit\u00e0 di allocazione di spazio zonificato. Le richieste non bufferizzate (Direct IO) sono state trasferite all'infrastruttura iomap. \u00c8 stata ottimizzata la prestazione di alcune operazioni, in alcuni casi l'accelerazione pu\u00f2 raggiungere decine di percentuale.\n
In XFS \u00e8 stata implementata una flag 'needsrepair', che segnala la necessit\u00e0 di riparazione. Quando questa flag \u00e8 impostata, il file system non pu\u00f2 essere montato fino a quando la flag non viene resettata dallo strumento xfs_repair.\n
In Ext4 sono stati offerti solo correttivi di errori e ottimizzazioni, oltre a una pulizia del codice.\n
\u00c8 stato autorizzato il riesportazione di file system montati su NFS (cio\u00e8, la partizione montata tramite NFS pu\u00f2 ora essere riesportata tramite NFS e utilizzata come cache intermedia).\n
Nella chiamata di sistema close_range(), che consente a un processo di chiudere un'intera gamma di descrittori di file aperti, \u00e8 stata aggiunta l'opzione CLOSE_RANGE_CLOEXEC per chiudere i descrittori in modalit\u00e0 close-on-exec.\n
Nel file system F2FS sono state aggiunte nuove chiamate a ioctl(), che consentono di gestire dallo spazio utente quali file vengono memorizzati in forma compressa. \u00c8 stata aggiunta l'opzione di montaggio \"compress_mode=\" per selezionare la posizione del gestore di compressione sul lato del kernel o nello spazio utente.\n
\u00c8 stata fornita la possibilit\u00e0 di montare Overlayfs da processi non privilegiati, utilizzando uno spazio di identificatori utente separato (user namespace). Per verificare la conformit\u00e0 dell'implementazione del modello di sicurezza \u00e8 stata effettuata un'audit completa del codice. In Overlayfs \u00e8 stata anche aggiunta la possibilit\u00e0 di avviarlo utilizzando copie delle immagini del filesystem attraverso un'opzione che disabilita il controllo UUID.\n
Nel filesystem Ceph \u00e8 stata aggiunta la supporto al protocollo msgr2.1, che consente di applicare l'algoritmo AES-GCM durante la trasmissione dei dati in forma crittografata.\n
Nel modulo dm-multipath \u00e8 stata implementata la possibilit\u00e0 di considerare il legame con la CPU (\"IO affinity\") nella selezione del percorso per le richieste di input\/output. <\/ul>\n
Memoria e servizi di sistema<\/b>\n
\n
\u00c8 stato aggiunto un nuovo meccanismo di intercettazione delle chiamate di sistema, basato su prctl(), che consente di generare eccezioni dallo spazio utente quando si accede a determinate chiamate di sistema e di emulare la loro esecuzione. Questa funzionalit\u00e0 \u00e8 richiesta in Wine e Proton per emulare chiamate di sistema Windows, necessaria per garantire la compatibilit\u00e0 con giochi e programmi che eseguono direttamente chiamate di sistema bypassando l'API di Windows (ad esempio, per proteggersi da utilizzi non autorizzati).\n
Nella chiamata di sistema userfaultfd(), destinata a gestire i page fault (accesso a pagine di memoria non allocate) nello spazio utente, \u00e8 stata introdotta la possibilit\u00e0 di disabilitare la gestione delle eccezioni che si verificano a livello kernel, per complicare lo sfruttamento di alcune vulnerabilit\u00e0.\n
Nel sottosistema BPF \u00e8 stata aggiunta la supporto per lo storage dei dati locale per il task (task-local storage), che consente di legare i dati a uno specifico gestore BPF.\n
\u00c8 stato completamente riprogettato il monitoraggio dell'uso della memoria da parte dei programmi BPF: per gestire l'utilizzo della memoria negli oggetti BPF, \u00e8 stato proposto un controller cgroup al posto di memlock rlimit.\n
Nel meccanismo BTF (BPF Type Format), che fornisce informazioni per il controllo dei tipi nel pseudocodice BPF, \u00e8 stata implementata il supporto per i moduli del kernel.\n
Nel'interfaccia di I\/O asincrono io_uring \u00e8 stato aggiunto il supporto per le chiamate di sistema shutdown(), renameat2() e unlinkat(). \u00c8 stata introdotta la possibilit\u00e0 di specificare un timeout durante la chiamata a io_uring_enter() (\u00e8 possibile verificare il supporto per l'argomento relativo al timeout utilizando il flag IORING_FEAT_EXT_ARG).\n
L'architettura ia64, utilizzata nei processori Intel Itanium, \u00e8 stata trasferita alla categoria degli abbandonati (\"orphaned\"), il che implica la cessazione dei test. Hewlett Packard Enterprise ha interrotto l'accettazione degli ordini per nuove attrezzature Itanium, mentre Intel ha fatto lo stesso gi\u00e0 lo scorso anno.\n
\u00c8 stato interrotto il supporto per i sistemi basati sull'architettura MicroBlaze, privi del blocco di gestione della memoria (MMU). Questi sistemi non sono pi\u00f9 comuni.\n
Per l'architettura MIPS \u00e8 stato introdotto il supporto per il test della copertura del codice (coverage testing) utilizzando lo strumento gcov.\n
\u00c8 stato aggiunto il supporto per il bus ausiliario virtuale per l'interazione con dispositivi multifunzionali che combinano funzionalit\u00e0 che richiedono driver diversi (ad esempio, schede di rete che supportano Ethernet e RDMA). Il bus pu\u00f2 essere utilizzato per assegnare un driver primario e secondario a un dispositivo, nei casi in cui l'uso del sottosistema MFD (Multi-Function Devices) sia problematico.\n
Per l'architettura RISC-V \u00e8 stato aggiunto il supporto per il sistema di allocazione della memoria CMA (Contiguous Memory Allocator), ottimizzato per l'allocazione di grandi aree contigue di memoria utilizzando la tecnica del page relocation. Sono stati anche implementati strumenti per limitare l'accesso a \/dev\/mem e per tenere traccia del tempo di elaborazione delle interruzioni.\n
Per i sistemi ARM a 32 bit \u00e8 stato introdotto il supporto per lo strumento di debug KASan (Kernel Address Sanitizer), che rileva errori nella gestione della memoria. Per gli ARM a 64 bit, l'implementazione di KASan \u00e8 stata convertita per utilizzare i tag MTE (MemTag).\n
\u00c8 stata aggiunta la chiamata di sistema epoll_pwait2(), che consente di utilizzare timeout con una precisione al nanosecondo (la chiamata epoll_wait manipola i millisecondi).\n
Nel sistema di compilazione \u00e8 stata garantita l'emissione di un errore nel tentativo di compilare moduli caricati del kernel, nei quali, mediante il macro MODULE_LICENSE(), non \u00e8 stata definita la licenza sul codice. Ora, l'errore di compilazione verr\u00e0 anche generato dall'uso del macro EXPORT_SYMBOL() per le funzioni statiche.\n
\u00c8 stata aggiunta la supporto per il mapping degli oggetti GEM dalla memoria utilizzata per l'input\/output, permettendo di accelerare il funzionamento del framebuffer su alcune architetture.\n
Nel Kconfig \u00e8 stata interrotta la supporto per Qt4 (\u00e8 rimasta la supporto per Qt5, GTK e Ncurses). <\/ul>\n
Virtualizzazione e sicurezza<\/b>\n
\n
Nel system call seccomp() \u00e8 stata aggiunta la supporto per la modalit\u00e0 di risposta rapida, che consente di determinare molto rapidamente se una particolare system call \u00e8 consentita o vietata in base a una tabella di autorizzazioni (constant-action bitmap) allegata al processo, senza la necessit\u00e0 di avviare un gestore BPF.\n
Sono stati integrati componenti del kernel per la creazione e gestione di enclave basate sulla tecnologia Intel SGX (Software Guard eXtensions), che consente alle applicazioni di eseguire codice in aree di memoria isolate e crittografate, l'accesso alle quali \u00e8 limitato al resto del sistema.\n
Nell'ambito dell'iniziativa per limitare l'accesso dallo spazio utente ai registri MSR (model-specific register), \u00e8 stata vietata la scrittura nel registro MSR_IA32_ENERGY_PERF_BIAS, che consente di modificare la modalit\u00e0 di efficienza energetica del processore (\"normal\", \"performance\", \"powersave\").\n
Dalla branch kernel-rt per sistemi in tempo reale \u00e8 stata trasferita la possibilit\u00e0 di disabilitare la migrazione di compiti ad alta priorit\u00e0 tra CPU.\n
Per i sistemi ARM64 \u00e8 stata aggiunta la possibilit\u00e0 di applicare tag MTE (MemTag, Memory Tagging Extension) per gli indirizzi di memoria dei gestori dei segnali. L'uso di MTE \u00e8 attivato specificando l'opzione SA_EXPOSE_TAGBITS in sigaction() e consente di organizzare la verifica della correttezza dell'uso dei puntatori per prevenire l'esploit\u00e0zione di vulnerabilit\u00e0 causate da accessi a blocchi di memoria gi\u00e0 rilasciati, overflow di buffer, accessi prima dell'inizializzazione e uso al di fuori del contesto attuale.\n
\u00c8 stato aggiunto il parametro \"DM_VERITY_VERIFY_ROOTHASH_SIG_SECONDARY_KEYRING\", che consente al sottosistema dm-verity di verificare le firme hash dei certificati presenti nel keyring secondario. In pratica, questa impostazione consente di verificare non solo i certificati incorporati nel kernel, ma anche i certificati caricati durante il funzionamento, consentendo di aggiornare i certificati senza dover aggiornare l'intero kernel.\n
In User-mode Linux \u00e8 stata aggiunta la supporto per la modalit\u00e0 suspend-to-idle, che consente di congelare l'ambiente e utilizzare il segnale SIGUSR1 per uscire dalla modalit\u00e0 sospensione.\n
Nel meccanismo virtio-mem, che consente il collegamento e lo scollegamento a caldo della memoria alle macchine virtuali, \u00e8 stato aggiunto il supporto per la modalit\u00e0 grande blocco (BBM, Big Block Mode), che permette di trasferire o ritirare la memoria in blocchi superiori alla dimensione del blocco di memoria del kernel, necessario per ottimizzare VFIO in QEMU.\n
Nell'implementazione TLS a livello di kernel \u00e8 stato aggiunto il supporto per il cifrario CHACHA20-POLY1305. <\/ul>\n
Sottosistema di rete<\/b>\n
\n
Per 802.1Q (VLAN) \u00e8 stato implementato un meccanismo di gestione dei guasti di connessione (CFM, Connectivity Fault Management), che consente di rilevare, verificare e isolare i guasti nelle reti con ponti virtuali (Virtual Bridged Networks). Ad esempio, il CFM pu\u00f2 essere utilizzato per localizzare problemi in reti che coprono pi\u00f9 organizzazioni indipendenti, i cui dipendenti hanno accesso solo alla propria attrezzatura.\n
\u00c8 stato aggiunto il supporto per l'incapsulamento dei pacchetti del protocollo SCTP in pacchetti UDP (RFC 6951), consentendo l'uso di SCTP in reti con traduttori di indirizzi obsoleti che non supportano direttamente SCTP, nonch\u00e9 implementare SCTP su sistemi che non forniscono accesso diretto a livello IP.\n
L'implementazione della tecnologia WiMAX \u00e8 stata spostata in staging e in futuro \u00e8 prevista la sua rimozione se non si troveranno utenti che ne hanno bisogno. WiMAX non \u00e8 pi\u00f9 utilizzato nelle reti pubbliche e nell'unico driver nel kernel che pu\u00f2 utilizzare WiMAX rimane il driver obsoleto Intel 2400m. Nel configuratore di rete NetworkManager il supporto per WiMAX \u00e8 stato interrotto nel 2015. Attualmente, WiMax \u00e8 praticamente completamente sostituito da tecnologie come LTE, HSPA+ e Wi-Fi 802.11n.\n
\u00c8 stato effettuato un lavoro di ottimizzazione delle prestazioni del trattamento del traffico TCP in ingresso in modalit\u00e0 zerocopy, ovvero senza ulteriori copie in nuovi buffer. Per il traffico di dimensioni medie, che copre decine o centinaia di kilobyte di dati, l'uso di zerocopy invece di recvmsg() \u00e8 notevolmente pi\u00f9 efficiente. Ad esempio, le modifiche implementate hanno permesso di aumentare l'efficienza del trattamento del traffico in stile RPC con messaggi di 32 KB utilizzando zerocopy fino al 60-70%.\n
Aggiunti nuovi chiamate ioctl() per la creazione di ponti di rete che coprono pi\u00f9 canali PPP. La funzionalit\u00e0 proposta consente ai frame di spostarsi da un canale all'altro, ad esempio, da PPPoE a una sessione PPPoL2TP.\n