{"id":99149,"date":"2021-02-16T16:22:46","date_gmt":"2021-02-16T14:22:46","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/reliz-yadra-linux-5-11"},"modified":"2021-02-16T16:22:46","modified_gmt":"2021-02-16T14:22:46","slug":"reliz-yadra-linux-5-11","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pt\/blog\/news\/reliz-yadra-linux-5-11","title":{"rendered":"Lan\u00e7amento do kernel Linux 5.11","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Ap\u00f3s dois meses de desenvolvimento, Linus Torvalds apresentou o lan\u00e7amento do kernel Linux 5.11. Entre as mudan\u00e7as mais not\u00e1veis: suporte a enclaves Intel SGX, um novo mecanismo de intercepta\u00e7\u00e3o de chamadas de sistema, um barramento virtual auxiliar, proibi\u00e7\u00e3o de compila\u00e7\u00e3o de m\u00f3dulos sem MODULE_LICENSE(), modo de filtragem r\u00e1pida de chamadas de sistema em seccomp, descontinua\u00e7\u00e3o do suporte \u00e0 arquitetura ia64, transfer\u00eancia da tecnologia WiMAX para a branch «staging», e a possibilidade de encapsulamento do SCTP em UDP. <\/p>\n
A nova vers\u00e3o incorpora 15.480 corre\u00e7\u00f5es de 1.991 desenvolvedores, com o tamanho do patch sendo de 72 MB (as mudan\u00e7as afetaram 12.090 arquivos, adicionando 868.025 linhas de c\u00f3digo e removendo 261.456 linhas). Cerca de 46% de todas as altera\u00e7\u00f5es apresentadas no 5.11 est\u00e3o relacionadas a drivers de dispositivos, aproximadamente 16% dizem respeito \u00e0 atualiza\u00e7\u00e3o de c\u00f3digo espec\u00edfico de arquiteturas de hardware, 13% est\u00e3o ligados \u00e0 pilha de rede, 3% a sistemas de arquivos, e 4% a subsistemas internos do kernel. <\/p>\n
Principais novidades: <\/p>\n
\n
Subsistema de disco, entrada\/sa\u00edda e sistemas de arquivos<\/b>\n
\n
No Btrfs, foram adicionadas v\u00e1rias op\u00e7\u00f5es de montagem para serem utilizadas na recupera\u00e7\u00e3o de dados de sistemas de arquivos danificados: «rescue=ignorebadroots» para montagem apesar dos danos em algumas \u00e1rvores raiz (extent, uuid, data reloc, device, csum, free space), «rescue=ignoredatacsums» para desativar a verifica\u00e7\u00e3o de somas de verifica\u00e7\u00e3o para dados, e «rescue=all» para ativar simultaneamente os modos ‘ignorebadroots’, ‘ignoredatacsums’ e ‘nologreplay’. O suporte \u00e0 op\u00e7\u00e3o de montagem «inode_cache» foi descontinuado, a qual j\u00e1 havia sido declarada obsoleta. O c\u00f3digo foi preparado para implementar suporte a blocos com metadados e dados menores que uma p\u00e1gina (PAGE_SIZE), assim como suporte ao modo de aloca\u00e7\u00e3o zonada. Requisi\u00e7\u00f5es n\u00e3o bufferizadas (Direct IO) foram migradas para a infraestrutura iomap. O desempenho de v\u00e1rias opera\u00e7\u00f5es foi otimizado, com acelera\u00e7\u00e3o que pode atingir dezenas de por cento em alguns casos.\n
No XFS, foi implementada a flag «needsrepair», que sinaliza a necessidade de recupera\u00e7\u00e3o. Ao ativar essa flag, o sistema de arquivos n\u00e3o pode ser montado at\u00e9 que a flag seja resetada pela ferramenta xfs_repair.\n
No Ext4, apenas corre\u00e7\u00f5es de bugs e otimiza\u00e7\u00f5es foram propostas, al\u00e9m de uma limpeza de c\u00f3digo.\n
O reexporta\u00e7\u00e3o de sistemas de arquivos montados sobre NFS foi permitido (ou seja, uma parti\u00e7\u00e3o montada via NFS agora pode ser reexportada via NFS e usada como um cache intermedi\u00e1rio).\n
Na chamada de sistema close_range(), que permite que um processo feche um intervalo inteiro de descritores de arquivos abertos de uma s\u00f3 vez, foi adicionada a op\u00e7\u00e3o CLOSE_RANGE_CLOEXEC para fechar descritores no modo close-on-exec.\n
No sistema de arquivos F2FS, foram adicionadas novas chamadas ioctl() que permitem ao espa\u00e7o do usu\u00e1rio gerenciar quais arquivos s\u00e3o armazenados de forma compactada. Uma op\u00e7\u00e3o de montagem \"compress_mode=\" foi inclu\u00edda para escolher a localiza\u00e7\u00e3o do manipulador de compress\u00e3o, seja no lado do kernel ou no espa\u00e7o do usu\u00e1rio.\n
Foi possibilitada a montagem do Overlayfs por processos n\u00e3o privilegiados, utilizando um espa\u00e7o separado de identificadores de usu\u00e1rios (user namespace). Para verificar a conformidade com o modelo de seguran\u00e7a, foi realizada uma auditoria completa do c\u00f3digo. O Overlayfs tamb\u00e9m ganhou a capacidade de ser executado utilizando c\u00f3pias de imagens de sistema de arquivos, atrav\u00e9s da op\u00e7\u00e3o de desativar a verifica\u00e7\u00e3o de UUID.\n
O sistema de arquivos Ceph agora suporta o protocolo msgr2.1, permitindo a aplica\u00e7\u00e3o do algoritmo AES-GCM para transmiss\u00e3o de dados de forma criptografada.\n
No m\u00f3dulo dm-multipath, foi implementada a possibilidade de considerar a afinidade de CPU (\"IO affinity\") ao escolher a rota de solicita\u00e7\u00f5es de entrada\/sa\u00edda. <\/ul>\n
Mem\u00f3ria e servi\u00e7os do sistema<\/b>\n
\n
Foi adicionado um novo mecanismo de intercepta\u00e7\u00e3o de chamadas de sistema, baseado em prctl(), que permite gerar exce\u00e7\u00f5es a partir do espa\u00e7o do usu\u00e1rio ao acessar uma chamada de sistema espec\u00edfica e emular sua execu\u00e7\u00e3o. Essa funcionalidade \u00e9 requisitada no Wine e Proton para emula\u00e7\u00e3o de chamadas de sistema do Windows, o que \u00e9 necess\u00e1rio para garantir compatibilidade com jogos e programas que executam diretamente chamadas de sistema, evitando o uso n\u00e3o autorizado.\n
Na chamada de sistema userfaultfd(), destinada ao tratamento de page faults (acesso a p\u00e1ginas de mem\u00f3ria n\u00e3o alocadas) no espa\u00e7o do usu\u00e1rio, agora \u00e9 poss\u00edvel desativar o tratamento de exce\u00e7\u00f5es que ocorrem no n\u00edvel do n\u00facleo, dificultando a explora\u00e7\u00e3o de algumas vulnerabilidades.\n
Na subsistema BPF, foi adicionada a suporte a armazenamento de dados local \u00e0 tarefa (task-local storage), que proporciona a vincula\u00e7\u00e3o de dados a um manipulador BPF espec\u00edfico.\n
O gerenciamento do consumo de mem\u00f3ria por programas BPF foi completamente reformulado \u2014 para controlar o uso de mem\u00f3ria em objetos BPF, em vez de memlock rlimit, foi proposto um controlador cgroup.\n
No mecanismo BTF (BPF Type Format), que fornece informa\u00e7\u00f5es para verifica\u00e7\u00e3o de tipos no pseudoc\u00f3digo BPF, foi implementado suporte para m\u00f3dulos do kernel.\n
O interface de entrada\/sa\u00edda ass\u00edncrona io_uring agora suporta chamadas de sistema shutdown(), renameat2() e unlinkat(). Ao chamar io_uring_enter(), foi adicionada a op\u00e7\u00e3o de especificar um tempo limite (\u00e9 poss\u00edvel verificar o suporte ao argumento para especificar o tempo limite usando a flag IORING_FEAT_EXT_ARG).\n
A arquitetura ia64, utilizada nos processadores Intel Itanium, foi classificada como sem suporte (\"orphaned\"), o que implica na interrup\u00e7\u00e3o dos testes. A Hewlett Packard Enterprise parou de aceitar pedidos para novos equipamentos Itanium, enquanto a Intel j\u00e1 havia feito isso no ano passado.\n
O suporte a sistemas baseados na arquitetura MicroBlaze, sem um bloco de gerenciamento de mem\u00f3ria (MMU), foi encerrado. Esses sistemas h\u00e1 muito n\u00e3o s\u00e3o encontrados no cotidiano.\n
Para a arquitetura MIPS, foi adicionado suporte para teste de cobertura de c\u00f3digo (coverage testing) atrav\u00e9s da ferramenta gcov.\n
Foi adicionado suporte para o barramento virtual auxiliar para interagir com dispositivos multifuncionais que combinam funcionalidades que exigem drivers diferentes (por exemplo, placas de rede com suporte a Ethernet e RDMA). O barramento pode ser usado para atribuir drivers prim\u00e1rio e secund\u00e1rio ao dispositivo, em situa\u00e7\u00f5es onde o uso do subsistema MFD (Multi-Function Devices) \u00e9 problem\u00e1tico.\n
Para a arquitetura RISC-V, foi adicionado suporte ao sistema de aloca\u00e7\u00e3o de mem\u00f3ria CMA (Contiguous Memory Allocator), que \u00e9 otimizado para alocar grandes \u00e1reas cont\u00ednuas de mem\u00f3ria utilizando a t\u00e9cnica de movimenta\u00e7\u00e3o de p\u00e1ginas de mem\u00f3ria. Para RISC-V, tamb\u00e9m foram implementados recursos de restri\u00e7\u00e3o de acesso ao \/dev\/mem e contabiliza\u00e7\u00e3o do tempo de processamento de interrup\u00e7\u00f5es.\n
Para sistemas ARM de 32 bits, foi adicionado suporte \u00e0 ferramenta de depura\u00e7\u00e3o KASan (Kernel Address Sanitizer), que garante a detec\u00e7\u00e3o de erros ao trabalhar com mem\u00f3ria. Para ARM de 64 bits, a implementa\u00e7\u00e3o do KASan foi adaptada para utilizar tags MTE (MemTag).\n
Foi adicionado o syscall epoll_pwait2(), que permite o uso de tempos limite com precis\u00e3o em nanossegundos (a chamada epoll_wait manipula em milissegundos).\n
No sistema de compila\u00e7\u00e3o, \u00e9 gerada uma mensagem de erro ao tentar compilar m\u00f3dulos do kernel carregados nos quais a licen\u00e7a do c\u00f3digo n\u00e3o est\u00e1 definida usando o macro MODULE_LICENSE(). Al\u00e9m disso, o uso do macro EXPORT_SYMBOL() para fun\u00e7\u00f5es est\u00e1ticas tamb\u00e9m causar\u00e1 erro durante a compila\u00e7\u00e3o.\n
Suporte foi adicionado para mapeamento de objetos GEM da mem\u00f3ria utilizada para entrada\/sa\u00edda, acelerando o trabalho com o framebuffer em algumas arquiteturas.\n
O suporte ao Qt4 foi descontinuado no Kconfig (o suporte ao Qt5, GTK e Ncurses foi mantido). <\/ul>\n
Virtualiza\u00e7\u00e3o e seguran\u00e7a<\/b>\n
\n
O sistema de chamadas seccomp() agora inclui suporte para um modo de resposta r\u00e1pida, que permite determinar de forma muito r\u00e1pida se uma chamada de sistema \u00e9 permitida ou proibida com base em uma tabela de permiss\u00f5es (bitmap de a\u00e7\u00e3o constante) anexada ao processo, sem requerer a execu\u00e7\u00e3o de um manipulador BPF.\n
Foram integrados componentes do kernel para cria\u00e7\u00e3o e gerenciamento de enclaves baseados na tecnologia Intel SGX (Software Guard eXtensions), permitindo que aplicativos executem c\u00f3digo em \u00e1reas de mem\u00f3ria criptografadas e isoladas, com acesso da restante do sistema limitado.\n
Como parte da iniciativa para restringir o acesso de espa\u00e7os de usu\u00e1rio aos registros MSR (model-specific register), a grava\u00e7\u00e3o no registro MSR_IA32_ENERGY_PERF_BIAS foi proibida, o qual permite alterar o modo de efici\u00eancia energ\u00e9tica do processador (\"normal\", \"performance\", \"powersave\").\n
Da ramifica\u00e7\u00e3o kernel-rt para sistemas de tempo real, foi transferida a capacidade de desativar a migra\u00e7\u00e3o de tarefas de alta prioridade entre CPUs.\n
Para sistemas ARM64, foi adicionada a capacidade de aplicar tags MTE (MemTag, Memory Tagging Extension) para endere\u00e7os de mem\u00f3ria dos manipuladores de sinais. O uso do MTE \u00e9 ativado especificando a op\u00e7\u00e3o SA_EXPOSE_TAGBITS em sigaction() e permite organizar a verifica\u00e7\u00e3o da corre\u00e7\u00e3o do uso de ponteiros para bloquear a explora\u00e7\u00e3o de vulnerabilidades causadas pelo acesso a blocos de mem\u00f3ria j\u00e1 liberados, estouros de buffer, acessos antes da inicializa\u00e7\u00e3o e uso fora do contexto atual.\n
Foi adicionado o par\u00e2metro \"DM_VERITY_VERIFY_ROOTHASH_SIG_SECONDARY_KEYRING\", que permite ao subsistema dm-verity verificar assinaturas hash de certificados armazenados em um reposit\u00f3rio de chaves secund\u00e1rio (keyring). Na pr\u00e1tica, essa configura\u00e7\u00e3o permite verificar n\u00e3o apenas certificados integrados ao n\u00facleo, mas tamb\u00e9m certificados carregados durante a execu\u00e7\u00e3o, possibilitando a atualiza\u00e7\u00e3o de certificados sem a necessidade de atualizar todo o n\u00facleo.\n
O User-mode Linux ganhou suporte ao modo suspend-to-idle, permitindo congelar o ambiente e utilizar o sinal SIGUSR1 para sair do modo de espera.\n
No mecanismo virtio-mem, que permite a conex\u00e3o e desconex\u00e3o de mem\u00f3ria em tempo real para m\u00e1quinas virtuais, foi adicionado suporte ao modo de bloco grande (BBM, Big Block Mode), possibilitando a transfer\u00eancia ou retirada de mem\u00f3ria em blocos que superam o tamanho do bloco de mem\u00f3ria do n\u00facleo, necess\u00e1rio para otimiza\u00e7\u00e3o do VFIO no QEMU.\n
Na implementa\u00e7\u00e3o de TLS em n\u00edvel de n\u00facleo, foi adicionado suporte ao cipher CHACHA20-POLY1305. <\/ul>\n
Subsistema de Rede<\/b>\n
\n
Para 802.1Q (VLAN), foi implementado o mecanismo de gerenciamento de falhas de conectividade (CFM, Connectivity Fault Management), permitindo a detec\u00e7\u00e3o, verifica\u00e7\u00e3o e isolamento de falhas em redes com pontes virtuais (Virtual Bridged Networks). Por exemplo, o CFM pode ser usado para localizar problemas em redes que abrangem v\u00e1rias organiza\u00e7\u00f5es independentes, cujos funcion\u00e1rios t\u00eam acesso apenas ao seu pr\u00f3prio equipamento.\n
Adicionado suporte para encapsulamento de pacotes do protocolo SCTP em pacotes UDP (RFC 6951), permitindo o uso de SCTP em redes com tradutores de endere\u00e7os antigos que n\u00e3o suportam SCTP diretamente, al\u00e9m de implementar SCTP em sistemas que n\u00e3o fornecem acesso direto ao n\u00edvel IP.\n
A implementa\u00e7\u00e3o da tecnologia WiMAX foi movida para staging e est\u00e1 agendada para remo\u00e7\u00e3o no futuro, a menos que haja usu\u00e1rios que necessitem do WiMAX. O WiMAX j\u00e1 n\u00e3o \u00e9 utilizado em redes p\u00fablicas e, no n\u00facleo, o \u00fanico driver que pode ser usado com WiMAX \u00e9 o driver obsoleto Intel 2400m. No configurador de rede NetworkManager, o suporte ao WiMAX foi interrompido em 2015. Atualmente, o WiMAX foi praticamente totalmente substitu\u00eddo por tecnologias como LTE, HSPA+ e Wi-Fi 802.11n.\n
Trabalhos foram realizados para otimizar o desempenho no processamento de tr\u00e1fego TCP de entrada no modo zerocopy, ou seja, sem c\u00f3pias adicionais em novos buffers. Para tr\u00e1fego de tamanho m\u00e9dio, abrangendo dezenas ou v\u00e1rias centenas de kilobytes de dados, a aplica\u00e7\u00e3o do zerocopy em vez de recvmsg() \u00e9 significativamente mais eficiente. Por exemplo, as mudan\u00e7as implementadas aumentaram a efici\u00eancia do processamento de tr\u00e1fego estilo RPC com mensagens de 32 KB utilizando zerocopy em 60-70%.\n
Adicionados novos chamados ioctl() para criar pontes de rede que abrangem v\u00e1rios canais PPP. A funcionalidade proposta permite que os quadros se movam de um canal para outro, como de PPPoE para uma sess\u00e3o PPPoL2TP.\n
Continuada a integra\u00e7\u00e3o no n\u00facleo do MPTCP (MultiPath TCP), uma extens\u00e3o do protocolo TCP para organizar o funcionamento de uma conex\u00e3o TCP com entrega de pacotes simultaneamente por v\u00e1rios caminhos atrav\u00e9s de diferentes interfaces de rede, ligadas a diferentes endere\u00e7os IP. A nova vers\u00e3o implementou o suporte \u00e0 op\u00e7\u00e3o ADD_ADDR para anunciar os endere\u00e7os IP<\/a> que podem ser conectados ao adicionar novos fluxos a uma conex\u00e3o existente do MPTCP.\n