{"id":99149,"date":"2021-02-16T16:22:46","date_gmt":"2021-02-16T14:22:46","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/reliz-yadra-linux-5-11"},"modified":"2021-02-16T16:22:46","modified_gmt":"2021-02-16T14:22:46","slug":"reliz-yadra-linux-5-11","status":"publish","type":"post","link":"https:\/\/prohoster.info\/nl\/blog\/news\/reliz-yadra-linux-5-11","title":{"rendered":"Release van de Linux-kernel 5.11","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Na twee maanden ontwikkeling heeft Linus Torvalds de release van de Linux-kernel 5.11 gepresenteerd. Enkele van de meest opvallende wijzigingen zijn: ondersteuning voor Intel SGX-enclaves, een nieuw mechanisme voor het onderscheppen van systeemaanroepen, een virtuele auxiliary-bus, het verbod op het bouwen van modules zonder MODULE_LICENSE(), een modus voor snelle filtering van systeemaanroepen in seccomp, de be\u00ebindiging van de ondersteuning voor de ia64-architectuur, de verhuizing van de WiMAX-technologie naar de 'staging'-branch en de mogelijkheid om SCTP in UDP in te kapselen. <\/p>\n
In de nieuwe versie zijn 15.480 correcties door 1.991 ontwikkelaars opgenomen, de patchgrootte is 72 MB (de wijzigingen hebben invloed gehad op 12.090 bestanden, 868.025 regels code zijn toegevoegd en 261.456 regels zijn verwijderd). Ongeveer 46% van alle wijzigingen in 5.11 zijn gerelateerd aan apparaatstuurprogramma's, ongeveer 16% van de wijzigingen heeft betrekking op het bijwerken van hardware-specifieke code, 13% is gerelateerd aan de netwerstack, 3% aan bestandssystemen en 4% aan interne subsystemen van de kernel. <\/p>\n
Belangrijkste vernieuwingen: <\/p>\n
\n
Opslagsubsystemen, invoer\/uitvoer en bestandssystemen<\/b>\n
\n
In Btrfs zijn verschillende mountopties toegevoegd voor gebruik bij het herstellen van gegevens van een beschadigd bestandssysteem: 'rescue=ignorebadroots' om te mounten ondanks schade aan sommige rootbomen (extent, uuid, data reloc, device, csum, vrije ruimte), 'rescue=ignoredatacsums' om controle van checksums voor gegevens uit te schakelen en 'rescue=all' om gelijktijdig de modi 'ignorebadroots', 'ignoredatacsums' en 'nologreplay' in te schakelen. De ondersteuning voor de mountoptie 'inode_cache' is be\u00ebindigd, die eerder als verouderd was verklaard. De code is voorbereid voor de implementatie van ondersteuning voor blokken met metadata en gegevens, kleiner dan een pagina (PAGE_SIZE), evenals ondersteuning voor de modus van gebufferde plaatstoewijzing. Direct IO-aanvragen zijn overgezet naar de iomap-infrastructuur. De prestaties van verschillende bewerkingen zijn geoptimaliseerd, waarbij de versnelling in sommige gevallen tientallen procenten kan bereiken.\n
In XFS is de vlag 'needsrepair' ge\u00efmplementeerd, die aangeeft dat herstel nodig is. Wanneer deze vlag is ingesteld, kan het bestandssysteem niet worden gemonteerd totdat de vlag door de tool xfs_repair is gereset.\n
In Ext4 zijn alleen bugfixes en optimalisaties voorgesteld, evenals een opschoning van de code.\n
Herhaald exporteren van bestandssystemen die zijn gemonteerd via NFS is toegestaan (d.w.z. een via NFS gemonteerde partitie kan nu weer via NFS worden ge\u00ebxporteerd en worden gebruikt als tussenliggende cache).\n
In de systeemaanroep close_range() is een optie CLOSE_RANGE_CLOEXEC toegevoegd om file descriptors in de close-on-exec modus te sluiten, waardoor een proces in \u00e9\u00e9n keer een volledig bereik van geopende file descriptors kan sluiten.\n
In het F2FS-bestandssysteem zijn nieuwe ioctl()-aanroepen toegevoegd waarmee vanuit de gebruikersruimte kan worden beheerd welke bestanden in gecomprimeerde vorm worden opgeslagen. Er is een montagesoptie \"compress_mode=\" toegevoegd om te kiezen waar de compressiebeheerder wordt geplaatst, aan de kant van de kernel of in de gebruikersruimte.\n
Het is nu mogelijk om Overlayfs te monteren voor niet-geprivilegieerde processen, met gebruik van een aparte gebruikersidentiteit (user namespace). Voor de verificatie van de implementatie van het beveiligingsmodel is er een volledige code-audit uitgevoerd. In Overlayfs is de mogelijkheid toegevoegd om te starten met behulp van kopie\u00ebn van filesystem-images via een optionele uitschakeling van de UUID-controle.\n
In het Ceph-bestandssysteem is ondersteuning voor het msgr2.1-protocol toegevoegd, dat het mogelijk maakt om het AES-GCM-algoritme te gebruiken voor het verzenden van gegevens in versleutelde vorm.\n
In de dm-multipath-module is de mogelijkheid om rekening te houden met CPU-binding (\"IO affinity\") bij het kiezen van routes voor invoer-\/uitvoerverzoeken ge\u00efmplementeerd. <\/ul>\n
Geheugen en systeemdiensten<\/b>\n
\n
Er is een nieuw mechanisme voor het onderscheppen van systeemaanroepen toegevoegd, gebaseerd op prctl(), waarmee vanuit de gebruikersruimte uitzonderingen kunnen worden gegenereerd bij het aanroepen van bepaalde systeemaanroepen, en het uitvoeren ervan kan worden ge\u00ebmitteerd. Deze functionaliteit is gewild in Wine en Proton voor het emuleren van systeemaanroepen van Windows, wat nodig is voor de compatibiliteit met games en programma's die systeemaanroepen direct uitvoeren, om zo ongeoorloofd gebruik te voorkomen.\n
In de systeemaanroep userfaultfd(), bedoeld voor het verwerken van page faults (toegang tot niet-toegewezen geheugensystemen) in de gebruikersruimte, is er nu de mogelijkheid om het verwerken van uitzonderingen, die op kernel-niveau optreden, uit te schakelen, om het misbruiken van bepaalde kwetsbaarheden te bemoeilijken.\n
In het BPF-subsysteem is ondersteuning voor lokale taak-gegevensopslag (task-local storage) toegevoegd, waarmee gegevens aan een specifieke BPF-handler kunnen worden gekoppeld.\n
Het beheer van het geheugenverbruik door BPF-programma's is volledig herwerkt \u2014 in plaats van memlock rlimit is voorgesteld om een cgroup-controller te gebruiken voor het beheren van het geheugenverbruik in BPF-objecten.\n
In het BTF-mechanisme (BPF Type Format), dat informatie biedt voor typecontrole in BPF-pseudocode, is ondersteuning voor kernmodules ge\u00efmplementeerd.\n
In de interface voor asynchrone invoer\/uitvoer io_uring is ondersteuning toegevoegd voor systeemaanroepen shutdown(), renameat2() en unlinkat(). Bij het aanroepen van io_uring_enter() is de mogelijkheid toegevoegd om een time-out op te geven (de ondersteuning van het argument voor het opgeven van de time-out kan worden gecontroleerd met de vlag IORING_FEAT_EXT_ARG).\n
De ia64-architectuur, die wordt toegepast in Intel Itanium-processoren, is in de categorie van ongeondersteunde systemen geplaatst (\"orphaned\"), wat betekent dat het testen is stopgezet. Hewlett Packard Enterprise heeft de acceptatie van bestellingen voor nieuwe Itanium-hardware stopgezet, en Intel deed dit vorig jaar al.\n
De ondersteuning voor systemen op basis van de MicroBlaze-architectuur zonder geheugenbeheerder (MMU) is stopgezet. Dergelijke systemen komen al geruime tijd niet meer voor.\n
Voor de MIPS-architectuur is ondersteuning toegevoegd voor codecoverage-testing met behulp van de tool gcov.\n
Ondersteuning voor de auxiliary bus is toegevoegd om te communiceren met multifunctionele apparaten die functionaliteiten vereisen met verschillende stuurprogramma's (bijvoorbeeld netwerkkaarten met ondersteuning voor Ethernet en RDMA). De bus kan worden gebruikt om een primaire en secundaire stuurprogramma voor een apparaat aan te wijzen wanneer het moeilijk is om het MFD (Multi-Function Devices) subsysteem te gebruiken.\n
Voor de RISC-V-architectuur is ondersteuning toegevoegd voor het CMA (Contiguous Memory Allocator) geheugenverdelingssysteem, dat is geoptimaliseerd voor het toewijzen van grote aaneengeschakelde geheugenblokken met behulp van pagina-verplaatsingstechnieken. Voor RISC-V zijn ook middelen ge\u00efmplementeerd om de toegang tot \/dev\/mem te beperken en om de verwerkingstijd van onderbrekingen bij te houden.\n
Voor 32-bits ARM-systemen is ondersteuning toegevoegd voor de KASan (Kernel Address Sanitizer) debugtool, die helpt bij het detecteren van geheugenfouten. Voor 64-bits ARM is de implementatie van KASan overgeschakeld naar het gebruik van MTE (MemTag) tags.\n
Een systeemaanroep epoll_pwait2() is toegevoegd, waarmee time-outs met nanoseconde-nauwkeurigheid kunnen worden gebruikt (de aanroep epoll_wait manipuleert met milliseconden).\n
In het buildsysteem is een foutmelding toegevoegd bij het bouwen van laadmmodules van de kernel waarbij de licentie voor de code niet is gedefinieerd met behulp van de MODULE_LICENSE()-macro. Een fout tijdens het bouwen zal voortaan ook worden getriggerd door het gebruik van de EXPORT_SYMBOL()-macro voor statische functies.\n
Ondersteuning voor het mappen van GEM-objecten uit geheugen dat is gebruikt voor in- en uitvoer is toegevoegd, wat de werking met de framebuffer op sommige architecturen heeft versneld.\n
In Kconfig is de ondersteuning voor Qt4 be\u00ebindigd (ondersteuning voor Qt5, GTK en Ncurses blijft bestaan). <\/ul>\n
Virtualisatie en beveiliging<\/b>\n
\n
In de systeemaanroep seccomp() is ondersteuning voor een snelle reactiemodus toegevoegd, waarmee zeer snel kan worden bepaald of een bepaalde systeemaanroep is toegestaan of verboden op basis van de bij het proces gekoppelde rechtenlijst (constant-action bitmap), die geen BPF-handler vereist.\n
De kerncomponenten zijn ge\u00efntegreerd voor het cre\u00ebren en beheren van enclaves op basis van Intel SGX (Software Guard eXtensions) technologie, waarmee applicaties code kunnen uitvoeren in ge\u00efsoleerde, versleutelde geheugengebieden, waarvan de toegang voor de rest van het systeem is beperkt.\n
In het kader van het initiatief om toegang vanuit de gebruikersruimte tot MSR-registers (model-specific register) te beperken, is het schrijven naar het register MSR_IA32_ENERGY_PERF_BIAS verboden, waarmee de energie-effici\u00ebntiemodus van de processor kan worden gewijzigd (\"normal\", \"performance\", \"powersave\").\n
Uit de kernel-rt tak voor real-time systemen is de mogelijkheid om migratie van hooggeprioriteerde taken tussen CPU's uit te schakelen overgebracht.\n
Voor ARM64-systemen is de mogelijkheid toegevoegd om MTE-tags (MemTag, Memory Tagging Extension) toe te passen op geheugenadressen van signaalhandlers. Het gebruik van MTE kan worden ingeschakeld door de optie SA_EXPOSE_TAGBITS op te geven in sigaction() en maakt het mogelijk om de juistheid van het gebruik van pointers te controleren om exploitatie van kwetsbaarheden, veroorzaakt door toegang tot al vrijgegeven geheugengebieden, buffer-overflow, toegang v\u00f3\u00f3r initialisatie en gebruik buiten de huidige context, te blokkeren.\n
De parameter \"DM_VERITY_VERIFY_ROOTHASH_SIG_SECONDARY_KEYRING\" is toegevoegd, waarmee de dm-verity-subsystemen hash-handtekeningen van certificaten kunnen verifi\u00ebren die zijn opgeslagen in een secundaire sleutelhanger (keyring). In de praktijk maakt deze configuratie verificatie mogelijk van niet alleen in de kernel ingebouwde certificaten, maar ook van certificaten die tijdens runtime zijn geladen, waardoor certificaten kunnen worden bijgewerkt zonder de hele kernel te hoeven bijwerken.\n
In User-mode Linux is added support for suspend-to-idle mode, allowing the environment to be frozen and the SIGUSR1 signal to be used for waking up from sleep mode.\n
In the virtio-mem mechanism, which enables hot-plugging and unplugging memory to virtual machines, support for Big Block Mode (BBM) has been added, allowing memory to be transferred or retrieved in blocks larger than the kernel's block size, which is necessary for optimizing VFIO in QEMU.\n
Support for the CHACHA20-POLY1305 cipher has been added to the kernel-level implementation of TLS. <\/ul>\n
Netwerk subsysteem<\/b>\n
\n
For 802.1Q (VLAN), a connectivity fault management (CFM) mechanism has been implemented, allowing identification, verification, and isolation of failures in networks with virtual bridges. For example, CFM can be used to localize issues in networks covering multiple independent organizations, whose employees have access only to their own equipment.\n
Support for encapsulating SCTP packets in UDP packets (RFC 6951) has been added, allowing SCTP to be used in networks with legacy address translators that do not directly support SCTP, as well as implementing SCTP on systems that do not provide direct access to the IP layer.\n
The WiMAX technology has been moved to staging and is planned for removal unless users who need WiMAX can be found. WiMAX is no longer used in public networks, and the only driver available in the kernel to use WiMAX remains the outdated Intel 2400m driver. Support for WiMAX in the NetworkManager network configurator was discontinued in 2015. Currently, WiMAX has been almost completely replaced by technologies such as LTE, HSPA+, and Wi-Fi 802.11n.\n
Work has been done to optimize the performance of incoming TCP traffic processing in zerocopy mode, i.e., without additional copying into new buffers. For medium-sized traffic covering tens or several hundred kilobytes of data, using zerocopy instead of recvmsg() has proven to be significantly more efficient. For example, the implemented changes allowed an increase in the efficiency of processing RPC-style traffic with 32 KB messages by 60-70% when using zerocopy.\n
Er zijn nieuwe ioctl()-oproepen toegevoegd voor het cre\u00ebren van netwerkmappen die meerdere PPP-kanalen omvatten. De voorgestelde functionaliteit maakt het mogelijk om frames van het ene kanaal naar het andere te verplaatsen, bijvoorbeeld van PPPoE naar een PPPoL2TP-sessie.\n
De integratie met de MPTCP-kernel (MultiPath TCP) is voortgezet, een uitbreiding van het TCP-protocol voor het mogelijk maken van TCP-verbindingen waarbij pakketten gelijktijdig via meerdere routes over verschillende netwerkinterfaces met verschillende IP-adressen worden verzonden. In deze nieuwe release is ondersteuning voor de ADD_ADDR-optie ge\u00efmplementeerd om beschikbare verbindingen aan te kondigen. IP-adressen<\/a> waarmee verbinding kan worden gemaakt bij het toevoegen van nieuwe stromen aan een bestaande MPTCP-verbinding.\n