Oracle har publicerat kärnan Unbreakable Enterprise Kernel 6

Oracle har presenterat den första stabila versionen Unbreakable Enterprise Kernel 6 (UEK R6), en utökad kärnversion av Linux, avsedd att användas i Oracle Linux-distributionen som ett alternativ till standardpaketet med kärna från Red Hat Enterprise Linux. Kärnan är endast tillgänglig för arkitekturerna x86_64 och ARM64 (aarch64). Källkoden till kärnan, inklusive uppdelning i separata patchar, som offentlig domän ( finns i Oracle:s offentliga Git-repo.

Unbreakable Enterprise Kernel 6 är baserad på kärnan Linux 5.4 (UEK R5 var baserat på kärna 4.14), som kompletteras med nya funktioner, optimeringar och buggfixar, samt har testats för kompatibilitet med de flesta applikationer som körs på RHEL, och är speciellt optimerad för att fungera med Oracle-programvara och -utrustning. Installations- och src-paket med UEK R6 har förberetts för Oracle Linux 7.x och 8.x. Stödet för version 6.x har upphört, för att använda UEK R6 bör systemet uppgraderas till Oracle Linux 7 (det finns inga hinder för att använda denna kärna i liknande versioner av RHEL, CentOS och Scientific Linux).

Nyckel nyheter Unbreakable Enterprise Kernel 6:

• Utökad support för system baserade på 64-bitars ARM-arkitektur (aarch64).
• Stöd för alla funktioner i Cgroup v2 har implementerats.
• En ktask-ramverk har implementerats för att parallellisera resurssnåla kärnuppgifter som kräver betydande CPU-resurser. Till exempel kan ktask användas för att organisera parallelliseringen av operationer som rör rensning av minnesområden eller bearbetning av inode-listor;
• En parallell version av kswapd har inkluderats för att hantera minnesutbytesoperationer i en asynkron modus, vilket minskar antalet direkta (synchroniserade) utbytesoperationer. När antalet lediga minnessidor minskar, utför kswapd skanning för att identifiera oanvända sidor som kan frigöras.
• Stöd för verifiering av integriteten hos kärnans avbild och firmware genom digital signatur, vid inladdning av kärnan med hjälp av mekanismen Kexec (laddning av kärnan från redan laddat system).
• Prestandaoptimering av systemet för virtuell minneshantering har genomförts, effektiviteten vid rensning av minnessidor och cache har förbättrats, och bearbetningen av förfrågningar till icke allokerade minnessidor (page faults) har förbättrats.
• Stödet för NVDIMM har utökats, den angivna permanenta minnesmängden kan nu användas som traditionellt RAM.
• Övergången till DTrace 2.0 för dynamisk felsökning har genomförts, vilket översatts för användning av eBPF-kärnans delsystem. DTrace fungerar nu ovanpå eBPF, på samma sätt som befintliga spårningsverktyg i Linux arbetar över eBPF.
• Förbättringar har genomförts i OCFS2-filsystemet (Oracle Cluster File System).
• Förbättrad stöd för Btrfs-filsystemet. Möjligheten att använda Btrfs på rotpartitioner har lagts till. Installationsprogrammet har fått ett alternativ för att välja Btrfs vid formatering av enheter. Möjligheten att placera växlingsfiler på partitioner med Btrfs har lagts till. Btrfs har fått stöd för komprimering med hjälp av ZStandard-algoritmen.
• Stöd för gränssnittet för asynkron in- och utdata - io_uring, som är anmärkningsvärt för sin in- och utdata-polling och möjligheten att arbeta både med och utan buffring. När det gäller prestanda ligger io_uring mycket nära SPDK och överträffar avsevärt libaio med polling aktiverat. För att använda io_uring i slutanvändarapplikationer har ett bibliotek som heter liburing förberetts, vilket erbjuder en högre nivå av omslag över kärnans gränssnitt.
• Stöd för läget Adiantum för snabb kryptering av lagringsenheter.
• Stöd för komprimering med hjälp av algoritmen Zstandard (zstd).
• I ext4-filsystemet används 64-bitars tidsstämplar i superblockens fält.
• I XFS har verktyg inkluderats för att informera om filsystemets integritetsstatus under drift och för att få status på fsck-körningar i realtid.
• TCP-stacken har som standard övergått till modellen "Early Departure Time" istället för "As Fast As Possible" vid sändning av paket. För UDP har stöd för GRO (Generic Receive Offload) aktiverats. Stöd har lagts till för mottagning och sändning av TCP-paket i zero-copy-läge.
• Implementeringen av TLS-protokollet på kärnnivå (KTLS) används nu inte bara för sända utan också för mottagna data.
• Som standard är nftables aktiverat som backend för brandväggen. Valfritt har stöd för
  bpfilter Stöd för XDP (eXpress Data Path) subsystemet har lagts till, vilket gör att BPF-program kan köras på nätverksdrivrutinsnivå i Linux med direkt tillgång till DMA-paketbuffern och vid steg innan skbuff-paketbufferten tilldelas av nätverksstacken..
• Förbättrad och aktiverad vid användning av UEFI Secure Boot-läget.
• Улучшен и включён при использовании UEFI Secure Boot режим Låsning, vilket begränsar root-användarens åtkomst till kärnan och blockerar kringgående vägar för UEFI Secure Boot. Till exempel i lockdown-läget begränsas åtkomsten till /dev/mem, /dev/kmem, /dev/port, /proc/kcore, debugfs, kprobes debug-läge, mmiotrace, tracefs, BPF, PCMCIA CIS (Card Information Structure), vissa ACPI-gränssnitt och CPU:ns MSR-register, samt blockerar kallelser till kexec_file och kexec_load, förhindrar sömnläge, begränsar användningen av DMA för PCI-enheter, förhindrar import av ACPI-kod från EFI-variabler, och manipulation av in- och utgångsportar tillåts inte, inklusive ändring av avbrottnummer och in- och utgångsport för den seriella porten.
• Support för förbättrade instruktioner IBRS (Enhanced Indirect Branch Restricted Speculation) har lagts till, vilket möjliggör adaptiv tillåtelse och avstängning av spekulativ exekvering av instruktioner under hantering av avbrott, systemanrop och kontextbyten. Om Enhanced IBRS stöds tillämpas denna metod för skydd mot attacker av typen Spectre V2 istället för Retpoline, eftersom den ger högre prestanda.
• Skyddet i kataloger som är skrivbara för alla har förbättrats. I sådana kataloger är skapandet av FIFO-filer och filer som tillhör användare som inte matchar katalogens ägare med flaggan sticky förbjudet.
• Som standard är adressutrymmet för kärnan på ARM-system (KASLR) randomiserat. För Aarch64 är pekarautentisering aktiverad.
• Stöd för 'NVMe over Fabrics TCP' har lagts till.
• En virtio-pmem-drivrutin har lagts till, som representerar åtkomst till lagringsenheter speglade i det fysiska adressutrymmet, såsom NVDIMM.

Källa: opennet.ru