{"id":99149,"date":"2021-02-16T16:22:46","date_gmt":"2021-02-16T14:22:46","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/reliz-yadra-linux-5-11"},"modified":"2021-02-16T16:22:46","modified_gmt":"2021-02-16T14:22:46","slug":"reliz-yadra-linux-5-11","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/novosti-interneta\/reliz-yadra-linux-5-11","title":{"rendered":"Rilascio del kernel Linux 5.11","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Dopo due mesi di sviluppo, Linus Torvalds ha presentato il rilascio del kernel Linux 5.11. Tra le modifiche pi\u00f9 significative: supporto per gli enclave Intel SGX, un nuovo meccanismo per l'intercettazione delle chiamate di sistema, un bus virtuale ausiliario, divieto di compilazione di moduli senza MODULE_LICENSE(), modalit\u00e0 di filtraggio rapido delle chiamate di sistema in seccomp, interruzione del supporto per l'architettura ia64, trasferimento della tecnologia WiMAX nel ramo \u00abstaging\u00bb, e la possibilit\u00e0 di incapsulare SCTP in UDP. <\/p>\n
Nella nuova versione sono stati accettati 15480 correttivi da 1991 sviluppatori, la dimensione della patch \u00e8 di 72 MB (le modifiche hanno interessato 12090 file, aggiungendo 868025 righe di codice e rimuovendone 261456). Circa il 46% di tutte le modifiche presentate in 5.11 riguardano i driver di dispositivo, circa il 16% delle modifiche sono relative all'aggiornamento di codice specifico per architetture hardware, il 13% riguarda lo stack di rete, il 3% i file system e il 4% le sottosistemi interni del kernel. <\/p>\n
Novit\u00e0 principali: <\/p>\n
\n
Sottosistema disco, I\/O e file system<\/b>\n
\n
In Btrfs sono state aggiunte diverse opzioni di montaggio da utilizzare durante il ripristino dei dati da un file system danneggiato: \u00abrescue=ignorebadroots\u00bb per montare nonostante i danni a certi alberi radice (extent, uuid, relocazione dati, dispositivo, csum, spazio libero), \u00abrescue=ignoredatacsums\u00bb per disattivare il controllo delle somme di controllo per i dati e \u00abrescue=all\u00bb per attivare simultaneamente le modalit\u00e0 'ignorebadroots', 'ignoredatacsums' e 'nologreplay'. \u00c8 cessato il supporto per l'opzione di montaggio \u00abinode_cache\u00bb, precedentemente dichiarata obsoleta. \u00c8 stata condotta una preparazione del codice per implementare il supporto per blocchi di metadati e dati di dimensioni inferiori alla pagina (PAGE_SIZE), nonch\u00e9 per il supporto della modalit\u00e0 di allocazione zonata. Le richieste non bufferizzate (Direct IO) sono state migrate all'infrastruttura iomap. \u00c8 stata ottimizzata la performance di alcune operazioni, con un'accelerazione che in alcuni casi pu\u00f2 raggiungere percentuali significative.\n
In XFS \u00e8 stata implementata l'impostazione \u00abneedsrepair\u00bb, che segnala la necessit\u00e0 di ripristino. Quando questa impostazione \u00e8 attiva, il file system non pu\u00f2 essere montato fino a quando il flag non viene ripristinato tramite l'utilit\u00e0 xfs_repair.\n
In Ext4 sono state apportate solo correzioni di bug e ottimizzazioni, oltre a una pulizia del codice.\n
Consente l'esportazione ripetuta dei file system montati sopra NFS (ovvero le partizioni montate tramite NFS possono ora essere esportate tramite NFS e utilizzate come cache intermedia).\n
Nella chiamata di sistema close_range(), che consente a un processo di chiudere un intero intervallo di descrittori di file aperti, \u00e8 stata aggiunta l'opzione CLOSE_RANGE_CLOEXEC per chiudere i descrittori in modalit\u00e0 close-on-exec.\n
Nel file system F2FS sono stati aggiunti nuovi richiami ioctl() che consentono agli utenti di gestire quali file vengono archiviati in formato compresso. \u00c8 stata aggiunta un'opzione di montaggio \"compress_mode=\" per scegliere se il gestore del controllo della compressione risiede nel kernel o nello spazio utente.\n
\u00c8 stata introdotta la possibilit\u00e0 di montare Overlayfs da processi non privilegiati, utilizzando uno spazio separato di identificatori utente (user namespace). \u00c8 stata condotta un'audit completa del codice per verificare la conformit\u00e0 all'implementazione del modello di sicurezza. In Overlayfs \u00e8 stata inoltre aggiunta la possibilit\u00e0 di avviarlo utilizzando copie delle immagini del file system, con l'opzione di disabilitare il controllo UUID.\n
Nel file system Ceph \u00e8 stata aggiunta la supporto per il protocollo msgr2.1, che consente di utilizzare l'algoritmo AES-GCM per la trasmissione di dati in forma crittografata.\n
Nel modulo dm-multipath \u00e8 stata implementata la possibilit\u00e0 di considerare il legame con la CPU (\"IO affinity\") durante la scelta del percorso per le richieste di input\/output. <\/ul>\n
Memoria e servizi di sistema<\/b>\n
\n
\u00c8 stato aggiunto un nuovo meccanismo di intercettazione delle chiamate di sistema basato su prctl(), che consente di generare eccezioni dallo spazio utente quando si accede a una specifica chiamata di sistema e di emularne l'esecuzione. Questa funzionalit\u00e0 \u00e8 molto richiesta in Wine e Proton per emulare le chiamate di sistema di Windows, necessaria per garantire la compatibilit\u00e0 con giochi e programmi che eseguono direttamente chiamate di sistema bypassando l'API di Windows (ad esempio, per proteggere da utilizzi non autorizzati).\n
Nella chiamata di sistema userfaultfd(), progettata per gestire i page faults (accesso a pagine di memoria non allocate) nello spazio utente, \u00e8 stata aggiunta la possibilit\u00e0 di disabilitare la gestione delle eccezioni a livello di kernel, per complicare l'exploitation di alcune vulnerabilit\u00e0.\n
Nella sottosistema BPF \u00e8 stata aggiunta la supporto per lo storage locale per il task (task-local storage), che fornisce il collegamento dei dati a un specifico handler BPF.\n
Il monitoraggio del consumo di memoria dai programmi BPF \u00e8 stato completamente rinnovato: per gestire l'uso della memoria negli oggetti BPF \u00e8 stato proposto un controller cgroup al posto del memlock rlimit.\n
Nel meccanismo BTF (BPF Type Format), che fornisce informazioni per la verifica dei tipi nel pseudocodice BPF, \u00e8 stata implementata la supporto per i moduli del kernel.\n
Nell'interfaccia di input\/output asincrono io_uring \u00e8 stata aggiunta la supporto per le chiamate di sistema shutdown(), renameat2() e unlinkat(). Durante la chiamata a io_uring_enter() \u00e8 stata introdotta la possibilit\u00e0 di specificare un timeout (\u00e8 possibile verificare il supporto per l'argomento di timeout con il flag IORING_FEAT_EXT_ARG).\n
L'architettura ia64, utilizzata nei processori Intel Itanium, \u00e8 stata classificata come non pi\u00f9 supportata (\"orphaned\"), il che implica la cessazione dei test. Hewlett Packard Enterprise ha interrotto gli ordini per nuove attrezzature Itanium, mentre Intel lo ha fatto gi\u00e0 lo scorso anno.\n
\u00c8 stata interrotta la supporto per i sistemi basati sull'architettura MicroBlaze privi di un'unit\u00e0 di gestione della memoria (MMU). Sistemi di questo tipo non sono pi\u00f9 comuni.\n
Per l'architettura MIPS \u00e8 stata aggiunta la supporto per il test di copertura del codice (coverage testing) mediante l'utilizzo dell'utility gcov.\n
\u00c8 stata aggiunta la supporto per il bus ausiliario virtuale per interagire con dispositivi multifunzionali che combinano funzionalit\u00e0 che richiedono driver diversi (ad esempio, schede di rete con supporto Ethernet e RDMA). Il bus pu\u00f2 essere utilizzato per assegnare un driver principale e secondario a un dispositivo, in situazioni in cui l'uso del sottosistema MFD (Multi-Function Devices) \u00e8 problematico.\n
Per l'architettura RISC-V \u00e8 stata aggiunta la supporto per il sistema di allocazione della memoria CMA (Contiguous Memory Allocator), ottimizzato per l'allocazione di grandi aree di memoria contigue utilizzando la tecnica di spostamento delle pagine di memoria. Per RISC-V sono stati implementati anche strumenti per limitare l'accesso a \/dev\/mem e per la contabilit\u00e0 del tempo di gestione delle interruzioni.\n
Per i sistemi ARM a 32 bit \u00e8 stata aggiunta la supporto per lo strumento di debug KASan (Kernel address sanitizer), che consente di rilevare errori nella gestione della memoria. Per ARM a 64 bit, l'implementazione di KASan \u00e8 stata adattata all'uso dei tag MTE (MemTag).\n
\u00c8 stata aggiunta la chiamata di sistema epoll_pwait2(), che consente di utilizzare timeout con precisione al nanosecondo (la chiamata epoll_wait gestisce i millisecondi).\n
Nel sistema di assemblaggio \u00e8 stata implementata l'uscita di errore quando si tenta di assemblare i moduli del kernel caricati, nei quali non \u00e8 definita la licenza del codice attraverso il macro MODULE_LICENSE(). Anche l'uso del macro EXPORT_SYMBOL() per le funzioni statiche generer\u00e0 un errore durante l'assemblaggio.\n
Aggiunta la supporto per il mapping degli oggetti GEM dalla memoria utilizzata per input\/output, che ha permesso di velocizzare le operazioni con il framebuffer su alcune architetture.\n
Nel Kconfig \u00e8 stata interrotta la supporto per Qt4 (mantenuta la supporto per Qt5, GTK e Ncurses). <\/ul>\n
Virtualizzazione e sicurezza<\/b>\n
\n
Nel sistema di chiamate seccomp() \u00e8 stata aggiunta la supporto per la modalit\u00e0 di risposta rapida, che consente di determinare molto rapidamente se una specifica chiamata di sistema \u00e8 consentita o vietata, basandosi sulla tabella dei diritti associata al processo (constant-action bitmap), senza necessit\u00e0 di avviare un gestore BPF.\n
Integrati componenti del kernel per la creazione e gestione di enclavi basate sulla tecnologia Intel SGX (Software Guard eXtensions), che consente alle applicazioni di eseguire codice in aree di memoria isolate e crittografate, limitando l'accesso del resto del sistema.\n
Nell'ambito dell'iniziativa di limitazione dell'accesso dallo spazio utente ai registri MSR (model-specific register), \u00e8 stata vietata la scrittura nel registro MSR_IA32_ENERGY_PERF_BIAS, che consente di modificare la modalit\u00e0 di efficienza energetica del processore (\"normal\", \"performance\", \"powersave\").\n
Dalla branch kernel-rt per i sistemi in tempo reale \u00e8 stata trasferita la possibilit\u00e0 di disattivare la migrazione di attivit\u00e0 ad alta priorit\u00e0 tra le CPU.\n
Per i sistemi ARM64 \u00e8 stata aggiunta la possibilit\u00e0 di utilizzare i tag MTE (MemTag, Memory Tagging Extension) per gli indirizzi di memoria dei gestori di segnali. L'uso di MTE \u00e8 attivato specificando l'opzione SA_EXPOSE_TAGBITS in sigaction() e consente di organizzare il controllo della correttezza dell'uso dei puntatori per bloccare l'esecuzione di vulnerabilit\u00e0 causate dall'accesso a blocchi di memoria gi\u00e0 liberati, da buffer overflow, accessi prima dell'inizializzazione e utilizzo al di fuori del contesto attuale.\n
\u00c8 stato aggiunto il parametro \u00abDM_VERITY_VERIFY_ROOTHASH_SIG_SECONDARY_KEYRING\u00bb, che consente al sottosistema dm-verity di verificare le firme hash dei certificati memorizzati nel keyring secondario. In pratica, questa impostazione consente di verificare non solo i certificati incorporati nel kernel, ma anche quelli caricati durante il runtime, permettendo cos\u00ec di aggiornare i certificati senza aggiornare l'intero kernel.\n
Nel User-mode Linux \u00e8 stata aggiunta la supporto per la modalit\u00e0 suspend-to-idle, che consente di sospendere l'ambiente e utilizzare il segnale SIGUSR1 per uscire dallo stato di sospensione.\n
Nel meccanismo virtio-mem, che consente il collegamento e lo scollegamento della memoria a caldo alle macchine virtuali, \u00e8 stato aggiunto il supporto per la modalit\u00e0 a grande blocco (BBM, Big Block Mode), che permette di trasferire o ritirare memoria in blocchi di dimensioni superiori a quelle del blocco di memoria del kernel, necessario per ottimizzare il VFIO in QEMU.\n
Nell'implementazione del TLS a livello di kernel \u00e8 stato aggiunto il supporto per il cifrario CHACHA20-POLY1305. <\/ul>\n
Sottosistema di rete<\/b>\n
\n
Per 802.1Q (VLAN) \u00e8 stato implementato un meccanismo di gestione dei guasti di connessione (CFM, Connectivity Fault Management) che consente di rilevare, verificare e isolare i guasti nelle reti con ponti virtuali (Virtual Bridged Networks). Ad esempio, il CFM pu\u00f2 essere utilizzato per localizzare problemi in reti che coinvolgono pi\u00f9 organizzazioni indipendenti, i cui dipendenti hanno accesso solo alle proprie attrezzature.\n
\u00c8 stata aggiunta la supporto per l'incapsulamento dei pacchetti del protocollo SCTP in pacchetti UDP (RFC 6951), consentendo cos\u00ec l'uso di SCTP in reti con traduttori di indirizzi obsoleti che non supportano direttamente SCTP, e implementando SCTP su sistemi che non forniscono accesso diretto al livello IP.\n
L'implementazione della tecnologia WiMAX \u00e8 stata spostata nella fase di staging e in futuro \u00e8 prevista per la rimozione, se non verranno trovati utenti che ne hanno bisogno. WiMAX non \u00e8 pi\u00f9 utilizzato nelle reti pubbliche e nel core l'unico driver con cui \u00e8 possibile utilizzare WiMAX rimane il datore di lavoro obsoleto Intel 2400m. Nella configurazione di rete NetworkManager il supporto per WiMAX \u00e8 stato interrotto nel 2015. Attualmente WiMAX \u00e8 praticamente completamente sostituito da tecnologie come LTE, HSPA+ e Wi-Fi 802.11n.\n
\u00c8 stato effettuato un lavoro di ottimizzazione delle prestazioni nel trattamento del traffico TCP in ingresso in modalit\u00e0 zerocopy, cio\u00e8 senza ulteriori copie in nuovi buffer. Per traffico di dimensioni medie, che va da decine a qualche centinaio di kilobyte di dati, l'applicazione di zerocopy invece di recvmsg() \u00e8 notevolmente pi\u00f9 efficace. Ad esempio, le modifiche implementate hanno permesso di aumentare l'efficienza nel trattamento del traffico in stile RPC con messaggi di 32 KB utilizzando zerocopy del 60-70%.\n
Sono state aggiunte nuove chiamate ioctl() per la creazione di bridge di rete che coprono pi\u00f9 canali PPP. La funzionalit\u00e0 proposta consente ai frame di muoversi da un canale all'altro, ad esempio da PPPoE a una sessione PPPoL2TP.\n
\u00c8 proseguita l'integrazione nel kernel di MPTCP (MultiPath TCP), un'estensione del protocollo TCP per organizzare il funzionamento della connessione TCP con la consegna dei pacchetti contemporaneamente su pi\u00f9 percorsi attraverso diverse interfacce di rete, legate a differenti indirizzi IP. Nella nuova versione \u00e8 stato implementato il supporto per l'opzione ADD_ADDR per l'annuncio degli indirizzi disponibili IP addresses<\/a> a cui \u00e8 possibile connettersi quando si aggiungono nuovi flussi a una connessione MPTCP esistente.\n