리눅스 커널 5.14

두 달 간의 개발 끝에 Linus Torvalds는 도입 된 커널 릴리스 Linux 5.14. 가장 주목할만한 변경 사항으로는 새로운 quotactl_fd() 및 memfd_secret() 시스템 호출, ide 및 원시 드라이버 제거, cgroup을 위한 새로운 I/O 우선 순위 컨트롤러, SCHED_CORE 작업 예약 모드, 검증된 BPF 프로그램 로더 생성을 위한 인프라가 있습니다.

새 버전에는 15883명의 개발자가 수정한 2002개가 포함되어 있으며 패치 크기는 69MB입니다(변경 사항은 12580개 파일에 영향을 미치고 861501줄의 코드가 추가되었으며 321654줄이 삭제되었습니다). 47에 도입된 모든 변경 사항 중 약 5.14%는 장치 드라이버와 관련이 있고, 약 14%는 하드웨어 아키텍처 관련 코드 업데이트와 관련이 있으며, 13%는 네트워킹 스택과 관련이 있고, 3%는 파일 시스템과 관련이 있으며, 3%는 내부 커널 하위 시스템과 관련이 있습니다.

주요 혁신:

• 디스크 하위 시스템, 입력/출력 및 파일 시스템:
  • cgroup의 경우 구현 새로운 I/O 우선 순위 컨트롤러 - rq-qos는 각 cgroup의 구성원이 생성한 블록 장치에 대한 요청의 처리 우선 순위를 제어할 수 있습니다. mq-deadline I/O 스케줄러에 새로운 우선순위 컨트롤러 지원이 추가되었습니다.
  • ext4 파일 시스템에서 구현 새로운 ioctl 명령 EXT4_IOC_CHECKPOINT는 보류 중인 모든 트랜잭션을 로그 및 관련 버퍼에서 디스크로 강제 실행하고 로그인 스토리지에서 사용하는 영역을 덮어씁니다. 이번 변경은 파일 시스템의 정보 유출을 방지하기 위한 조치의 일환으로 준비되었습니다.
  • Btrfs에서 입력 성능 최적화: fsync 실행 중 확장 속성의 불필요한 로깅을 제거함으로써 확장 속성을 사용하는 집약적인 작업의 성능이 최대 17% 향상되었습니다. 또한 익스텐트에 영향을 주지 않는 트림 작업을 수행할 때 전체 동기화가 비활성화되어 작업 시간이 12% 단축되었습니다. FS를 확인할 때 I/O 대역폭을 제한하는 설정이 sysfs에 추가되었습니다. 장치 작업 크기 조정 및 삭제를 취소하기 위한 ioctl 호출이 추가되었습니다.
  • XFS에서 재 작업 배치 모드에서 메모리 페이지 할당으로 전송되는 버퍼 캐시 구현. 향상된 캐시 효율성;
  • F2FS는 읽기 전용 모드로 작동하는 옵션을 추가하고 압축된 블록 캐싱 모드(compress_cache)를 구현하여 임의 읽기 성능을 향상시켰습니다. mmap() 작업을 사용하여 메모리에 매핑된 파일을 압축하기 위한 지원이 구현되었습니다. 마스크를 통한 파일 압축을 선택적으로 비활성화하기 위해 새로운 마운트 옵션 nocompress가 제안되었습니다.
  • 일부 디지털 카메라의 스토리지와의 호환성을 향상시키기 위해 exFAT 드라이버에서 작업이 수행되었습니다.
  • 추가된 시스템 호출 quotactl_fd(), 특수 장치 파일을 통하지 않고 할당량이 적용되는 파일 시스템과 연관된 파일 설명자를 지정하여 할당량을 관리할 수 있습니다.
  • IDE 인터페이스가 있는 블록 장치용 이전 드라이버는 커널에서 제거되었으며 오랫동안 libata 하위 시스템으로 대체되었습니다. 이전 장치에 대한 지원은 완전히 유지되었으며, 변경 사항은 /dev/sd*가 아닌 /dev/hd*라고 불리는 드라이브를 사용할 때 이전 드라이버를 사용하는 기능에만 관련됩니다.
  • "raw" 드라이버가 커널에서 제거되어 /dev/raw 인터페이스를 통해 블록 장치에 대한 버퍼링되지 않은 액세스를 제공합니다. 이 기능은 오랫동안 O_DIRECT 플래그를 사용하는 애플리케이션에서 구현되었습니다.
• 메모리 및 시스템 서비스:
  • 작업 스케줄러에 새로운 스케줄링 모드가 구현되었습니다. SCHED_CORE, 동일한 CPU 코어에서 어떤 프로세스가 함께 실행될 수 있는지 제어할 수 있습니다. 각 프로세스에는 프로세스 간의 신뢰 범위(예: 동일한 사용자 또는 컨테이너에 속함)를 정의하는 쿠키 식별자가 할당될 수 있습니다. 코드 실행을 구성할 때 스케줄러는 하나의 CPU 코어가 동일한 소유자와 연결된 프로세스 간에만 공유되도록 할 수 있습니다. 이는 신뢰할 수 있는 작업과 신뢰할 수 없는 작업이 동일한 SMT(하이퍼 스레딩) 스레드에서 실행되는 것을 방지하여 일부 Spectre 공격을 차단하는 데 사용할 수 있습니다. ;
  • cgroup 메커니즘의 경우, 가상 파일 cgroup.kill에 "1"을 써서 그룹과 관련된 모든 프로세스를 한 번에 종료(SIGKILL 전송)할 수 있는 종료 작업 지원이 구현되었습니다.
  • 원자적 명령을 실행할 때 데이터가 두 개의 CPU 캐시 라인을 통과한다는 사실로 인해 메모리에서 정렬되지 않은 데이터에 액세스할 때 발생하는 분할 잠금("분할 잠금") 감지에 대한 응답과 관련된 기능이 확장되었습니다. 이러한 차단은 성능 저하로 이어지므로 이전에는 차단을 유발한 애플리케이션을 강제 종료하는 것이 가능했습니다. 새 릴리스에는 커널 명령줄 매개변수 "split_lock_Detect=ratelimit:N"이 추가되어 초당 잠금 작업 속도에 대한 시스템 전체 제한을 정의할 수 있습니다. 종료하는 대신 20ms 동안 강제로 중지해야 합니다.
  • 각 cgroup에 얼마나 많은 프로세서 시간을 할당할 수 있는지 결정하는 cgroup 대역폭 컨트롤러 CFS(CFS 대역폭 컨트롤러)에는 지정된 작업 기간으로 제한되는 제한을 정의하는 기능이 있어 지연 시간에 민감한 로드를 더 잘 조절할 수 있습니다. 예를 들어, cpu.cfs_quota_us를 50000으로 설정하고 cpu.cfs_기간_us를 100000으로 설정하면 프로세스 그룹이 100ms마다 50ms의 CPU 시간을 낭비할 수 있습니다.
  • 추가 신뢰할 수 있는 디지털 키로 서명된 BPF 프로그램만 다운로드할 수 있도록 하는 BPF 프로그램 로더 생성을 위한 초기 인프라
  • 단조 타이머를 사용하여 시간 제한을 계산하는 새로운 futex 작업 FUTEX_LOCK_PI2를 추가했습니다. 이는 시스템이 절전 모드에서 소비한 시간을 고려합니다.
  • RISC-V 아키텍처의 경우 대용량 메모리 페이지(Transparent Huge-Pages) 지원 및 K펜스 메모리 작업 시 오류를 식별합니다.
  • 프로세스 메모리 관리를 최적화하는 수단을 제공하는 madvise() 시스템 호출에 추가 MADV_POPULATE_READ 및 MADV_POPULATE_WRITE 플래그는 실제 읽기 또는 쓰기를 수행하지 않고 읽기 또는 쓰기 작업을 위해 매핑된 모든 메모리 페이지에서 "페이지 폴트"를 생성합니다(기본값). 플래그를 사용하면 실제 액세스를 기다리지 않고 할당되지 않은 모든 페이지에 대해 "페이지 오류" 처리기를 한 번에 사전 실행하므로 프로그램 실행 지연을 줄이는 데 유용할 수 있습니다.
  • 단위 테스트 시스템에서 쿠니트 추가 QEMU 환경에서 테스트 실행 지원
  • 새로운 추적자가 추가되었습니다: "삼투 소음"인터럽트 처리로 인한 애플리케이션 지연을 추적하고 "timelat"을 사용하여 타이머 신호에서 깨어날 때 지연에 대한 자세한 정보를 표시합니다.
• 가상화 및 보안:
  • 추가 시스템 호출 memfd_secret(), 소유자 프로세스에만 표시되고 다른 프로세스에는 반영되지 않으며 커널에 직접 액세스할 수 없는 격리된 주소 공간에 개인 메모리 영역을 생성할 수 있습니다.
  • seccomp 시스템 호출 필터링 시스템에서 잠금 핸들러를 사용자 공간으로 이동할 때 단일 원자 연산을 사용하여 격리된 작업에 대한 파일 설명자를 생성하고 시스템 호출을 처리할 때 이를 반환하는 것이 가능합니다. 제안된 작업으로 해결 문제 신호가 도착하면 사용자 공간에서 핸들러가 중단됩니다.
  • 추가 새로운 메커니즘 개별 rlimit 카운터를 "사용자 네임스페이스"의 사용자에 바인딩하는 사용자 ID 네임스페이스의 리소스 제한을 관리합니다. 이 변경 사항은 한 사용자가 다른 컨테이너에서 프로세스를 실행할 때 공통 리소스 카운터 사용과 관련된 문제를 해결합니다.
  • ARM64 시스템용 KVM 하이퍼바이저는 게스트 시스템에서 MTE(MemTag, Memory Tagged Extension) 확장을 사용하는 기능을 추가했습니다. 이를 통해 각 메모리 할당 작업에 태그를 바인딩하고 포인터의 올바른 사용을 검사하여 악용을 차단할 수 있습니다. 이미 해제된 메모리 블록 액세스, 버퍼 오버플로, 초기화 전 액세스 및 현재 컨텍스트 외부 사용으로 인해 발생하는 취약점
  • 이제 ARM64 플랫폼에서 제공하는 포인터 인증을 커널 및 사용자 공간에 대해 별도로 구성할 수 있습니다. 이 기술을 사용하면 특수 ARM64 명령어를 사용하여 포인터 자체의 사용되지 않은 상위 ​​비트에 저장된 디지털 서명을 사용하여 반환 주소를 확인할 수 있습니다.
  • 사용자 모드 Linux에서 추가 PCI-over-virtio 드라이버에 의해 구현되는 가상 PCI 버스가 있는 PCI 장치용 드라이버 사용 지원
  • x86 시스템의 경우 메모리 페이지 테이블을 에뮬레이션하지 않고 virtio 전송을 통해 ATTACH, DETACH, MAP 및 UNMAP과 같은 IOMMU 요청을 보낼 수 있는 virtio-iommu 반가상화 장치에 대한 지원이 추가되었습니다.
  • Skylake 제품군부터 Coffee Lake까지 Intel CPU의 경우 불필요한 동기화 작업을 동적으로 제거하여 멀티 스레드 애플리케이션의 성능을 향상시키는 도구를 제공하는 Intel TSX(TransactionalSynchronization Extensions) 사용이 기본적으로 비활성화되어 있습니다. 공격 가능성으로 인해 확장 프로그램이 비활성화되었습니다. 좀비로드, 비동기 작업 중단(TAA, TSX Asynchronous Abort) 메커니즘 작동 중에 발생하는 제XNUMX자 채널을 통한 정보 유출을 조작합니다.
• 네트워크 하위 시스템:
  • MPTCP(MultiPath TCP)의 핵심으로의 지속적인 통합은 서로 다른 IP 주소와 연결된 서로 다른 네트워크 인터페이스를 통해 여러 경로를 따라 동시에 패킷을 전달하는 TCP 연결 작업을 구성하기 위한 TCP 프로토콜의 확장입니다. 새로운 문제에서는 추가 IPv4 및 IPv6(다중 경로 해시 정책)에 대한 자체 트래픽 해싱 정책을 설정하는 메커니즘으로, 경로 선택을 결정하는 해시를 계산할 때 캡슐화된 필드를 포함하여 패킷의 어떤 필드를 사용할지 사용자 공간에서 결정할 수 있습니다. 패킷의 경우;
  • 가상 전송 virtio에 소켓 지원이 추가되었습니다. SOCK_SEQPACKET (데이터그램의 질서 있고 안정적인 전송)
  • SO_REUSEPORT 소켓 메커니즘의 기능이 확장되어 여러 청취 소켓이 한 번에 하나의 포트에 연결되어 SO_REUSEPORT를 통해 연결된 모든 소켓에 들어오는 요청을 동시에 배포하여 연결을 수신할 수 있습니다. 이는 다중 스레드 서버 애플리케이션 생성을 단순화합니다. . 새 버전에서는 추가 처음 선택된 소켓의 요청 처리 시 오류가 발생한 경우 다른 소켓으로 제어권을 전달하는 수단(서비스를 다시 시작할 때 개별 연결이 끊어지는 문제를 해결함)
• 장비:
  • amdgpu 드라이버에서 구현 코드명 "Beige Goby"(Navi 6000) 및 "Yellow Carp"인 새로운 AMD Radeon RX 24 GPU 시리즈를 지원하고 Aldebaran GPU(gfx90a) 및 Van Gogh APU에 대한 향상된 지원을 제공합니다. 여러 eDP 패널을 동시에 작업할 수 있는 기능이 추가되었습니다. APU Renoir의 경우 비디오 메모리(TMZ, Trusted Memory Zone)의 암호화된 버퍼 작업에 대한 지원이 구현되었습니다. 핫 언플러그 그래픽 카드에 대한 지원이 추가되었습니다. Radeon RX 6000(Navi 2x) GPU 및 이전 AMD GPU의 경우 이전에는 Navi 1x, Vega 및 Polaris GPU에서만 활성화되었던 ASPM(Active State Power Management) 절전 메커니즘 지원이 기본적으로 활성화됩니다.
  • AMD 칩의 경우 HMM(이기종 메모리 관리) 하위 시스템을 기반으로 공유 가상 메모리(SVM, 공유 가상 메모리)에 대한 지원이 추가되어 자체 메모리 관리 장치(MMU, 메모리 관리 장치)가 있는 장치를 사용할 수 있습니다. 메인 메모리에 접근할 수 있는 것입니다. HMM 사용을 포함하여 GPU와 CPU 사이의 공유 주소 공간을 구성할 수 있으며, 여기서 GPU는 프로세스의 기본 메모리에 액세스할 수 있습니다.
  • 초기 기술 지원 추가 AMD 스마트 시프트는 게임, 비디오 편집 및 3D 렌더링 시 성능을 높이기 위해 칩셋 및 AMD 그래픽 카드가 장착된 노트북에서 CPU 및 GPU의 전력 소비 매개변수를 동적으로 변경합니다.
  • Intel 비디오 카드용 i915 드라이버 포함 된 Intel Alderlake P 칩 지원;
  • Hyper-V 가상 그래픽 어댑터용 drm/hyperv 드라이버가 추가되었습니다.
  • 추가 출력을 위해 UEFI 펌웨어 또는 BIOS에서 제공하는 EFI-GOP 또는 VESA 프레임 버퍼를 사용하는 simpledrm 그래픽 드라이버입니다. 드라이버의 주요 목적은 전체 DRM 드라이버를 사용하기 전 부팅 초기 단계에서 그래픽 출력 기능을 제공하는 것입니다. 이 드라이버는 아직 기본 DRM 드라이버가 없는 장비에 대한 임시 솔루션으로 사용될 수도 있습니다.
  • 추가 올인원 컴퓨터 지원 라즈베리 파이 400;
  • Dell 노트북에 포함된 카메라 및 마이크 하드웨어 스위치를 지원하기 위해 dell-wmi-privacy 드라이버가 추가되었습니다.
  • 레노버 노트북의 경우 추가 sysfs /sys/class/firmware-attributes/를 통해 BIOS 매개변수를 변경하기 위한 WMI 인터페이스;
  • 퍼지는 USB4 인터페이스를 갖춘 장치 지원;
  • 추가 사운드 카드 및 코덱 AmLogic SM1 TOACODEC, Intel AlderLake-M, NXP i.MX8, NXP TFA1, TDF9897, Rockchip RK817, Qualcomm Quinary MI2 및 Texas Instruments TAS2505를 지원합니다. HP 및 ASUS 노트북의 오디오 지원이 향상되었습니다. 추가됨 USB 인터페이스가 있는 장치에서 오디오 재생이 시작되기 전의 지연을 줄이기 위한 패치입니다.

출처 – opennet.ru.

출처 : linux.org.ru