Linux kernel 5.14

Efter två månaders utveckling presenterade Linus Torvalds år kärnrelease Linux 5.14. Bland de mest anmärkningsvärda förändringarna finns nya systemanrop quotactl_fd() och memfd_secret(), borttagning av ide- och raw-drivrutiner, en ny in-/ut-prioriteringskontroller för cgroup, SCHED_CORE schemaläggningsläge samt infrastruktur för att skapa bootloaders för verifierade BPF-program.

I den nya versionen har 15883 korrigeringar gjorts av 2002 utvecklare, patchens storlek är 69 MB (ändringarna berörde 12580 filer, 861501 kodrader lades till, 321654 rader togs bort). Cirka 47% av alla förändringar i 5.14 gäller enhetsdrivrutiner, ungefär 14% av ändringarna avser uppdatering av arkitektspecifik kod, 13% relaterar till nätverksstacken, 3% till filsystem och 3% till interna kärnsystem.

Huvud nyheter:

• disksubsystem, in-/ut och filsystem:
  • för cgroup genomförd en ny in-/ut-prioriteringskontroller — rq-qos, som kan hantera prioriteten av behandling av blockenhetsförfrågningar som genereras av deltagarna i varje cgroup. Stöd för den nya prioriteringskontrollen har lagts till i in-/ut-schemaläggaren mq-deadline;
  • i ext4-filsystemet har möjligheten ny ioctl-kommando EXT4_IOC_CHECKPOINT, som tvingar fram skrivning av alla väntande transaktioner från loggen till disken och relaterade buffertar, samt åter skriver den område som används av loggen i lagringen. Förändringen förbereds som en del av initiativet för att förhindra informationsläckor från filsystem;
  • i Btrfs har prestandaoptimeringar: genom att utesluta onödig loggning av utökade attribut under fsync-utförande har prestandan för intensiva operationer med utökade attribut ökat med upp till 17%. Dessutom har full synkronisering inaktiverats vid utförande av truncations som inte påverkar extent, vilket har minskat operationstiden med 12%. En inställning har lagts till i sysfs för att begränsa in-/ut-kapaciteten vid filsystemskontroller. Ioctl-anrop har lagts till för att avbryta operationer för storleksändringar och enhetsborttagning;
  • i XFS omdesignad implementering av cache-systemet som har omvandlats till sidallokering i packat läge. Effektiviteten i cache-arbetet har ökat;
  • I F2FS har en ny möjlighet lagts till för att arbeta i skrivskyddat läge och en cachemetod för komprimerade block (compress_cache) har implementerats för att förbättra prestanda vid slumpmässig läsning. Stöd för komprimering av filer som återspeglas i minnet via mmap()-operationen har genomförts. För selektiv avstängning av filkomprimering genom mask föreslås en ny monteringsalternativ nocompress;
  • i exFAT-drivaren har arbete genomförts för att förbättra kompatibiliteten med lagringsenheter från vissa digitalkameror;
  • ett systemanrop quotactl_fd(), som gör det möjligt att hantera kvoter inte via en specialenhetsfil, utan genom att ange en filbeskrivare kopplad till filsystemet som kvoten gäller;
  • gamla drivare för blockenheter med IDE-gränssnitt har tagits bort från kärnan, vilka redan länge har ersatts av libata-subsystemet. Stödet för gamla enheter har bevarats i sin helhet, förändringarna rör endast möjligheten att använda gamla drivare, där lagringsenheterna namngavs /dev/hd* istället för /dev/sd*;
  • drivaren "raw", som tillhandahåller obuffrat tillgång till blockenheter via gränssnittet /dev/raw, har tagits bort från kärnan. Den angivna funktionen har länge implementerats i program med hjälp av flaggan O_DIRECT;
• minne och systemtjänster:
  • i schemaläggaren har ett nytt schemaläggningsläge implementerats SCHED_CORE, vilket gör det möjligt att styra vilka processer som kan köras tillsammans på en och samma CPU-kärna. Varje process kan tilldelas en cookie-identifierare som definierar förtroendeområdet mellan processerna (till exempel tillhörande en användare eller container). Vid organisation av kodexekvering kan schemaläggaren säkerställa delning av en CPU-kärna endast för processer relaterade till en och samma ägare, vilket kan användas för att blockera vissa attacker av typen Spectre genom att förhindra exekvering i en SMT-tråd (Hyper Threading) av både betrodda och icke-betrodda uppgifter;
  • stöd för kill-operationen har implementerats för cgroup-mekanismen, vilket gör att alla processer kopplade till gruppen kan avslutas på en gång (skickar SIGKILL) genom att skriva "1" till den virtuella filen cgroup.kill;
  • Möjligheterna som rör reaktion på upptäckten av split-låsningar har utvidgats, vilka uppstår vid åtkomst till ojusterade data i minnet på grund av att data korsar två CPU-cachelinjer när en atomär instruktion utförs. Sådana låsningar leder till en betydande nedgång i prestanda, så tidigare fanns möjligheten att tvinga avslutande av den applikation som orsakade låsningen. I den nya versionen har en kommandoradsparameter i kärnan, "split_lock_detect=ratelimit:N", lagts till, vilket möjliggör att fastställa ett allmänt systemgräns för intensiteten av blockeringar per sekund, efter vilken alla processer som blivit källan till en split-låsning istället för att avslutas kommer att tvingas stoppas i 20 ms;
  • I cgroup-kontrollern för CFS (CFS-bandbreddskontroller), som bestämmer hur mycket processor-tid som kan tilldelas varje cgroup, har möjligheten att definiera begränsningar med angivna tidsintervall genomförts, vilket gör att man bättre kan reglera belastningar som är känsliga för fördröjningar. Till exempel, att ställa in värdet cpu.cfs_quota_us till 50000 och cpu.cfs_period_us till 100000 gör det möjligt för en grupp processer att använda 50 ms CPU-tid var 100 ms;
  • har lagts till Det finns en grundläggande infrastruktur för att skapa lastare av BPF-program, vilket i framtiden kommer att möjliggöra uppladdning av endast BPF-program som är signerade med en betrodd digital nyckel;
  • En ny futex-operation FUTEX_LOCK_PI2 har lagts till, som använder en monotontimer för att beräkna timeouten och tar hänsyn till den tid som systemet har varit i viloläge;
  • Stöd för stora minnessidor (Transparent Huge-Pages) och möjligheten att använda mekanismen har implementerats för RISC-V-arkitekturen, KFENCE för att upptäcka minnesfel;
  • i systemanropet madvise(), som ger medel för att optimera minneshanteringen av processen, har lagts till flaggorna MADV_POPULATE_READ och MADV_POPULATE_WRITE för att generera "page fault" på alla minnessidor som reflekteras för läs- eller skrivoperationer, utan att faktiskt utföra något läs- eller skrivande (prefault). Användningen av flaggorna kan vara användbara för att minska fördröjningar under programkörning, genom att på förhand utföra hanteraren av "page fault" på alla ouppdelade sidor, utan att vänta på att de verkliga åtkomsterna ska ske;
  • i systemet för enhetstestning kunit har lagts till stöd för körning av tester i QEMU-miljö;
  • nya spårningsverktyg har lagts till: "osnoise" för att spåra fördröjningar i applikationer orsakade av interruptbearbetning, och "timerlat" för att ge detaljerad information om fördröjningar vid väckning av en timer;
• virtualisering och säkerhet:
  • tillagd systemanropet memfd_secret(), som gör det möjligt att skapa ett privat minnesområde i ett isolerat adresseringsutrymme, synligt endast för ägarprocessen, inte reflekterat i andra processer och direkt oåtkomligt för kärnan;
  • i systemet för filtrering av systemanrop seccomp har möjligheten införts att använda en atomär operation för att skapa en filbeskrivare för isolerade uppgifter och återlämna den vid hantering av systemanrop. Den föreslagna operationen löser problemet med avbrottshantering i användarrummet vid mottagande av signal;
  • tillagd en ny mekanism för att hantera resursbegränsningar inom användaridentifieringsnamnrymden, som kopplar individuella rlimit-tellare till användaren i "user namespace". Ändringen löser problemet med tillämpning av gemensamma resursräknare vid körning av processer från en användare i olikaContainrar;
  • i hypervisor KVM för ARM64-system har möjligheten att använda MTE (MemTag, Memory Tagging Extension) i gästsystem lagts till, vilket möjliggör koppling av taggar till varje minnesallokeringsoperation och organiserar kontroll av korrekt användning av pekare för att blockera utnyttjande av sårbarheter orsakade av åtkomst till redan frigjort minne, buffertöverskridningar, åtkomster innan initiering och användning utanför nuvarande sammanhang;
  • de verktyg för pekarautentisering som tillhandahålls av ARM64-plattformen kan nu konfigureras separat för kärnan och användarrummet. Tekniken möjliggör användning av specialiserade ARM64-instruktioner för att verifiera returadresser med hjälp av digitala signaturer som lagras i de oanvända översta bitarna av själva pekaren;
  • i User-mode Linux har lagts till stöd för att använda drivrutiner för PCI-enheter med en virtuell PCI-buss, som implementeras av drivrutinen PCI-over-virtio;
  • För system med x86 har stöd för det paravirtualiserade enheten virtio-iommu lagts till, vilket möjliggör att skicka IOMMU-förfrågningar såsom ATTACH, DETACH, MAP och UNMAP ovh transportera dem med virtio utan att emulera sidtabeller.
  • För Intel CPU:er, från Skylake- till Coffee Lake-familjen, är användningen av Intel TSX (Transactional Synchronization Extensions) som standard avstängd, vilket ger medel för att öka prestandan för multitrådiga applikationer genom att dynamiskt undanta onödiga synkroniseringsoperationer. Utökningarna stängdes av på grund av möjligheten till attacker Zombieload, som manipulerar läckage av information genom sidokanaler som uppstår vid drift av den asynkrona avbrottshanteringsmekanismen (TAA, TSX Asynchronous Abort);
• nätverksunderstöd:
  • Integrationen med kärnan för MPTCP (MultiPath TCP), en utvidgning av TCP-protokollet för att organisera TCP-anslutningar med paketleverans samtidigt över flera vägar genom olika nätverksgränssnitt kopplade till olika IP-adresser, har fortsatt. I den nya versionen tillagd har mekanismen för att ange egna trafikhashpolicys för IPv4 och IPv6 (multipath hash policy) lagts till, vilket ger möjlighet att från användarutrymmet definiera vilka av fälten i paketen, inklusive inkapslade sådana, som kommer att användas vid beräkningen av hash som bestämmer vägen för ett paket;
  • Det virtuella transportprotokollet virtio har lagt till stöd för sockets SOCK_SEQPACKET (ordnad och tillförlitlig överföring av datagram);
  • Möjligheterna för mekanismen för sockets SO_REUSEPORT har utökats, vilket gör att flera lyssnande sockets kan koppla upp sig till en port för att ta emot anslutningar med spridning av inkommande förfrågningar över alla kopplade sockets med SO_REUSEPORT, vilket förenklar skapandet av multitrådiga serverapplikationer. I den nya versionen har lagts till finns medel för att överföra kontrollen till en annan socket i händelse av fel vid behandling av en förfrågan från den ursprungligt valda socketen (löser problemet med att enstaka anslutningar går förlorade vid omstart av tjänster);
• utrustning:
  • i drivrutinen amdgpu har möjligheten stöd för nya serier av AMD Radeon RX 6000 GPU:er, som utvecklas under kodnamnen "Beige Goby" (Navi 24) och "Yellow Carp", samt förbättrad support för GPU Aldebaran (gfx90a) och APU Van Gogh. Möjlighet till samtidig användning av flera eDP-paneler har lagts till. För APU Renoir har stöd för arbete med krypterade buffertar i videominnet (TMZ, Trusted Memory Zone) implementerats. Stöd för varm uttagning av grafikkort (hot-unplug) har lagts till. För GPU Radeon RX 6000 (Navi 2x) och äldre AMD GPU:er är stöd för mekanismen för energibesparing ASPM (Active State Power Management) aktiverat som standard, vilket tidigare endast aktiverats för GPU Navi 1x, Vega och Polaris;
  • stöd för SVM (shared virtual memory) har lagts till för AMD-chips baserat på HMM (Heterogeneous memory management) subsystemet, vilket möjliggör användning av enheter med egna minneshanteringsenheter (MMU, memory management unit) som kan få tillgång till huvudminnet. Med hjälp av HMM kan man organisera ett delat adressutrymme mellan GPU och CPU, där GPU kan få tillgång till processens huvudminne;
  • början på stöd för teknologin AMD Smart Shift, som dynamiskt ändrar parametrar för energiförbrukning för CPU och GPU i bärbara datorer med AMD chipset och grafikkort för att öka prestandan vid spel, videoredigering och 3D-rendering;
  • i i915-drivrutinen för Intel-grafikkort är inkluderad stöd för Intel Alderlake P-chips;
  • drivrutin drm/hyperv för den virtuella grafikadaptern Hyper-V har lagts till;
  • tillagd grafikdrivrutinen simpledrm, som använder EFI-GOP eller VESA framebuffer tillhandahållet av UEFI-firmware eller BIOS för grafisk utgång. Huvudsyftet med drivrutinen är att möjliggöra grafisk utgång under tidiga uppstartsfasen, innan det är möjligt att använda en komplett DRM-drivrutin. Drivrutinen kan också användas som en tillfällig lösning för utrustning som ännu inte har egna DRM-drivrutiner;
  • har lagts till stöd för allt-i-ett-datorn Raspberry Pi 400;
  • drivrutin dell-wmi-privacy för att stödja fysiska avstängningsknappar för kameran och mikrofonen på Dell-bärbara datorer har lagts till;
  • för Lenovo-bärbara datorer tillagd WMI-gränssnitt för att ändra BIOS-inställningar via sysfs /sys/class/firmware-attributes/;
  • utökat stöd för enheter med USB4-gränssnitt;
  • har lagts till stöd för ljudkort och codecs AmLogic SM1 TOACODEC, Intel AlderLake-M, NXP i.MX8, NXP TFA1, TDF9897, Rockchip RK817, Qualcomm Quinary MI2 och Texas Instruments TAS2505. Förbättrat ljudstöd på bärbara datorer från HP och ASUS. Tillagda patchar för att minska fördröjningar innan ljuduppspelning börjar på enheter med USB-gränssnitt.

Källa – opennet.ru.

Källa: linux.org.ru