Neue Funktionen und Änderungen in UEK 8U2

UEK 8U2 wird zunächst mit der Version 6.12.0-200.74.27 des Kernels veröffentlicht.

Ein neues Standalone-Kernelmodul FIPS 140 ist im Rahmen des Versuchs verfügbar, die FIPS 140-3-Kryptografische Modulgrenze neu zu entwerfen und zu verkleinern, indem eine stabile Kernel-Krypto-API in einem eigenständigen fips140.ko-Kernelmodul gekapselt wird.

Diese Änderung trägt dazu bei, die Trennung zwischen dem kryptografischen Modul und dem restlichen Kernel zu ermöglichen, sodass die FIPS-Zertifizierung auf das vom Kernel verwendete kryptografische Modul ausgerichtet werden kann. Diese Implementierung bedeutet, dass sich die kryptografische Modulgrenze nicht jedes Mal ändert, wenn der Kernel kompiliert wird, und bietet mehr Vertrauen in die Zertifizierung.

Die neue Implementierung integriert das Modul fips140.ko und den HMAC-Digest nach der Kompilierung in das Kernel-Image vmlinux. Der HMAC wird geprüft, wenn das Modul mit dem HMAC-Algorithmus aus der fips140.ko selbst geladen wird. Das Modul und sein Digest werden zusammen mit dem restlichen Kernel vom Bootloader in den Speicher geladen, wenn der FIPS-Modus aktiviert ist. Diese kryptografischen Komponenten können einfach aus dem Kernelimage zu Verifizierungszwecken extrahiert werden.

Die Reparatur von XFS-Online-Dateisystemen wird mit UEK 8U2 und höher unterstützt. In diesem Release wird das experimentelle Tag aus dem Tooling entfernt.

Mit dieser Funktion können Sie XFS-Dateisysteme prüfen und reparieren, während sie gemountet und voll einsatzbereit bleiben. Die Online-Reparatur von XFS kann Ausfallzeiten reduzieren und die Wartbarkeit für geschäftskritische und groß angelegte Bereitstellungen verbessern.

Die Reparatur von XFS-Onlinedateisystemen wird mit dem Utility xfs_scrub durchgeführt, das Metadatenbeschädigungen erkennen und korrigieren kann, ohne dass aktive Workloads ausgehängt oder unterbrochen werden müssen. Sie können xfs_scrub ausführen, um Dateisystemmetadaten wie Inodes, Verzeichnisse und Zuweisungsgruppen systematisch zu prüfen. Wenn Inkonsistenzen erkannt werden, bietet das Tool Optionen, um gezielte Reparaturen durchzuführen, während Sie online sind.

Um diese Funktion zu verwenden, stellen Sie sicher, dass das System UEK 8 oder höher und die neuesten XFS-Tools für den Benutzerbereich ausführt.

Siehe xfs_scrub(8) Handbuchseite. Siehe auch https://docs.kernel.org/filesystems/xfs/xfs-online-fsck-design.html.

Speicherzuweisungsprofilierung ist in UEK 8U2 verfügbar. Diese Funktion verfolgt die Speicherzuweisung, um bei der Überprüfung, wo Speicher verwendet wird und bei der Verfolgung von Speicherlecks zu helfen. Das Feature verwendet Code-Tagging, um zu verfolgen, wo Speicher zugewiesen wurde, wenn zugewiesener Speicher freigegeben wird, die Anzahl der Zuweisungen und die Menge des noch belegten Speichers.

Die Option ist standardmäßig deaktiviert, kann aber beim Booten mit dem Boot-Parameter aktiviert werden:

sysctl.vm.mem_profiling=1

Sie greifen auf Laufzeitinformationen für das Speicherzuweisungsprofiling in /proc/allocinfo zu.

Weitere Informationen finden Sie unter https://docs.kernel.org/mm/allocation-profiling.html. Beachten Sie, dass die komprimierte Option für die Speicherzuweisungsprofilerstellung in UEK 8U2 nicht verfügbar ist.

In diesem Release werden Lightweight Guard-Seiten eingeführt, die eine Möglichkeit bieten, Bereiche des virtuellen Speichers zu markieren, sodass sie beim Zugriff Segmentierungsfehler (SIGSEGV) auslösen. Diese Funktion ist für Thread-Stacks und Userland-Speicherzuweisungen wichtig. Der Mechanismus wurde entwickelt, um Speicher-Overhead zu entfernen, indem Guard-Marker verwendet werden, anstatt virtuelle Speicherbereiche (VMAs) zu erstellen oder zu teilen.

Vor Lightweight Guard-Seiten wurde eine ähnliche Funktionalität erreicht, indem mmap(.., PROT_NONE) verwendet wurde, was zu einem Speicher-Overhead führte. Wenn Prozesse und Threads mit dieser Methode vertikal skaliert werden, steigt der Overhead. Darüber hinaus bleibt der Speicher, der auf diese Weise zugeordnet ist, für die Zuweisung zu Benutzerprozessen nicht verfügbar. Durch die Verwendung von Lightweight Guard-Seiten wird der Overhead vermieden und erhebliche Speicherzuwächse erzielt.

Das Update verwendet neue madvise()-Befehle:

• MADV_GUARD_INSTALL installiert Guard-Marker und entfernt vorhandene Zuordnungen im Bereich. Die Installation gilt nur für Anonymous-Memory-Speicher und die Installation ist für spezielle, riesige oder gesperrte (gesperrte) VMAs nicht zulässig.
• MADV_GUARD_REMOVE entfernt nur die Guard-Marker, sodass normale Mappings unverändert bleiben.

Bewachte Bereiche bleiben über MADV_DONTNEED oder MADV_FREE (garantierter Schutz bis zum Entfernen) bestehen, werden jedoch mit Prozess-Teardown oder expliziter Aufhebung der Zuordnung gelöscht.

AMD Secure Encrypted Virtualization (SEV) und AMD Secure Encrypted Virtualization-Secure Nested Paging (SEV-SNP) sind Schlüsselkomponenten in AMDs Confidential Computing-Technologie. SEV ist eine hardwarebasierte Funktion, die den Speicher von virtuellen Maschinen verschlüsselt, die auf AMD EPYC-Prozessoren ausgeführt werden, um die Daten der VM vor unbefugtem Zugriff durch den Hypervisor-Host zu schützen, selbst wenn der Hypervisor-Host kompromittiert ist. SEV verwendet einen dedizierten Verschlüsselungsschlüssel für jede VM, die vom Prozessor verwaltet wird. SEV muss sowohl im Gastbetriebssystem als auch im KVM-Hypervisor-Host aktiviert sein, damit es funktioniert.

Bei Oracle Linux 9 und Oracle Linux 10 umfasst UEK 8U2 neben anderen Vektoren wie Side-Channel-Angriffen Gast- und Hypervisor-Unterstützung für SEV-SNP, wodurch böswillige Hypervisor-basierte Angriffe wie Datenwiedergabe und Speicherneuzuordnung verhindert werden können. SEV-SNP ist auf AMD E4-basierten Servern oder höher (Mailand) verfügbar. Für diese Funktion sind die neuesten Packageversionen edk2-ovmf und qemu erforderlich.

Intel Trust Domain Extensions (TDX) ist die vertrauliche Computertechnologie von Intel, mit der vertrauenswürdige Ausführungsumgebungen bereitgestellt werden. TDX wird verwendet, um virtuelle Workloads in Trust-Domains (TDs) bereitzustellen und eine hardwarebasierte Isolierung bereitzustellen, indem Speicher verwaltet und verschlüsselt wird, um die Integrität und Vertraulichkeit der CPU-Status innerhalb von TDs aufrechtzuerhalten.

Bei Oracle Linux 9 und Oracle Linux 10 umfasst UEK 8U2 Gast- und Hypervisor-Unterstützung für TDX.

Weitere Informationen finden Sie unter https://www.intel.com/content/www/us/en/developer/tools/trust-domain-extensions/overview.html.

Der Common Internet File System-(CIFS-)Client kann symbolische Links, Symlinks erstellen, die von Server Message Block (SMB), Network File System (NFS) und Windows Subsystem for Linux (WSL) erkannt werden. Verwenden Sie die Mountoption symlink=default|none|native|unix|mfsymlinks|sfu|nfs|wsl, um das Erstellen von Symlinks zu untersagen oder den Typ der Symlinks auszuwählen, die der Client erstellt.

Der Client kann auch andere spezielle Dateien erstellen, einschließlich Zeichengeräte, Blockgeräte, Pipes und Sockets. Diese Datei wird mit der Einhängeoption reparse=default|none|nfs|wsl als NFS- oder WSL-Repparse-Punkte erstellt. Um native Windows-Sockets zu erstellen, die von Windows-Anwendungen auf NTFS verwendet werden, verwenden Sie die Einhängeoption nativesocket.

Gerätetreiber, die in UEK 8U2 enthalten sind, sind an den Treibern im vorgelagerten Mainline-Linux 6.12-Kernel ausgerichtet. Einige bemerkenswerte Updates sind enthalten, bei denen Treiber Funktionen oder Korrekturen enthalten, die in späteren Upstream-Kernelversionen verfügbar sind.

Viele Treibermodule verfolgen keine Versionsinformationen mehr. Oracle arbeitet mit Anbietern zusammen, um Gerätetreiber, die in UEK 8U2 enthalten sind, an dem in Upstream-Kernelversionen verfügbaren Code auszurichten.

In der folgenden Tabelle sind bemerkenswerte Treiberaktualisierungen aufgeführt:

Die folgenden Funktionen sind veraltet, wurden entfernt oder werden in UEK 8 nicht mehr unterstützt: