Linux 6.2 커널 릴리스

두 달간의 개발 끝에 Linus Torvalds는 Linux 커널 6.2의 출시를 발표했습니다. 가장 주목할만한 변경 사항 중 하나는 Copyleft-Next 라이센스에 따른 코드 허용, Btrfs에서 RAID5/6 구현 개선, Rust 언어 지원 통합 지속, Retbleed 공격 방지 오버헤드 감소, 쓰기 저장 중 메모리 소비를 조절하는 기능이 추가되고, TCP 밸런싱 PLB(Protective Load Balancing)를 위한 메커니즘이 추가되고, 하이브리드 명령 흐름 보호 메커니즘(FineIBT)이 추가되었으며, BPF에는 이제 자체 개체 및 데이터 구조를 정의하는 기능이 있습니다. , rv(런타임 검증) 유틸리티가 포함되어 RCU 잠금 구현 시 전력 소비가 감소되었습니다.

새 버전에는 16843명의 개발자가 수행한 2178개의 수정 사항이 포함되어 있으며 패치 크기는 62MB입니다(변경 사항은 14108개 파일에 영향을 미치고 730195줄의 코드가 추가되었으며 409485줄이 삭제되었습니다). 42에 도입된 모든 변경 사항의 약 6.2%는 장치 드라이버와 관련이 있고, 약 16%는 하드웨어 아키텍처 관련 코드 업데이트와 관련이 있으며, 12%는 네트워크 스택과 관련이 있고, 4%는 파일 시스템과 관련이 있으며, 3%는 내부 커널 하위 시스템과 관련이 있습니다.

커널 6.2의 주요 혁신:

• 메모리 및 시스템 서비스
  • Copyleft-Next 0.3.1 라이센스에 따라 제공되는 커널 코드 및 변경 사항을 포함하는 것이 허용됩니다. Copyleft-Next 라이선스는 GPLv3 작성자 중 한 명이 만들었으며 SUSE 및 Red Hat 변호사가 확인한 바와 같이 GPLv2 라이선스와 완벽하게 호환됩니다. GPLv2에 비해 Copyleft-Next 라이선스는 훨씬 더 컴팩트하고 이해하기 쉽습니다(소개 부분과 오래된 타협에 대한 언급이 제거됨). 위반을 제거하기 위한 기간과 절차를 정의하며 오래된 소프트웨어에 대한 카피레프트 요구 사항을 자동으로 제거합니다. 15세 이상입니다.

    Copyleft-Next에는 GPLv2와 달리 이 라이센스가 Apache 2.0 라이센스와 호환되도록 하는 독점 기술 부여 조항도 포함되어 있습니다. GPLv2와의 완전한 호환성을 보장하기 위해 Copyleft-Next는 원본 Copyleft-Next 라이선스 외에도 GPL 라이선스에 따라 파생 저작물이 제공될 수 있음을 명시적으로 명시합니다.

  • 이 구조에는 RV(런타임 검증) 하위 시스템의 핸들러와 사용자 공간의 상호 작용을 위한 인터페이스를 제공하는 "rv" 유틸리티가 포함되어 있으며 오류 발생을 보장하는 매우 안정적인 시스템에서 올바른 작동을 확인하도록 설계되었습니다. 확인은 시스템의 예상 동작을 정의하는 기계의 사전 결정된 참조 결정적 모델에 대해 실제 실행 진행 상황을 확인하는 추적 지점에 핸들러를 연결하여 런타임에 수행됩니다.
  • 스왑 파티션을 압축된 형태로 메모리에 저장할 수 있는 zRAM 장치(압축을 통해 스왑이 수행되는 메모리에 블록 장치가 생성됨)는 더 높은 수준을 달성하기 위해 대체 알고리즘을 사용하여 페이지를 다시 압축하는 기능을 구현합니다. 압축의. 주요 아이디어는 여러 알고리즘(lzo, lzo-rle, lz4, lz4hc, zstd) 중에서 선택할 수 있도록 하여 압축/압축 해제 속도와 압축 수준 간의 절충안을 제공하거나 특수 상황(예: 대용량 압축)에 최적인 것입니다. 메모리 페이지).
  • 사용자 공간에서 IOMMU(I/O 메모리 관리 장치)인 I/O 메모리 관리 시스템을 관리하기 위한 "iommufd" API를 추가했습니다. 새로운 API를 사용하면 파일 설명자를 사용하여 I/O 메모리 페이지 테이블을 관리할 수 있습니다.
  • BPF는 유형을 생성하고, 자신만의 객체를 정의하고, 객체의 계층 구조를 구축하고, 연결된 목록과 같은 자신만의 데이터 구조를 유연하게 생성하는 기능을 제공합니다. 절전 모드(BPF_F_SLEEPABLE)로 전환되는 BPF 프로그램의 경우 bpf_rcu_read_{,un}lock() 잠금에 대한 지원이 추가되었습니다. task_struct 객체 저장에 대한 지원이 구현되었습니다. cgroup에 대한 로컬 저장소를 제공하는 맵 유형 BPF_MAP_TYPE_CGRP_STORAGE를 추가했습니다.
  • RCU(읽기-복사-업데이트) 차단 메커니즘의 경우 배치 모드에서 타이머를 사용하여 여러 콜백 호출이 한 번에 처리되는 "지연" 콜백 호출의 선택적 메커니즘이 구현됩니다. 제안된 최적화를 적용하면 유휴 시간이나 시스템 부하가 낮은 동안 RCU 요청을 연기하여 Android 및 ChromeOS 기기의 전력 소비를 5~10% 줄일 수 있습니다.
  • 원자 명령을 실행할 때 두 개의 CPU 캐시 라인을 교차하는 데이터로 인해 메모리에서 정렬되지 않은 데이터에 액세스할 때 발생하는 분할 잠금을 감지할 때 시스템이 반응하는 방식을 제어하기 위해 sysctl Split_lock_mitigate를 추가했습니다. 이러한 막힘으로 인해 성능이 크게 저하됩니다. Split_lock_mitigate를 0으로 설정하면 문제가 있다는 경고만 발행되는 반면, Split_lock_mitigate를 1로 설정하면 시스템의 나머지 부분에 대한 성능을 보존하기 위해 잠금 속도가 느려지는 프로세스도 발생합니다.
  • PowerPC 아키텍처를 위한 qspinlock의 새로운 구현이 제안되었습니다. 이는 더 높은 성능을 보여주고 예외적인 경우에 발생하는 일부 잠금 문제를 해결합니다.
  • MSI(Message-Signaled Interrupts) 인터럽트 처리 코드가 재작업되어 누적된 아키텍처 문제를 제거하고 개별 핸들러를 다른 장치에 바인딩하기 위한 지원이 추가되었습니다.
  • Loongson 3 5000 프로세서에 사용되는 LoongArch 명령어 세트 아키텍처를 기반으로 하고 MIPS 및 RISC-V와 유사한 새로운 RISC ISA를 구현하는 시스템의 경우 ftrace, 스택 보호, 절전 및 대기 모드에 대한 지원이 구현됩니다.
  • 공유 익명 메모리 영역에 이름을 할당하는 기능이 제공되었습니다(이전에는 특정 프로세스에 할당된 개인 익명 메모리에만 이름을 할당할 수 있었습니다).
  • 제어 검사가 트리거될 때 호출되는 조건부 명령을 바인딩하는 데 사용되는 추적 트리거를 활성화하도록 설계된 새로운 커널 명령줄 매개 변수 "trace_trigger"를 추가했습니다(예: prev_state == 2″인 경우 Trace_trigger=”sched_switch.stacktrace).
  • binutils 패키지 버전에 대한 요구 사항이 증가했습니다. 이제 커널을 빌드하려면 최소한 binutils 2.25가 필요합니다.
  • exec() 호출 시 시스템 시간과 시간이 다른 시간 네임스페이스에 프로세스를 배치하는 기능이 추가되었습니다.
  • 우리는 드라이버 및 커널 모듈 개발을 위한 두 번째 언어로 Rust 언어를 사용하는 것과 관련된 Rust-for-Linux 분기의 추가 기능을 이전하기 시작했습니다. Rust 지원은 기본적으로 비활성화되어 있으며 Rust가 필수 커널 빌드 종속성으로 포함되지 않습니다. 마지막 릴리스에서 제공되는 기본 기능은 Vec 유형 및 매크로 pr_debug!(), pr_cont!() 및 pr_alert!()뿐만 아니라 절차적 매크로 "#[vtable"과 같은 저수준 코드를 지원하도록 확장되었습니다. ]”는 함수에 대한 포인터 테이블 작업을 단순화합니다. 향후 릴리스에서는 커널 하위 시스템에 대한 높은 수준의 Rust 바인딩을 추가하여 Rust에서 완전한 드라이버를 생성할 수 있을 것으로 예상됩니다.
  • 커널에 사용되는 "char" 유형은 이제 모든 아키텍처에 대해 기본적으로 unsigned로 선언됩니다.
  • 메모리 양이 적은 시스템을 위해 설계된 슬랩 메모리 할당 메커니즘인 SLOB(슬랩 할당자)가 더 이상 사용되지 않는 것으로 선언되었습니다. 일반적인 조건에서는 SLOB 대신 SLUB 또는 SLAB를 사용하는 것이 좋습니다. 메모리 양이 적은 시스템의 경우 SLUB_TINY 모드에서 SLUB를 사용하는 것이 좋습니다.
• 디스크 하위 시스템, I/O 및 파일 시스템
  • RAID 5/6 구현의 "쓰기 구멍" 문제를 해결하기 위해 Btrfs가 개선되었습니다(쓰기 중에 충돌이 발생하고 어떤 RAID 장치가 어느 블록에 올바르게 기록되었는지 이해할 수 없는 경우 RAID를 복원하려는 시도, 인수된 블록에 해당하는 블록 파괴로 이어질 수 있음). 또한 SSD는 이제 가능한 경우 기본적으로 비동기식 폐기 작업을 자동으로 활성화하여 폐기 작업을 대기열로 효율적으로 그룹화하고 백그라운드 프로세서에 의한 대기열 처리를 통해 성능을 향상시킵니다. send 및 lseek 작업과 FIEMAP ioctl의 성능이 향상되었습니다.
  • 블록 디바이스에 대한 지연 쓰기(쓰기 저장, 변경된 데이터의 백그라운드 저장) 관리 기능이 확장되었습니다. 네트워크 블록 장치나 USB 드라이브를 사용하는 경우와 같은 일부 상황에서는 쓰기 지연으로 인해 RAM이 많이 소모될 수 있습니다. 지연 쓰기 동작을 제어하고 페이지 캐시 크기를 특정 제한 내로 유지하기 위해 새로운 매개변수 strict_limit, min_bytes, max_bytes, min_ratio_fine 및 max_ratio_fine이 sysfs(/sys/class/bdi/)에 도입되었습니다.
  • F2FS 파일 시스템은 단일 원자 작업 내에서 파일에 데이터를 쓸 수 있는 원자 대체 ioctl 작업을 구현합니다. F2FS는 또한 적극적으로 사용되는 데이터나 오랫동안 액세스되지 않은 데이터를 식별하는 데 도움이 되는 블록 범위 캐시를 추가합니다.
  • ext4 FS에서는 오류 수정만 기록됩니다.
  • ntfs3 파일 시스템은 몇 가지 새로운 마운트 옵션을 제공합니다. 파일 및 디렉터리 이름의 대소문자 구분을 제어하는 ​​"nocase"; windows_name은 Windows에 유효하지 않은 문자가 포함된 파일 이름 생성을 금지합니다. hide_dot_files는 점으로 시작하는 파일에 대한 숨겨진 파일 레이블 할당을 제어합니다.
  • Squashfs 파일 시스템은 압축 해제 작업을 병렬화하기 위한 스레드 수를 정의할 수 있는 "threads=" 마운트 옵션을 구현합니다. Squashfs는 또한 마운트된 외부 파티션에 있는 특정 사용자의 파일을 현재 시스템의 다른 사용자와 일치시키는 데 사용되는 마운트된 파일 시스템의 사용자 ID를 매핑하는 기능을 도입했습니다.
  • POSIX 액세스 제어 목록(POSIX ACL) 구현이 재작업되었습니다. 새로운 구현은 아키텍처 문제를 제거하고, 코드베이스 유지 관리를 단순화하며, 보다 안전한 데이터 유형을 도입합니다.
  • 파일 및 디렉터리의 투명한 암호화에 사용되는 fscrypt 하위 시스템에 SM4 암호화 알고리즘(중국 표준 GB/T 32907-2016)에 대한 지원이 추가되었습니다.
  • NFSv2 지원 없이 커널을 빌드하는 기능이 제공되었습니다(향후에는 NFSv2 지원을 완전히 중단할 계획입니다).
  • NVMe 장치에 대한 접근 권한을 확인하는 구성이 변경되었습니다. 쓰기 프로세스에 장치의 전용 파일에 대한 액세스 권한이 있는 경우 NVMe 장치를 읽고 쓸 수 있는 기능을 제공합니다(이전에는 프로세스에 CAP_SYS_ADMIN 권한이 있어야 함).
  • 2016년에 더 이상 사용되지 않는 CD/DVD 패키지 드라이버를 제거했습니다.
• 가상화 및 보안
  • Retbleed 취약점에 대한 새로운 보호 방법이 호출 깊이 추적을 사용하여 Intel 및 AMD CPU에 구현되었습니다. 이는 Retbleed에 대한 이전의 보호만큼 작업 속도를 저하시키지 않습니다. 새로운 모드를 활성화하기 위해 커널 명령줄 매개변수 "rebleed=stuff"가 제안되었습니다.
  • Intel IBT(간접 분기 추적) 하드웨어 명령과 kCFI(커널 제어 흐름 무결성) 소프트웨어 보호를 결합하여 메모리에 저장된 포인터를 수정하는 익스플로잇 사용으로 인한 제어 흐름 위반을 차단하는 하이브리드 FineIBT 명령 흐름 보호 메커니즘을 추가했습니다. 기능. FineIBT는 함수의 맨 앞에 있는 ENDBR 명령으로 점프하는 경우에만 간접 점프에 의한 실행을 허용합니다. 또한 kCFI 메커니즘과 유사하게 해시를 검사하여 포인터의 불변성을 보장합니다.
  • 문제가 있는 작업이 완료되고 시스템을 중지하지 않고 상태가 복원된 후 "죄송합니다" 상태 생성을 조작하는 공격을 차단하기 위한 제한 사항을 추가했습니다. "oops" 상태에 대한 호출이 매우 많으면 참조 카운터 오버플로(refcount)가 발생하여 NULL 포인터 역참조로 인해 발생하는 취약점을 악용할 수 있습니다. 이러한 공격으로부터 보호하기 위해 최대 "죄송합니다" 트리거 수에 대한 제한이 커널에 추가되었습니다. 이 제한을 초과하면 커널이 "패닉" 상태로 전환한 후 재부팅됩니다. 참조 횟수를 오버플로하는 데 필요한 반복 횟수입니다. 기본적으로 한도는 10 "oops"로 설정되어 있지만 원할 경우 oops_limit 매개변수를 통해 변경할 수 있습니다.
  • ioctl TIOCSTI를 사용하여 터미널에 데이터를 입력하는 기능을 비활성화하기 위해 구성 매개변수 LEGACY_TIOCSTI 및 sysctl Legacy_tiocsti를 추가했습니다. 이 기능을 사용하면 터미널 입력 버퍼에 임의의 문자를 대체하고 사용자 입력을 시뮬레이션할 수 있기 때문입니다.
  • 포인터의 우발적인 역참조를 방지하기 위해 사용되는 추가 정보를 포인터의 하위 비트에 저장하는 데 사용되는 새로운 유형의 내부 구조인 Encoded_page가 제안되었습니다(역참조가 실제로 필요한 경우 이러한 추가 비트를 먼저 지워야 합니다). .
  • ARM64 플랫폼에서는 부팅 단계에서 스택에 버퍼 오버플로가 발생할 경우 함수의 반환 주소를 덮어쓰는 것을 방지하는 데 사용되는 Shadow Stack 메커니즘의 소프트웨어 구현을 활성화하거나 비활성화할 수 있습니다. 보호의 본질은 제어가 함수로 전송된 후 반환 주소를 별도의 "섀도우" 스택에 저장하고 함수를 종료하기 전에 주어진 주소를 검색하는 것입니다. 하나의 커널 어셈블리에서 Shadow Stack의 하드웨어 및 소프트웨어 구현을 지원하면 포인터 인증 지침 지원 여부에 관계없이 서로 다른 ARM 시스템에서 하나의 커널을 사용할 수 있습니다. 소프트웨어 구현의 포함은 로드하는 동안 코드에 필요한 명령을 대체하여 수행됩니다.
  • SGX 엔클레이브에서 실행되는 코드에 대한 단일 단계 공격을 탐지할 수 있는 Intel 프로세서의 비동기 종료 알림 메커니즘 사용에 대한 지원이 추가되었습니다.
  • 하이퍼바이저가 Intel TDX(신뢰할 수 있는 도메인 확장) 게스트 시스템의 요청을 지원할 수 있도록 하는 일련의 작업이 제안되었습니다.
  • 커널 빌드 설정 RANDOM_TRUST_BOOTLOADER 및 RANDOM_TRUST_CPU가 제거되었으며 해당 명령줄 옵션인 random.trust_bootloader 및 random.trust_cpu가 사용되었습니다.
  • 프로세스 그룹과 외부 환경의 상호 작용을 제한할 수 있는 Landlock 메커니즘에 LANDLOCK_ACCESS_FS_TRUNCATE 플래그에 대한 지원이 추가되어 파일 자르기 작업 실행을 제어할 수 있습니다.
• 네트워크 하위 시스템
  • IPv6의 경우 데이터 센터 스위치의 과부하 지점을 줄이는 것을 목표로 하는 네트워크 링크 간의 로드 밸런싱 메커니즘인 PLB(Protective Load Balancing)에 대한 지원이 추가되었습니다. PLB는 IPv6 흐름 레이블을 변경하여 스위치 포트의 로드 균형을 맞추기 위해 패킷 경로를 무작위로 변경합니다. 패킷 재정렬을 줄이기 위해 이 작업은 가능할 때마다 유휴 기간 후에 수행됩니다. Google 데이터 센터에서 PLB를 사용하면 스위치 포트의 로드 불균형이 평균 60% 감소하고, 패킷 손실이 33% 감소하고, 지연 시간이 20% 감소했습니다.
  • Wi-Fi 7(802.11be)을 지원하는 MediaTek 장치용 드라이버가 추가되었습니다.
  • 800기가비트 링크에 ​​대한 지원이 추가되었습니다.
  • 작업을 중단하지 않고 즉시 네트워크 인터페이스 이름을 바꾸는 기능이 추가되었습니다.
  • 패킷이 도착한 IP 주소에 대한 언급이 SYN 플러드에 대한 로그 메시지에 추가되었습니다.
  • UDP의 경우 서로 다른 네트워크 네임스페이스에 대해 별도의 해시 테이블을 사용하는 기능이 구현되었습니다.
  • 네트워크 브리지의 경우 MAB(MAC 인증 우회) 인증 방법에 대한 지원이 구현되었습니다.
  • CAN 프로토콜(CAN_RAW)의 경우 fwmark 기반 트래픽 필터를 연결하기 위해 SO_MARK 소켓 모드에 대한 지원이 구현되었습니다.
  • ipset은 IP 주소의 임의 비트를 기반으로 마스크를 설정할 수 있는 새로운 비트마스크 매개변수를 구현합니다(예: "ipset create set1 hash:ip bitmask 255.128.255.0").
  • nf_tables에 대한 터널링된 패킷 내부의 내부 헤더 처리에 대한 지원이 추가되었습니다.
• Оборудование
  • "accel" 하위 시스템은 개별 ASIC 형태 또는 SoC 및 GPU 내부 IP 블록 형태로 제공될 수 있는 계산 가속기용 프레임워크 구현과 함께 추가되었습니다. 이러한 가속기는 주로 기계 학습 문제의 해결을 가속화하는 것을 목표로 합니다.
  • amdgpu 드라이버에는 GC, PSP, SMU 및 NBIO IP 구성 요소에 대한 지원이 포함되어 있습니다. ARM64 시스템의 경우 DCN(Display Core Next) 지원이 구현됩니다. 보호된 화면 출력 구현이 DCN10 사용에서 DCN21로 이동되었으며 이제 여러 화면을 연결할 때 사용할 수 있습니다.
  • i915(Intel) 드라이버는 개별 Intel Arc(DG2/Alchemist) 비디오 카드에 대한 안정적인 지원을 제공합니다.
  • Nouveau 드라이버는 Ampere 아키텍처를 기반으로 하는 NVIDIA GA102(RTX 30) GPU를 지원합니다. nva3(GT215) 카드의 경우 백라이트를 제어하는 ​​기능이 추가되었습니다.
  • Realtek 8852BE, Realtek 8821CU, 8822BU, 8822CU, 8723DU(USB) 및 MediaTek MT7996 칩, Broadcom BCM4377/4378/4387 Bluetooth 인터페이스, Motorcomm yt8521, NVIDIA Tegra GE 이더넷 컨트롤러를 기반으로 하는 무선 어댑터에 대한 지원이 추가되었습니다.
  • 내장 사운드 칩 HP Stream 8, Advantech MICA-071, Dell SKU 0C11, Intel ALC5682I-VD, Xiaomi Redmi Book Pro 14 2022, i.MX93, Armada 38x, RK3588에 대한 ASoC(ALSA 시스템 온 칩) 지원이 추가되었습니다. Focusrite Saffire Pro 40 오디오 인터페이스에 대한 지원이 추가되었으며 Realtek RT1318 오디오 코덱이 추가되었습니다.
  • Sony 스마트폰 및 태블릿(Xperia 10 IV, 5 IV, X 및 X 컴팩트, OnePlus One, 3, 3T 및 Nord N100, Xiaomi Poco F1 및 Mi6, Huawei Watch, Google Pixel 3a, Samsung Galaxy Tab 4 10.1에 대한 지원이 추가되었습니다.
  • ARM SoC 및 Apple T6000(M1 Pro), T6001(M1 Max), T6002(M1 Ultra), Qualcomm MSM8996 Pro(Snapdragon 821), SM6115(Snapdragon 662), SM4250(Snapdragon 460), SM6375(Snapdragon 695)에 대한 지원 추가 보드, SDM670(Snapdragon 670), MSM8976(Snapdragon 652), MSM8956(Snapdragon 650), RK3326 Odroid-Go/rg351, Zyxel NSA310S, InnoComm i.MX8MM, Odroid Go Ultra.

동시에 라틴 아메리카 자유 소프트웨어 재단은 독점 구성 요소 또는 코드 섹션을 포함하는 펌웨어 및 드라이버 요소가 제거된 완전 무료 커널 6.2(Linux-libre 6.2-gnu) 버전을 구성했습니다. 제조 업체. 새 릴리스에서는 nouveau 드라이버의 새로운 얼룩을 정리합니다. mt7622, ​​​mt7996 wifi 및 bcm4377 블루투스 드라이버에서는 Blob 로딩이 비활성화됩니다. Aarch64 아키텍처에 대한 dts 파일의 Blob 이름을 정리했습니다. 다양한 드라이버 및 하위 시스템의 블롭 정리 코드가 업데이트되었습니다. s5k4ecgx 드라이버가 커널에서 제거되었으므로 청소를 중지했습니다.

출처 : opennet.ru