מהדורת ליבת לינוקס 6.2

לאחר חודשיים של פיתוח, Linus Torvalds הציג את המהדורה של ליבת לינוקס 6.2. בין השינויים הבולטים: מותרת קבלת קוד ברישיון Copyleft-Next, הטמעת RAID5/6 ב-Btrfs משופרת, שילוב התמיכה בשפת Rust נמשכת, תקורה של הגנה מפני התקפות Rebleed מצטמצמת, נוספה יכולת לווסת צריכת זיכרון במהלך כתיבה חוזרת, נוסף מנגנון לאיזון TCP PLB (Protective Load Balancing), נוסף מנגנון הגנת זרימת פקודה היברידי (FineIBT), ל-BPF יש כעת את היכולת להגדיר אובייקטים ומבני נתונים משלו , הכלי rv (Runtime Verification) כלול, צריכת החשמל ביישום מנעולי RCU הופחתה.

הגרסה החדשה כוללת 16843 תיקונים מ-2178 מפתחים, גודל התיקון הוא 62 מגה-בייט (השינויים השפיעו על 14108 קבצים, נוספו 730195 שורות קוד, 409485 שורות נמחקו). כ-42% מכל השינויים שהוצגו ב-6.2 קשורים למנהלי התקנים, כ-16% מהשינויים קשורים לעדכון קוד ספציפי לארכיטקטורות חומרה, 12% קשורים לערימת הרשת, 4% קשורים למערכות קבצים ו-3% קשורים לתתי מערכות ליבה פנימיות.

חידושים מרכזיים בקרנל 6.2:

• שירותי זיכרון ומערכת
  • מותר לכלול לתוך קוד הליבה ושינויים הניתנים במסגרת רישיון Copyleft-Next 0.3.1. הרישיון Copyleft-Next נוצר על ידי אחד ממחברי GPLv3 והוא תואם באופן מלא לרישיון GPLv2, כפי שאושר על ידי עורכי דין מ-SUSE ו-Red Hat. בהשוואה ל-GPLv2, רישיון Copyleft-Next הוא הרבה יותר קומפקטי וקל יותר להבנה (הוסרו חלק המבוא והאזכור של פשרות מיושנות), מגדיר את מסגרת הזמן והנוהל לביטול הפרות, ומסיר אוטומטית דרישות copyleft עבור תוכנות מיושנות. הוא בן יותר מ-15 שנים.

    Copyleft-Next מכיל גם סעיף הענקת טכנולוגיה קניינית, שבניגוד ל-GPLv2, הופך את הרישיון הזה לתואם לרישיון Apache 2.0. כדי להבטיח תאימות מלאה ל-GPLv2, Copyleft-Next מציין במפורש שניתן לספק עבודה נגזרת תחת רישיון GPL בנוסף לרישיון Copyleft-Next המקורי.

  • המבנה כולל את כלי השירות "rv", המספק ממשק לאינטראקציה ממרחב המשתמש עם מטפלים של תת-מערכת RV (Runtime Verification), שנועד לבדוק את הפעולה הנכונה במערכות אמינות במיוחד המבטיחות היעדר כשלים. האימות מתבצע בזמן ריצה על ידי הצמדת מטפלים לנקודות מעקב שבודקות את התקדמות הביצוע בפועל מול מודל דטרמיניסטי ייחוס קבוע מראש של המכונה המגדיר את ההתנהגות הצפויה של המערכת.
  • התקן zRAM, המאפשר לאחסן את מחיצת ההחלפה בזיכרון בצורה דחוסה (נוצר בזיכרון התקן בלוק שאליו מתבצעת ההחלפה בדחיסה), מיישם את היכולת לארוז דפים מחדש באמצעות אלגוריתם חלופי כדי להגיע לרמה גבוהה יותר של דחיסה. הרעיון המרכזי הוא לספק בחירה בין מספר אלגוריתמים (lzo, lzo-rle, lz4, lz4hc, zstd), המציעים פשרות משלהם בין מהירות דחיסה/פירוק ורמת דחיסה, או אופטימלי במצבים מיוחדים (לדוגמה, לדחיסת גדולות דפי זיכרון).
  • נוסף ה-API "iommufd" לניהול מערכת ניהול זיכרון I/O - IOMMU (יחידת ניהול זיכרון I/O) ממרחב המשתמש. ה-API החדש מאפשר לנהל טבלאות דפי זיכרון I/O באמצעות מתארי קבצים.
  • BPF מספק את היכולת ליצור סוגים, להגדיר אובייקטים משלך, לבנות היררכיה משלך של אובייקטים וליצור באופן גמיש מבני נתונים משלך, כגון רשימות מקושרות. עבור תוכניות BPF עוברות למצב שינה (BPF_F_SLEEPABLE), נוספה תמיכה במנעולי bpf_rcu_read_{,un}lock() . תמיכה מיושמת לשמירת אובייקטי task_struct. סוג מפה נוסף BPF_MAP_TYPE_CGRP_STORAGE, מספק אחסון מקומי לקבוצות cgroups.
  • עבור מנגנון החסימה של RCU (Read-Copy-Update), מיושם מנגנון אופציונלי של שיחות התקשרות חוזרות "עצלות", שבו מספר שיחות התקשרות חוזרות מעובדות בבת אחת באמצעות טיימר במצב אצווה. יישום האופטימיזציה המוצעת מאפשר לנו להפחית את צריכת החשמל במכשירי אנדרואיד ו-ChromeOS ב-5-10% על ידי דחיית בקשות RCU בזמן סרק או עומס נמוך על המערכת.
  • נוסף sysctl split_lock_mitigate כדי לשלוט כיצד המערכת מגיבה כאשר היא מזהה נעילות מפוצלות המתרחשות בעת גישה לנתונים לא מיושרים בזיכרון עקב הנתונים שחוצים שני קווי מטמון של CPU בעת ביצוע הוראה אטומית. חסימות כאלה מובילות לירידה משמעותית בביצועים. הגדרת split_lock_mitigate ל-0 רק מוציאה אזהרה שיש בעיה, בעוד שהגדרת split_lock_mitigate ל-1 גורמת גם לתהליך שגרם להאטה של ​​הנעילה כדי לשמר את הביצועים לשאר המערכת.
  • יישום חדש של qspinlock הוצע עבור ארכיטקטורת PowerPC, אשר מפגין ביצועים גבוהים יותר ופותר כמה בעיות נעילה המתעוררות במקרים חריגים.
  • קוד הטיפול בפסיקות MSI (הפסקות עם סימנים של הודעות) עובד מחדש, מבטל בעיות ארכיטקטוניות שהצטברו והוסיף תמיכה לקשירת מטפלים בודדים להתקנים שונים.
  • עבור מערכות המבוססות על ארכיטקטורת ערכת ההוראות של LoongArch המשמשת במעבדי Loongson 3 5000 ומיישמות את ה-RISC ISA החדש, בדומה ל-MIPS ו-RISC-V, מיושמת תמיכה ב-ftrace, הגנת מחסנית, מצבי שינה והמתנה.
  • ניתנה היכולת להקצות שמות לאזורים של זיכרון אנונימי משותף (בעבר ניתן היה להקצות שמות רק לזיכרון אנונימי פרטי שהוקצה לתהליך ספציפי).
  • הוסף פרמטר חדש של שורת פקודה ליבה "trace_trigger", שנועד להפעיל טריגר מעקב המשמש לקשירת פקודות מותנות הנקראות כאשר בדיקת בקרה מופעלת (לדוגמה, trace_trigger=”sched_switch.stacktrace if prev_state == 2″).
  • הדרישות לגרסה של חבילת binutils הוגדלו. בניית הליבה דורשת כעת לפחות binutils 2.25.
  • בעת קריאה ל- exec(), נוספה היכולת למקם תהליך במרחב שמות זמן, שבו השעה שונה מזמן המערכת.
  • התחלנו להעביר פונקציונליות נוספת מסניף Rust-for-Linux הקשורה לשימוש בשפת Rust כשפה שנייה לפיתוח מנהלי התקנים ומודולי ליבה. תמיכת Rust מושבתת כברירת מחדל ואינה גורמת לכך ש- Rust נכלל כתלות נדרשת לבניית ליבה. הפונקציונליות הבסיסית המוצעת במהדורה האחרונה מורחבת כדי לתמוך בקוד ברמה נמוכה, כגון סוג Vec ופקודות המאקרו pr_debug!(), pr_cont!() ו-pr_alert!(), כמו גם המאקרו הפרוצדורלי "#[vtable ]”, מה שמפשט את העבודה עם טבלאות מצביעים על פונקציות. תוספת של כריכות Rust ברמה גבוהה על פני תת-מערכות ליבה, שיאפשרו יצירת דרייברים מן המניין ב-Rust, צפויה במהדורות עתידיות.
  • סוג ה"char" המשמש בליבה מוכרז כעת כבלתי חתום כברירת מחדל עבור כל הארכיטקטורות.
  • Объявлен устаревшим механизм распределения памяти slab — SLOB (slab allocator), который был спроектирован для система с небольшим объёмом памяти. Вместо SLOB в обычных условиях рекомендуется использовать SLUB или SLAB. Для систем с небольшим объёмом памяти рекомендуется применять SLUB в режиме SLUB_TINY.
• תת-מערכת דיסק, קלט/פלט ומערכות קבצים
  • בוצעו שיפורים ב-Btrfs שמטרתם לתקן את בעיית "חור הכתיבה" ביישומי RAID 5/6 (ניסיון לשחזר RAID אם מתרחשת קריסה במהלך הכתיבה ואי אפשר להבין איזה בלוק על איזה מכשיר RAID נכתב בצורה נכונה, מה שעלול להוביל להרס בלוקים, בהתאמה לחסימות חתומות). בנוסף, כונני SSD מאפשרים כעת אוטומטית פעולת השלכה אסינכרונית כברירת מחדל כאשר אפשר, מה שמאפשר ביצועים משופרים עקב קיבוץ יעיל של פעולות השלכה לתורים ועיבוד התור על ידי מעבד רקע. ביצועים משופרים של פעולות השליחה והחיפוש, כמו גם FIEMAP ioctl.
  • הורחבו היכולות לניהול כתיבה נדחית (כתיבה חוזרת, שמירת רקע של נתונים שהשתנו) עבור התקני בלוק. במצבים מסוימים, כגון בעת ​​שימוש בהתקני חסימת רשת או כונני USB, כתיבה עצלה עלולה לגרום לצריכת RAM גדולה. על מנת לשלוט בהתנהגות הכתיבה העצלה ולשמור על גודל מטמון העמוד בגבולות מסוימים, הוצגו ב-sysfs (/sys/class/bdi/) פרמטרים חדשים strict_limit, min_bytes, max_bytes, min_ratio_fine ו-max_ratio_fine.
  • מערכת הקבצים F2FS מיישמת פעולת atomic replace ioctl, המאפשרת לך לכתוב נתונים לקובץ בתוך פעולה אטומית אחת. F2FS מוסיף גם מטמון בהיקף חסימה כדי לסייע בזיהוי נתונים בשימוש פעיל או נתונים שלא ניגשו אליהם במשך זמן רב.
  • ב-ext4 FS מצוינים רק תיקוני שגיאה.
  • מערכת הקבצים ntfs3 מציעה מספר אפשרויות הרכבה חדשות: "nocase" לשליטה ברגישות רישיות בשמות הקבצים והספריות; windows_name כדי לאסור יצירת שמות קבצים המכילים תווים שאינם תקפים עבור Windows; hide_dot_files כדי לשלוט בהקצאת תווית הקובץ המוסתרת עבור קבצים המתחילים בנקודה.
  • מערכת הקבצים Squashfs מיישמת אפשרות הרכבה "threads=", המאפשרת לך להגדיר את מספר השרשורים כדי להקביל לפעולות ביטול דחיסה. Squashfs גם הציגה את היכולת למפות מזהי משתמש של מערכות קבצים רכובות, המשמשות להתאים את הקבצים של משתמש ספציפי על מחיצה זרה מותקנת עם משתמש אחר במערכת הנוכחית.
  • היישום של רשימות בקרת גישה של POSIX (POSIX ACLs) עובד מחדש. היישום החדש מבטל בעיות ארכיטקטוניות, מפשט את תחזוקת בסיס הקוד ומציג סוגי נתונים מאובטחים יותר.
  • תת-המערכת fscrypt, המשמשת להצפנה שקופה של קבצים וספריות, הוסיפה תמיכה באלגוריתם ההצפנה SM4 (תקן סיני GB/T 32907-2016).
  • ניתנה היכולת לבנות את הליבה ללא תמיכת NFSv2 (בעתיד הם מתכננים להפסיק לחלוטין את התמיכה ב-NFSv2).
  • הארגון של בדיקת זכויות הגישה למכשירי NVMe השתנה. מספק את היכולת לקרוא ולכתוב למכשיר NVMe אם לתהליך הכתיבה יש גישה לקובץ הייעודי של המכשיר (לפני כן התהליך היה צריך להיות בעל הרשאת CAP_SYS_ADMIN).
  • הוסר את מנהל ההתקן של חבילת התקליטורים/DVD, שהוצא משימוש ב-2016.
• וירטואליזציה ואבטחה
  • שיטה חדשה להגנה מפני פגיעות ה-Retbleed הוטמעה במעבדי אינטל ו-AMD, תוך שימוש במעקב אחר עומק שיחה, שאינו מאט את העבודה כמו ההגנה שהייתה בעבר נגד Rebleed. כדי להפעיל את המצב החדש, פרמטר שורת הפקודה של הליבה "retbleed=stuff" הוצע.
  • נוסף מנגנון הגנת זרימת הוראות FineIBT היברידי, המשלב שימוש בחומרה של Intel IBT (מעקב ענף עקיף) והגנה על תוכנה kCFI (Kernel Control Flow Integrity) כדי לחסום הפרה של הוראת הביצוע הרגילה (זרימת בקרה) כתוצאה מהשימוש של ניצולים שמשנים מצביעים המאוחסנים בזיכרון על פונקציות. FineIBT מאפשר ביצוע בקפיצה עקיפה רק במקרה של קפיצה להוראת ENDBR, שממוקמת ממש בתחילת הפונקציה. בנוסף, באנלוגיה למנגנון kCFI, נבדקים גיבובים כדי להבטיח את חוסר השינוי של המצביעים.
  • נוספו הגבלות לחסימת התקפות שמתמרנות את יצירת מצבי "אופס", שלאחריהן מסתיימות משימות בעייתיות והמצב משוחזר מבלי לעצור את המערכת. עם מספר גדול מאוד של קריאות למצב "אופס", מתרחשת הצפת מונה הפניות (refcount), המאפשרת ניצול של נקודות תורפה הנגרמות על ידי הפניות מצביע NULL. כדי להגן מפני התקפות כאלה, נוספה לליבה מגבלה למספר המרבי של טריגרים "אופס", שלאחר חריגה יתחיל הקרנל מעבר למצב "פאניקה" ואחריו אתחול מחדש, שלא יאפשר השגת מספר האיטרציות הנדרשות כדי להציף את הספירה החוזרת. כברירת מחדל, המגבלה מוגדרת ל-10 אלף "אופס", אך אם תרצה, ניתן לשנות אותה דרך הפרמטר oops_limit.
  • נוסף פרמטר תצורה LEGACY_TIOCSTI ו-sysctl legacy_tiocsti כדי להשבית את היכולת להכניס נתונים למסוף באמצעות ioctl TIOCSTI, מכיוון שניתן להשתמש בפונקציונליות זו כדי להחליף תווים שרירותיים במאגר הקלט של הטרמינל ולדמות קלט משתמש.
  • מוצע סוג חדש של מבנה פנימי, encoded_page, שבו הסיביות התחתונות של המצביע משמשות לאחסון מידע נוסף המשמש להגנה מפני הרחקה מקרית של המצביע (אם יש צורך בהפניה בשוגג, יש לנקות תחילה את הסיביות הנוספות הללו). .
  • בפלטפורמת ARM64, בשלב האתחול, ניתן להפעיל או לבטל את הטמעת התוכנה של מנגנון Shadow Stack, המשמש להגנה מפני החלפת כתובת ההחזרה מפונקציה במקרה של גלישת מאגר על הערימה ( מהות ההגנה היא שמירת כתובת ההחזרה בערימת "צל" נפרדת לאחר העברת השליטה לפונקציה ואחזור הכתובת הנתונה לפני יציאה מהפונקציה). תמיכה בהטמעות חומרה ותוכנה של Shadow Stack במכלול ליבה אחד מאפשרת לך להשתמש בליבה אחת במערכות ARM שונות, ללא קשר לתמיכה שלהן בהוראות לאימות מצביע. הכללת יישום תוכנה מתבצעת באמצעות החלפת ההוראות הדרושות בקוד במהלך הטעינה.
  • נוספה תמיכה בשימוש במנגנון הודעת יציאה אסינכרוני במעבדי אינטל, המאפשר זיהוי התקפות חד-שלביות על קוד המבוצע במובלעות SGX.
  • מוצעת מערכת פעולות המאפשרת ל-Hypervisor לתמוך בבקשות ממערכות אורח של Intel TDX (Trusted Domain Extensions).
  • הגדרות בניית הליבה RANDOM_TRUST_BOOTLOADER ו-RANDOM_TRUST_CPU הוסרו, לטובת אפשרויות שורת הפקודה המתאימות random.trust_bootloader ו-random.trust_cpu.
  • מנגנון Landlock, המאפשר להגביל את האינטראקציה של קבוצת תהליכים עם הסביבה החיצונית, הוסיף תמיכה בדגל LANDLOCK_ACCESS_FS_TRUNCATE, המאפשר לשלוט בביצוע פעולות חיתוך קבצים.
• תת מערכת רשת
  • עבור IPv6, נוספה תמיכה ב-PLB (Protective Load Balancing), מנגנון איזון עומסים בין קישורי רשת שמטרתו להפחית נקודות עומס יתר על מתגי מרכז הנתונים. על ידי שינוי תווית הזרימה של IPv6, ה-PLB משנה באופן אקראי נתיבי מנות כדי לאזן את העומס על יציאות המתג. כדי לצמצם סידור מחדש של מנות, פעולה זו מבוצעת לאחר תקופות של סרק בכל הזדמנות אפשרית. השימוש ב-PLB במרכזי הנתונים של גוגל הפחית את חוסר איזון העומס ביציאות מתג בממוצע של 60%, הפחית את אובדן המנות ב-33% והפחית את זמן האחזור ב-20%.
  • נוסף מנהל התקן עבור התקני MediaTek התומכים ב-Wi-Fi 7 (802.11be).
  • נוספה תמיכה עבור קישורים של 800 גיגה-ביט.
  • נוספה את היכולת לשנות שם ממשקי רשת תוך כדי תנועה, מבלי להפסיק את העבודה.
  • להודעות היומן על SYN Flood נוסף אזכור של כתובת ה-IP שאליה הגיעה החבילה.
  • עבור UDP, הוטמעה היכולת להשתמש בטבלאות hash נפרדות עבור מרחבי שמות שונים ברשת.
  • עבור גשרי רשת, יושמה תמיכה בשיטת האימות MAB (MAC Authentication Bypass).
  • עבור פרוטוקול CAN (CAN_RAW), הוטמעה תמיכה במצב השקע SO_MARK לצירוף מסנני תעבורה מבוססי fwmark.
  • ipset מיישמת פרמטר bitmask חדש המאפשר לך להגדיר מסיכה המבוססת על ביטים שרירותיים בכתובת ה-IP (לדוגמה, "ipset create set1 hash:ip bitmask 255.128.255.0").
  • נוספה תמיכה בעיבוד כותרות פנימיות בתוך מנות עם מנהור ל-nf_tables.
• Оборудование
  • תת-המערכת "accel" נוספה עם יישום מסגרת למאיצים חישוביים, שניתן לספק בצורה של ASICs בודדים או בצורה של בלוקים IP בתוך ה-SoC וה-GPU. מאיצים אלו מכוונים בעיקר להאצת פתרון בעיות למידת מכונה.
  • מנהל ההתקן של amdgpu כולל תמיכה ברכיבי GC, PSP, SMU ו-NBIO IP. עבור מערכות ARM64, מיושמת תמיכה עבור DCN (Display Core Next). היישום של פלט מסך מוגן הועבר משימוש ב-DCN10 ל-DCN21 וכעת ניתן להשתמש בו בעת חיבור מספר מסכים.
  • מנהל ההתקן i915 (Intel) יציב תמיכה בכרטיסי מסך נפרדים של Intel Arc (DG2/Alchemist).
  • מנהל ההתקן של נובו תומך במעבדי GPU של NVIDIA GA102 (RTX 30) המבוססים על ארכיטקטורת אמפר. עבור כרטיסי nva3 (GT215), נוספה היכולת לשלוט בתאורה האחורית.
  • נוספה תמיכה במתאמים אלחוטיים המבוססים על Realtek 8852BE, Realtek 8821CU, 8822BU, 8822CU, 8723DU (USB) ושבבי MediaTek MT7996, ממשקי בלוטות' של Broadcom BCM4377/4378/4387, כמו גם בקר Motorcomm NVIDIA ו-Ethernet של Motorcomm NVIDIA.
  • נוספה תמיכה ב-ASoC (ALSA System on Chip) עבור שבבי סאונד מובנים HP Stream 8, Advantech MICA-071, Dell SKU 0C11, Intel ALC5682I-VD, Xiaomi Redmi Book Pro 14 2022, i.MX93, Armada 38x, RK3588. נוספה תמיכה בממשק האודיו Focusrite Saffire Pro 40. נוספה לקודק שמע Realtek RT1318.
  • נוספה תמיכה עבור סמארטפונים וטאבלטים של Sony (Xperia 10 IV, 5 IV, X ו-X compact, OnePlus One, 3, 3T ו-Nord N100, Xiaomi Poco F1 ו-Mi6, Huawei Watch, Google Pixel 3a, Samsung Galaxy Tab 4 10.1.
  • נוספה תמיכה עבור ARM SoC ו-Apple T6000 (M1 Pro), T6001 (M1 Max), T6002 (M1 Ultra), Qualcomm MSM8996 Pro (Snapdragon 821), SM6115 (Snapdragon 662), SM4250 (Snapdragon 460) (6375) לוחות , SDM695 (Snapdragon 670), MSM670 (Snapdragon 8976), MSM652 (Snapdragon 8956), RK650 Odroid-Go/rg3326, Zyxel NSA351S, InnoComm i.MX310MM, Odroid Go Ultra.

במקביל, קרן התוכנה החופשית של אמריקה הלטינית יצרה גרסה של הליבה החינמית לחלוטין 6.2 - Linux-libre 6.2-gnu, מנוקה מאלמנטים של קושחה ומנהלי התקנים המכילים רכיבים קנייניים או קטעי קוד, שהיקפם מוגבל על ידי היצרן. המהדורה החדשה מנקה כתמים חדשים בדרייבר הנובו. טעינת בלובים מושבתת במנהלי התקנים של mt7622, ​​mt7996 wifi ו-bcm4377 Bluetooth. ניקה את שמות הכתמים בקבצי dts עבור ארכיטקטורת Aarch64. קוד ניקוי כתם מעודכן בדרייברים ובתתי מערכות שונות. הפסיק לנקות את מנהל ההתקן של s5k4ecgx, מכיוון שהוא הוסר מהקרנל.

מקור: OpenNet.ru