Release av Linux-kärna 5.14

Efter två månaders utveckling presenterade Linus Torvalds release av Linux-kärna 5.14. Bland de mest anmärkningsvärda förändringarna finns: nya systemanrop quotactl_fd() och memfd_secret(), borttagning av ide och raw-drivrutiner, en ny prioritetskontroller för I/O för cgroup, schemaläggningsläge SCHED_CORE, och infrastruktur för att skapa laddare av verifierade BPF-program.

Den nya versionen innehåller 15883 korrigeringar från 2002 utvecklare, patchstorleken är 69 MB (ändringarna berör 12580 filer, 861501 kodrader har lagts till och 321654 kodrader har tagits bort). Cirka 47% av alla förändringar i 5.14 är relaterade till enhetsdrivrutiner, ungefär 14% av förändringarna gäller uppdatering av kod som är specifik för hårdvaruarkitekturer, 13% är relaterade till nätverksstacken, 3% till filsystem och 3% till interna subsystem i kärnan.

Huvudsakliga nyheter:

• Disksubsystem, in- och utmatning och filsystem
  • För cgroup har en ny I/O-prioriteringkontroller — rq-qos — implementerats, som kan hantera prioriteten för behandlingen av förfrågningar från blockenheter som genereras av medlemmarna i varje cgroup. Stöd för den nya prioriteringskontrollen har lagts till I/O-schemaläggaren mq-deadline.
  • I filsystemet ext4 har en ny ioctl-kommando EXT4_IOC_CHECKPOINT implementerats, som tvingar diskning av alla väntande transaktioner från loggen och de relaterade buffertarna, samt överskriver det område som används av loggen i lagringen. Ändringen har förberetts inom ramen för initiativet att förhindra läckage av information från filsystem.
  • I Btrfs har prestandaoptimeringar genomförts: genom att utesluta onödig loggning av utökade attribut under fsync har prestandan för intensiva operationer med utökade attribut ökat med upp till 17%. Dessutom har full synkronisering avbrutits vid utförande av avskärningsoperationer som inte berör extens och minskat tidsåtgången för operationen med 12%. En inställning har lagts till sysfs för att begränsa in- och utgångskapaciteten vid kontroll av FS. ioctl-anrop för att avbryta operationer för storleksändring och borttagning av enheten har lagts till.
  • I XFS har implementeringen av buffertcachets omarbetats, vilket har övergått till allokering av minnessidor i batchläge. Effektiviteten i cachearbetet har ökat.
  • I F2FS har en option lagts till för att arbeta i skrivskyddat läge och implementerats en cache-lägesfunktion för komprimerade block (compress_cache) för att öka prestandan vid slumpmässig läsning. Stöd för komprimering av filer som återspeglas i minnet genom operationen mmap() har lagts till. En ny monteringsoption nocompress har föreslagits för att selektivt stänga av filkomprimering efter mask.
  • I exFAT-drivrutinen har arbete utförts för att förbättra kompatibiliteten med lagringsenheter från vissa digitalkameror.
  • Ett systemanrop, quotactl_fd(), har lagts till, vilket möjliggör hantering av kvoter inte via en speciell enhetsfil, utan genom att ange en filbeskrivare kopplad till filsystemet som kvoten gäller.
  • Gamla drivrutiner för blockenheter med IDE-gränssnitt har tagits bort från kärnan, som länge har ersatts av libata-subsystemet.
  • Drivrutinen "raw", som ger obuffrat tillgång till blockenheter via gränssnittet /dev/raw, har tagits bort från kärnan. Den angivna funktionen har länge implementerats i applikationer med hjälp av flaggan O_DIRECT.
• Minne och systemtjänster
  • En ny schemaläggningsläge SCHED_CORE har implementerats i schemaläggaren som möjliggör styrning över vilka processer som kan köras tillsammans på en CPU-kärna. Varje process kan tilldelas en cookie-ID som definierar en förtroendeområde mellan processerna (till exempel tillhörighet till en användare eller en behållare). Vid organisering av kodexekvering kan schemaläggaren se till att endast processer relaterade till samma ägare delar på en CPU-kärna, vilket kan användas för att blockera vissa attacker av typen Spectre genom att förhindra körning av både betrodda och icke-betrodda uppgifter i samma SMT-tråd (Hyper Threading).
  • För cgroup har stöd för operationen kill implementerats, vilket gör att alla processer kopplade till gruppen kan avslutas samtidigt (skicka SIGKILL) genom att skriva "1" i den virtuella filen cgroup.kill.
  • Funktionerna relaterade till upptäckten av delade lås ("split lock") har utvidgats, vilket uppstår vid åtkomst till ojusterade data i minnet eftersom data under utförandet av en atomär instruktion korsar två CPU-cachelinjer. Sådana lås leder till en betydande prestationsoch förut fanns möjligheten att tvångsavsluta den applikation som orsakade låset. I den nya versionen har en kärnkommandoradsparameter "split_lock_detect=ratelimit:N" lagts till, vilket gör det möjligt att definiera systemomfattande gränser för intensiteten av låsoperationer per sekund, efter överskridandet av vilket en process som blivit en källa till delat lås istället för att avslutas, kommer att stoppas i 20 ms.
  • I cgroup-bandbreddskontrollern CFS (CFS bandwidth controller), som bestämmer hur mycket processortid som kan tilldelas varje cgroup, har möjligheten att definiera gränser begränsade av en angiven giltighetstidsperiod införts, vilket möjliggör bättre reglering av latenskänsliga belastningar. Till exempel, att ställa in värdet cpu.cfs_quota_us till 50000 och cpu.cfs_period_us till 100000 gör det möjligt för en processgrupp att varje 100 ms använda 50 ms CPU-tid.
  • Den initiala infrastrukturen för att skapa BPF-programladdare har lagts till, vilket i framtiden kommer att möjliggöra uppladdning av endast BPF-program som är signerade med en pålitlig digital nyckel.
  • En ny futex-operation FUTEX_LOCK_PI2 har lagts till, vilken använder en monoton timer för att beräkna tidsgränsen som tar hänsyn till den tid systemet varit i viloläge.
  • För RISC-V-arkitekturen har stöd för stora minnessidor (Transparent Huge-Pages) genomförts samt möjligheten att använda mekanismen KFENCE för att upptäcka fel vid minneshantering.
  • I systemanropet madvise() har flagg MADV_POPULATE_READ och MADV_POPULATE_WRITE lagts till för att generera "page fault" för alla minnessidor som återspeglas för läs- eller skrivoperationer, utan att faktiskt läsa eller skriva (prefault). Användningen av flaggorna kan vara till nytta för att minska fördröjningar i programmet, genom att proaktivt köra "page fault"-hanteraren för alla oallokerade sidor utan att vänta på faktisk åtkomst.
  • I enhetstestningssystemet kunit har stöd för att köra tester i QEMU-miljö lagts till.
  • Nya spårningsverktyg har lagts till: "osnoise" för att spåra fördröjningar i applikationer orsakade av avbrottshantering, och "timerlat" för att ge detaljerad information om fördröjningar vid väckning på grund av timer-signaler.
• Virtualisering och säkerhet
  • Ett systemanrop, memfd_secret(), har lagts till, vilket möjliggör skapandet av ett privat minnesområde i ett isolerat adressutrymme, synligt endast för ägarprocessen, vilket inte återspeglas i andra processer och inte är direkt tillgängligt för kärnan.
  • I systemet för filtrering av systemanrop seccomp, har möjligheten att använda en atomär operation för att skapa en filbeskrivare för en isolerad uppgift och returnera den vid hantering av systemanrop lagts till för att hantera blockeringshanterare i användarrummet. Den föreslagna operationen löser problemet med avbrott av hanteraren i användarrummet vid ankomst av signaler.
  • En ny mekanism för att hantera resursbegränsning i användar-ID-namnrymden har lagts till, vilken kopplar separata rlimit-räknare till användaren i "user namespace". Ändringen löser problemet med tillämpning av gemensamma resurseräknare när en användare startar processer i olika behållare.
  • I hypervisorn KVM För ARM64-system har möjligheten att använda MTE (MemTag, Memory Tagging Extension) i gästdatorer lagts till, vilket möjliggör koppling av taggar till varje minnesallokeringsoperation och organiserar kontroll av riktigheten vid användning av pekare för att blockera exploatering av sårbarheter orsakade av åtkomst till redan frigjorda minnesblock, buffertöverflöd, åtkomst innan initiering och utanför aktuell kontext.
  • De verktyg för pekarautentisering (Pointer Authentication) som tillhandahålls av ARM64-plattformen kan nu konfigureras separat för kärnan och användarutrymmet. Tekniken möjliggör användning av specialiserade ARM64-instruktioner för att verifiera returadresser med hjälp av digitala signaturer som lagras i de oanvända översta bitarna av själva pekaren.
  • I User-mode Linux har stöd lagts till för att använda drivrutiner för PCI-enheter med en virtuell PCI-buss, som implementeras av PCI-over-virtio-drivrutinen.
  • För x86-system har stöd lagts till för det para-virtualiserade enheten virtio-iommu, som möjliggör att skicka IOMMU-förfrågningar, såsom ATTACH, DETACH, MAP och UNMAP, över virtio-transporter utan emulering av minnessidan.
  • För Intel-CPU:er, från Skylake-familjen till Coffee Lake, är användning av Intel TSX (Transactional Synchronization Extensions) som standard inaktiverat. Dessa tillägg erbjuder medel för att förbättra prestandan av flertrådade applikationer genom att dynamiskt undvika onödiga synkroniseringsåtgärder. Tilläggen är inaktiverade på grund av risken för Zombieload-attacker som manipulerar läckage av information genom sidokanaler som uppstår under drift av den asynkrona avbrottsmekanismen (TAA, TSX Asynchronous Abort).
• Nätverkssystemet
  • Integrationen i MPTCP (MultiPath TCP) har fortsatt, ett protokolltillägg för TCP som möjliggör att TCP-anslutningar levererar paket samtidigt över flera rutter via olika nätverksgränssnitt som är kopplade till olika IP-adresser. Den nya versionen har lagt till mekanismer för att definiera egna trafikhashpolicyer för IPv4 och IPv6 (multipath hash policy), vilket ger möjlighet för användarutrymmet att specificera vilka fält i paketen, inklusive inkapslade, som ska användas för att beräkna hash-värdet som bestämmer vägen för paketet.
  • I den virtuella transporten virtio har stöd lagts till för SOCK_SEQPACKET-sockets (ordnad och pålitlig överföring av datagram).
  • Möjligheterna för socket-mekanismen SO_REUSEPORT har utökats, vilket gör att flera lyssnande sockets kan ansluta till en och samma port för att ta emot anslutningar med en fördelning av inkommande förfrågningar över alla anslutna sockets via SO_REUSEPORT, vilket förenklar skapandet av flertrådade serverapplikationer. I den nya versionen har medel lagts till för att överföra kontrollen till en annan socket vid fel under behandling av en begäran av den ursprungligen valda socketen (löser problemet med förlust av enskilda anslutningar vid omstart av tjänster).
• Utrustning
  • I drivrutin amdgpu är stöd för nya serier av GPU AMD Radeon RX 6000 implementerat, som utvecklas under kodnamnen "Beige Goby" (Navi 24) och "Yellow Carp", samt förbättrat stöd för GPU Aldebaran (gfx90a) och APU Van Gogh. Möjligheten att arbeta med flera eDP-paneler samtidigt har lagts till. För APU Renoir har stöd för arbete med krypterade buffertar i videominnet (TMZ, Trusted Memory Zone) implementerats. Stöd för varmkoppling av grafikkort (hot-unplug) har lagts till. För GPU Radeon RX 6000 (Navi 2x) och äldre GPU AMD är stöd för energihanteringsmekanismen ASPM (Active State Power Management) som tidigare endast aktiverades för GPU Navi 1x, Vega och Polaris nu aktiverat som standard.
  • För AMD-chips har stöd för delad virtuellt minne (SVM, shared virtual memory) baserat på HMM (Heterogeneous memory management) lagts till, vilket möjliggör användning av enheter med egna minneshanteringsmoduler (MMU, memory management unit) som kan få åtkomst till huvudminnet. Med hjälp av HMM kan ett gemensamt adressutrymme mellan GPU och CPU organiseras, där GPU kan få åtkomst till huvudminnet för processen.
  • Stöd för teknologin AMD Smart Shift har lagts till, vilket dynamiskt ändrar strömningsparametrarna för CPU och GPU på bärbara datorer med AMD-chipset och grafikkort för att maximera prestandan vid spel, videoredigering och 3D-rendering.
  • I drivrutinen i915 för Intel-grafikkort har stöd för Intel Alderlake P-chips aktiverats.
  • Drivrutinen drm/hyperv för den virtuella grafiska adaptern Hyper-V har lagts till.
  • Stöd för Raspberry Pi 400 allt-i-ett-datorn har lagts till.
  • Drivrutinen dell-wmi-privacy har lagts till för att stödja hårdvarubrytare för kamera och mikrofon i Dell-bärbara datorer.
  • För Lenovo-bärbara datorer har WMI-gränssnitt för att ändra BIOS-inställningar via sysfs /sys/class/firmware-attributes/ lagts till.
  • Stödet för enheter med USB4-gränssnitt har utökats.
  • Stöd för ljudkort och codecs som AmLogic SM1 TOACODEC, Intel AlderLake-M, NXP i.MX8, NXP TFA1, TDF9897, Rockchip RK817, Qualcomm Quinary MI2 och Texas Instruments TAS2505 har lagts till. Stödet för ljud på bärbara datorer från HP och ASUS har förbättrats. Patchar har lagts till för att minska fördröjningar innan ljuduppspelningen påbörjas på enheter med USB-gränssnitt.

Källa: opennet.ru