Linux 5.11 커널 릴리스

두 달간의 개발 끝에 Linus Torvalds는 Linux 커널 5.11의 출시를 발표했습니다. 가장 주목할만한 변경 사항으로는 Intel SGX 엔클레이브 지원, 시스템 호출을 가로채는 새로운 메커니즘, 가상 보조 버스, MODULE_LICENSE() 없이 모듈 조립 금지, seccomp에서 시스템 호출에 대한 빠른 필터링 모드, ia64 아키텍처, WiMAX 기술을 "스테이징" 지점으로 이전, UDP에서 SCTP를 캡슐화하는 기능.

새 버전에는 15480명의 개발자가 수정한 1991개가 포함되어 있으며 패치 크기는 72MB입니다(변경 사항은 12090개 파일에 영향을 미치고 868025줄의 코드가 추가되었으며 261456줄이 삭제되었습니다). 46에 도입된 모든 변경 사항의 약 5.11%는 장치 드라이버와 관련이 있고, 약 16%는 하드웨어 아키텍처 관련 코드 업데이트와 관련이 있으며, 13%는 네트워크 스택과 관련이 있고, 3%는 파일 시스템과 관련이 있으며, 4%는 내부 커널 하위 시스템과 관련이 있습니다.

주요 혁신:

• 디스크 하위 시스템, I/O 및 파일 시스템
  • 손상된 파일 시스템에서 데이터를 복원할 때 사용할 수 있도록 여러 가지 마운트 옵션이 Btrfs에 추가되었습니다. 일부 루트 트리(extent, uuid, 데이터 reloc, 장치, csum, 여유 공간)의 손상에도 불구하고 마운트를 위한 "rescue=ignorebadroots", " "rescue=ignoredatacsums"는 데이터에 대한 체크섬 검사를 비활성화하고 "rescue=all"은 'ignorebadroots', 'ignoredatacsums' 및 'nologreplay' 모드를 동시에 활성화합니다. 이전에 더 이상 사용되지 않았던 "inode_cache" 마운트 옵션은 중단되었습니다. 페이지 크기(PAGE_SIZE)보다 작은 메타데이터 및 데이터가 포함된 블록에 대한 지원과 구역화된 공간 할당 모드에 대한 지원을 구현하기 위해 코드가 준비되었습니다. 버퍼링되지 않은(직접 IO) 요청이 iomap 인프라로 이동되었습니다. 여러 작업의 성능이 최적화되었으며 경우에 따라 가속도가 수십 퍼센트에 도달할 수 있습니다.
  • XFS는 복구가 필요함을 알리는 "needsrepair" 플래그를 구현합니다. 이 플래그가 설정되면 xfs_repair 유틸리티에 의해 플래그가 재설정될 때까지 파일 시스템을 마운트할 수 없습니다.
  • Ext4는 버그 수정, 최적화, 코드 정리만 제공합니다.
  • NFS를 통해 마운트된 파일 시스템을 다시 내보낼 수 있습니다. 즉, NFS를 통해 마운트된 파티션을 이제 NFS를 통해 내보내고 중간 캐시로 사용할 수 있습니다.
  • 프로세스가 열린 파일 설명자의 전체 범위를 한 번에 닫을 수 있도록 하는 close_range() 시스템 호출에 실행 시 닫기 모드에서 설명자를 닫는 CLOSE_RANGE_CLOEXEC 옵션이 추가되었습니다.
  • F2FS 파일 시스템은 새로운 ioctl() 호출을 추가하여 어떤 파일이 압축된 형식으로 저장되는지에 대한 사용자 공간 제어를 허용합니다. 압축 핸들러를 커널 측에 배치할지 아니면 사용자 공간에 배치할지 선택하는 "compress_mode=" 마운트 옵션을 추가했습니다.
  • 별도의 사용자 네임스페이스를 사용하여 권한이 없는 프로세스로 Overlayfs를 마운트하는 기능이 제공됩니다. 보안 모델 구현의 준수 여부를 확인하기 위해 전체 코드 감사가 수행되었습니다. Overlayfs는 또한 선택적으로 UUID 검사를 비활성화하여 파일 시스템 이미지의 복사본을 사용하여 실행하는 기능을 추가합니다.
  • Ceph 파일 시스템에는 암호화된 형식으로 데이터를 전송할 때 AES-GCM 알고리즘을 사용할 수 있는 msgr2.1 프로토콜에 대한 지원이 추가되었습니다.
  • dm-multipath 모듈은 I/O 요청 경로를 선택할 때 CPU 선호도(“IO 선호도”)를 고려하는 기능을 구현합니다.
• 메모리 및 시스템 서비스
  • prctl()을 기반으로 하는 새로운 시스템 호출 차단 메커니즘이 추가되었습니다. 이를 통해 특정 시스템 호출에 액세스하고 해당 실행을 에뮬레이션할 때 사용자 공간에서 예외를 생성할 수 있습니다. 이 기능은 Wine과 Proton에서 Windows 시스템 호출을 에뮬레이션하는 데 필요합니다. 이는 Windows API를 우회하여 시스템 호출을 직접 수행하는 게임 및 프로그램과의 호환성을 보장하는 데 필요합니다(예: 무단 사용으로부터 보호하기 위해).
  • 사용자 공간에서 페이지 오류(할당되지 않은 메모리 페이지에 대한 액세스)를 처리하도록 설계된 userfaultfd() 시스템 호출에는 이제 커널 수준에서 발생하는 예외 처리를 비활성화하여 특정 취약점을 악용하기 어렵게 만드는 기능이 있습니다.
  • BPF 하위 시스템에는 특정 BPF 핸들러에 대한 데이터 바인딩을 제공하는 작업 로컬 스토리지에 대한 지원이 추가되었습니다.
  • BPF 프로그램의 메모리 소비 계산이 완전히 재설계되었습니다. BPF 객체에서 메모리 사용을 관리하기 위해 memlock rlimit 대신 cgroup 컨트롤러가 제안되었습니다.
  • BPF 의사 코드에서 유형 검사 정보를 제공하는 BTF(BPF 유형 형식) 메커니즘은 커널 모듈에 대한 지원을 제공합니다.
  • io_uring 비동기 I/O 인터페이스에 대한 shutdown(), renameat2() 및 unlinkat() 시스템 호출에 대한 지원이 추가되었습니다. io_uring_enter()를 호출할 때 시간 초과를 지정하는 기능이 추가되었습니다(IORING_FEAT_EXT_ARG 플래그를 사용하여 시간 초과를 지정하는 인수에 대한 지원을 확인할 수 있습니다).
  • Intel Itanium 프로세서에 사용되는 ia64 아키텍처는 고아 범주로 이동되었으며, 이는 테스트가 중단되었음을 의미합니다. Hewlett Packard Enterprise는 새로운 Itanium 장비에 대한 주문 접수를 중단했으며 Intel은 작년에 그렇게 했습니다.
  • MMU(메모리 관리 장치)가 포함되지 않은 MicroBlaze 아키텍처 기반 시스템에 대한 지원이 중단되었습니다. 이러한 시스템은 오랫동안 일상생활에서 볼 수 없었습니다.
  • MIPS 아키텍처의 경우 gcov 유틸리티를 사용하여 코드 적용 범위 테스트에 대한 지원이 추가되었습니다.
  • 다양한 드라이버가 필요한 기능을 결합하는 다기능 장치(예: 이더넷 및 RDMA를 지원하는 네트워크 카드)와 인터페이스하기 위한 가상 보조 버스에 대한 지원이 추가되었습니다. 버스는 MFD(다기능 장치) 하위 시스템 사용에 문제가 있는 상황에서 장치에 기본 및 보조 드라이버를 할당하는 데 사용할 수 있습니다.
  • RISC-V 아키텍처의 경우 메모리 페이지 이동 기술을 사용하여 대규모 연속 메모리 영역을 할당하는 데 최적화된 CMA(연속 메모리 할당자) 메모리 할당 시스템에 대한 지원이 추가되었습니다. RISC-V의 경우 /dev/mem에 대한 액세스를 제한하고 인터럽트 처리 시간을 고려하는 도구도 구현됩니다.
  • 32비트 ARM 시스템의 경우 메모리 작업 시 오류를 식별하는 데 도움이 되는 KASan(Kernel Address Sanitizer) 디버깅 도구에 대한 지원이 추가되었습니다. 64비트 ARM의 경우 KASan 구현이 MTE 태그(MemTag)를 사용하도록 변환되었습니다.
  • 나노초 정밀도로 시간 초과를 허용하는 epoll_pwait2() 시스템 호출이 추가되었습니다(epoll_wait 호출은 밀리초를 조작합니다).
  • 이제 MODULE_LICENSE() 매크로를 사용하여 코드 라이센스가 정의되지 않은 로드 가능한 커널 모듈을 빌드하려고 하면 빌드 시스템에서 오류를 표시합니다. 이제부터 정적 함수에 EXPORT_SYMBOL() 매크로를 사용하면 빌드 오류가 발생합니다.
  • I/O에 사용되는 메모리에서 GEM 개체 매핑에 대한 지원이 추가되어 일부 아키텍처에서 프레임 버퍼 작업 속도를 높일 수 있습니다.
  • Kconfig는 Qt4에 대한 지원을 중단했습니다(Qt5, GTK 및 Ncurses에 대한 지원은 유지함).
• 가상화 및 보안
  • 빠른 응답 모드에 대한 지원이 seccomp() 시스템 호출에 추가되었습니다. 이를 통해 실행이 필요하지 않은 프로세스에 연결된 지속적인 작업 비트맵을 기반으로 특정 시스템 호출이 허용되거나 금지되는지 여부를 매우 빠르게 결정할 수 있습니다. BPF 핸들러.
  • Intel SGX(Software Guard eXtensions) 기술을 기반으로 엔클레이브를 생성하고 관리하기 위한 통합 커널 구성 요소를 사용하면 애플리케이션이 시스템의 나머지 부분이 액세스를 제한하는 격리된 암호화된 메모리 영역에서 코드를 실행할 수 있습니다.
  • 사용자 공간에서 MSR(모델별 레지스터)에 대한 액세스를 제한하는 계획의 일환으로 MSR_IA32_ENERGY_PERF_BIAS 레지스터에 기록하여 프로세서 에너지 효율 모드("일반", "성능", "절전")를 변경할 수 있습니다. , 금지되어 있습니다.
  • CPU 간의 우선순위가 높은 작업 마이그레이션을 비활성화하는 기능이 실시간 시스템용 kernel-rt 분기에서 이동되었습니다.
  • ARM64 시스템의 경우 신호 처리기 메모리 주소에 MTE 태그(MemTag, Memory Tagged Extension)를 사용하는 기능이 추가되었습니다. MTE 사용은 sigaction()에서 SA_EXPOSE_TAGBITS 옵션을 지정하여 활성화되며 포인터의 올바른 사용을 확인하여 이미 해제된 메모리 블록 액세스, 버퍼 오버플로, 초기화 전 액세스 및 외부 사용으로 인한 취약점 악용을 차단할 수 있습니다. 현재 상황.
  • dm-verity 하위 시스템이 보조 키링에 배치된 인증서의 해시 서명을 확인할 수 있도록 "DM_VERITY_VERIFY_ROOTHASH_SIG_SECONDARY_KEYRING" 매개변수가 추가되었습니다. 실제로 설정을 사용하면 커널에 내장된 인증서뿐만 아니라 작업 중에 로드된 인증서도 확인할 수 있으므로 전체 커널을 업데이트하지 않고도 인증서를 업데이트할 수 있습니다.
  • 사용자 모드 Linux에는 일시 중지-유휴 모드에 대한 지원이 추가되었습니다. 이를 통해 환경을 정지하고 SIGUSR1 신호를 사용하여 절전 모드에서 깨어날 수 있습니다.
  • 가상 머신에 메모리를 핫플러그하거나 연결을 끊을 수 있는 virtio-mem 메커니즘에 커널 메모리 크기보다 큰 블록으로 메모리를 전송하거나 가져올 수 있는 BBM(빅 블록 모드)에 대한 지원이 추가되었습니다. QEMU에서 VFIO를 최적화하는 데 필요한 블록입니다.
  • CHACHA20-POLY1305 암호화에 대한 지원이 TLS의 커널 구현에 추가되었습니다.
• 네트워크 하위 시스템
  • 802.1Q(VLAN)의 경우 연결 실패 관리 메커니즘(CFM, Connectivity Fault Management)이 구현되어 가상 브리지(Virtual Bridged Networks)가 있는 네트워크의 오류를 식별, 확인 및 격리할 수 있습니다. 예를 들어, CFM을 사용하면 직원이 자신의 장비에만 액세스할 수 있는 여러 독립 조직에 걸쳐 있는 네트워크의 문제를 격리할 수 있습니다.
  • UDP 패킷(RFC 6951)에 SCTP 프로토콜 패킷을 캡슐화하기 위한 지원이 추가되었습니다. 이를 통해 SCTP를 직접 지원하지 않는 이전 주소 변환기가 있는 네트워크에서 SCTP를 사용할 수 있을 뿐만 아니라 IP에 대한 직접 액세스를 제공하지 않는 시스템에서 SCTP를 구현할 수 있습니다. 층.
  • WiMAX 기술 구현은 스테이징 단계로 옮겨졌으며 WiMAX를 필요로 하는 사용자가 없을 경우 향후 제거될 예정입니다. WiMAX는 더 이상 공용 네트워크에서 사용되지 않으며 커널에서 WiMAX와 함께 사용할 수 있는 유일한 드라이버는 오래된 Intel 2400m 드라이버입니다. WiMAX 지원은 2015년에 NetworkManager 네트워크 구성기에서 중단되었습니다. 현재 WiMax는 LTE, HSPA+, Wi-Fi 802.11n과 같은 기술로 거의 완전히 대체되었습니다.
  • 제로카피 모드에서 들어오는 TCP 트래픽 처리 성능을 최적화하기 위한 작업이 수행되었습니다. 새 버퍼에 추가로 복사하지 않고. 수십 또는 수백 킬로바이트의 데이터를 처리하는 중간 규모 트래픽의 경우, recvmsg() 대신 zerocopy를 사용하는 것이 눈에 띄게 더 효과적입니다. 예를 들어, 구현된 변경 사항을 통해 zerocopy를 사용할 때 32KB 메시지로 RPC 스타일 트래픽을 처리하는 효율성을 60~70% 높일 수 있었습니다.
  • 여러 PPP 링크에 걸쳐 있는 네트워크 브리지를 생성하기 위해 새로운 ioctl() 호출을 추가했습니다. 제안된 기능을 사용하면 프레임이 한 채널에서 다른 채널로 이동할 수 있습니다(예: PPPoE에서 PPPoL2TP 세션으로).
  • 서로 다른 IP 주소와 연결된 서로 다른 네트워크 인터페이스를 통해 여러 경로를 따라 동시에 패킷을 전달하는 TCP 연결 작업을 구성하기 위한 TCP 프로토콜의 확장인 MPTCP(MultiPath TCP)의 핵심에 통합됩니다. 새 릴리스에서는 기존 MPTCP 연결에 새 흐름을 추가할 때 연결할 수 있는 사용 가능한 IP 주소를 알리는 ADD_ADDR 옵션에 대한 지원이 도입되었습니다.
  • 연결 폴링 예산이 초과된 경우(사용 중 폴링) 작업을 구성하는 기능이 추가되었습니다. 이전에 사용 가능한 SO_BUSY_POLL 모드는 예산이 소진되면 Softirq로 전환하는 것을 의미했습니다. 폴링을 계속 사용해야 하는 애플리케이션의 경우 새로운 옵션 SO_PREFER_BUSY_POLL이 제안됩니다.
  • IPv6은 다중 사용자 IPv6 L4 VPN 및 VRF(가상 라우팅 및 전달) 장치를 만드는 데 사용되는 SRv6 End.DT4 및 End.DT3 모드에 대한 지원을 구현합니다.
  • Netfilter는 집합 표현식의 구현을 통합하여 집합 목록의 각 요소에 대해 여러 표현식을 지정할 수 있게 했습니다.
  • SAR 전력 제한은 물론 AE PWE 및 HE MCS 매개변수를 구성하기 위해 API가 802.11 무선 스택에 추가되었습니다. Intel iwlwifi 드라이버에는 6GHz(Ultra High Band) 범위에 대한 지원이 추가되었습니다. Qualcomm Ath11k 드라이버에는 FILS(Fast 초기 링크 설정, IEEE 802.11ai로 표준화됨) 기술에 대한 지원이 추가되어 한 액세스 포인트에서 다른 액세스 포인트로 마이그레이션하는 동안 로밍 지연을 없앨 수 있습니다.
• Оборудование
  • amdgpu 드라이버는 AMD "Green Sardine" APU(Ryzen 5000) 및 "Dimgrey Cavefish" GPU(Navi 2)에 대한 지원은 물론 Zen 2 코어 및 RDNA 2 GPU(Navi 2)가 포함된 AMD Van Gogh APU에 대한 초기 지원도 제공합니다. 새로운 Renoir APU 식별자에 대한 지원이 추가되었습니다(Zen 2 CPU 및 Vega GPU 기반).
  • Intel 비디오 카드용 i915 드라이버는 누락된 픽셀의 색상을 결정하기 위해 인접 픽셀의 상태(최근접 이웃 보간)를 고려하여 스케일을 늘리는 필터 구현을 통해 IS(정수 스케일링) 기술을 지원합니다. 개별 Intel DG1 카드에 대한 지원이 확장되었습니다. Ice Lake/Gen11 칩부터 존재했던 "Big Joiner" 기술에 대한 지원이 구현되었으며, 이를 통해 하나의 트랜스코더를 사용하여 두 개의 스트림을 처리할 수 있습니다(예: 하나의 DisplayPort를 통해 8K 화면으로 출력). 비디오 메모리의 두 버퍼 사이를 비동기적으로 전환하기 위한 모드를 추가했습니다(비동기 플립).
  • nouveau 드라이버는 Ampere 마이크로아키텍처(GA100, GeForce RTX 30xx) 기반 NVIDIA GPU에 대한 초기 지원을 추가했으며 지금까지는 비디오 모드 제어 도구로 제한되었습니다.
  • LCD 패널에 사용되는 3WIRE 프로토콜에 대한 지원이 추가되었습니다. novatek nt36672a, TDO tl070wsh30, Innolux N125HCE-GN1 및 ABT Y030XX067A 3.0 패널에 대한 지원이 추가되었습니다. 이와 별도로 OnePlus 6 및 6T 스마트폰 패널에 대한 지원을 확인할 수 있어 장치에 수정되지 않은 커널 로드를 구성할 수 있었습니다.
  • Intel 최초의 개별 USB4 호스트 컨트롤러인 Maple Ridge에 대한 지원이 추가되었습니다.
  • Allwinner H6 I2S, Analog Devices ADAU1372, Intel Alderlake-S, GMediatek MT8192, NXP i.MX HDMI 및 XCVR, Realtek RT715 및 Qualcomm SM8250 오디오 코덱에 대한 지원이 추가되었습니다.
  • ARM 보드, 장치 및 플랫폼에 대한 지원 추가: Galaxy Note 10.1, Microsoft Lumia 950 XL, NanoPi R1, FriendlyArm ZeroPi, Elimo Initium SBC, Broadcom BCM4908, Mediatek MT8192/MT6779/MT8167, MStar Infinity2M, Nuvoton NPCM730, Marvell Armada 382, ​​​Marvell Prestera 98DX3236 기반의 Mikrotik, Nuvoton NPCM750 BMC, Kontron i.MX8M Mini, Espressobin Ultra, "Trogdor" Chromebook, Kobol Helios64, Engicam PX30.Core를 갖춘 서버.
  • NVIDIA Tegra 3 기반 Ouya 게임 콘솔에 대한 지원이 내장되어 있습니다.

동시에 라틴 아메리카 자유 소프트웨어 재단(Latin American Free Software Foundation)은 완전 무료 5.11 커널 버전인 Linux-libre 5.11-gnu를 구성했습니다. 이 버전에는 자유롭지 않은 구성 요소나 코드 섹션이 포함된 펌웨어 및 드라이버 요소가 제거되어 있으며 범위가 제한되어 있습니다. 제조업체에 의해. 새 릴리스에서는 qat_4xxx(crypto), lt9611uxcm(dsi/hdmi 브리지), ccs/smia++(센서), ath11k_pci, nxp 오디오 트랜시버 및 mhi pci 컨트롤러용 드라이버를 정리합니다. 드라이버 및 하위 시스템 amdgpu, btqca, btrtl, btusb, i915 csr의 Blob 정리 코드가 업데이트되었습니다. m3 rproc, idt82p33 ptp clock 및 qualcomm arm64에서 새 blob을 비활성화했습니다.

출처 : opennet.ru