Nuevas funciones y cambios en UEK R7U3

UEK R7U3 se lanzó inicialmente con la versión 5.15.0-300.163.18 del núcleo.

Además de la creación estándar de UEK para Arm (aarch64), que define un tamaño de página base de 4k, un paquete kernel-uek64k que define un tamaño de página base de 64k solo está disponible para unidades de computación basadas en Ampere Arm en Oracle Cloud Infrastructure. Para casos de uso distintos de OCI, el paquete kernel-uek64 solo está disponible como vista previa técnica.

El núcleo de tamaño de página de 64 k es una opción útil para plataformas Ampere (basadas en Arm) que procesan cargas de trabajo con juegos de datos de memoria grandes y contiguos, y pueden lograr un mejor rendimiento para algunos tipos de operaciones que requieren mucha memoria y CPU.

El núcleo de tamaño de página 4k es útil para entornos más pequeños, donde minimizar el uso de memoria física del sistema es una prioridad.

Tenga en cuenta que el núcleo de tamaño de página de 4 k y el núcleo de tamaño de página de 64 k no difieren en la experiencia del usuario, ya que el espacio de usuario es el mismo.

Después de instalar un sistema con kernel-uek64k, no se admite el cambio a un tamaño de página del núcleo de 4 k.

RPC-Con-TLS está activado en el servidor y el cliente NFS de Linux. Esta actualización proporciona un mecanismo de autenticación de pares basado en estándares mediante una conexión cifrada mediante TLS. El protocolo de registro TLS lo maneja completamente kTLS.

Tenga en cuenta que tanto el sistema cliente como el servidor deben ejecutar UEK R7U3 o una versión posterior, o deben ejecutar un cliente de espacio de usuario y núcleo que admita RFC 9289 para usar esta funcionalidad. El paquete de espacio de usuario, ktls-utils, también es necesario y se debe instalar en los sistemas cliente y servidor. También asegúrese de haber instalado la versión más reciente del paquete nfs-utils o de haber realizado una actualización completa del sistema.

Oracle contribuye con RPC-With-TLS de forma ascendente y se describe en RFC 9289.

TIOCSTI es una llamada del sistema ioctl en el núcleo de Linux que permite a un proceso simular la entrada del terminal empujando caracteres a la cola de entrada para un TTY de control. Este mecanismo heredado puede ser abusado con fines maliciosos. Recomendamos desactivarla siempre en los sistemas que ejecutan Oracle Linux.

Reforzar un sistema desactivando TIOCSTI. Establezca el valor del parámetro sysfs dev.tty.legacy_tiocsti en 0. Por ejemplo, ejecute:

echo "dev.tty.legacy_tiocsti = 0" | sudo tee -a /etc/sysctl.d/50-tiocsti.conf
sudo sysctl -p /etc/sysctl.d/50-tiocsti.conf

BPF-LSM, la capacidad de conectar programas de Berkeley Packet Filter (BPF) a los enlaces del módulo de seguridad (LSM) de Linux para implementar algunas mejoras de seguridad, está activada en todas las configuraciones del núcleo UEK R7, sin embargo, anteriormente se requería configurar la opción de línea de comandos de inicio lsm=bpf para usar la función.

En esta versión, bpf se agrega a CONFIG_LSM para que no sea necesario que se active manualmente en el inicio.

Puede comprobar que BPF se agrega al LSM ejecutando:

cat /sys/kernel/security/lsm

En estrecha cooperación con los proveedores de hardware y almacenamiento, Oracle ha actualizado varios controladores de dispositivos de las versiones en la versión mainline de Linux 5.15.0.

Muchos módulos de controladores ya no realizan un seguimiento de la información de la versión. Oracle colabora con los proveedores para alinear los controladores de dispositivos incluidos en UEK R7U3 con el código disponible en las versiones de núcleo ascendente.

Las actualizaciones de controladores notables se presentan en la siguiente tabla:

Las siguientes funciones están en desuso o ya no están disponibles en: UEK R7U3:

• El acceso sin restricciones al buffer de anillos del núcleo está en desuso.

  El acceso sin privilegios al buffer de anillo del núcleo mediante la salida del comando dmesg está en desuso y se eliminará en una versión futura de UEK. Utilice el comando sudo para escalar a privilegios de administrador al ejecutar el comando dmesg. Para restringir el acceso al buffer de anillo del núcleo, establezca el parámetro kernel.dmesg_restrict sysfs en 1.

• Opciones CONFIG_SECURITY_SELINUX_DISABLE y CONFIG_SECURITY_WRITABLE_HOOKS para desactivar SELinux en tiempo de ejecución

  El nodo /sys/fs/selinux/disable del sistema de archivos SELinux (selinuxfs) permite desactivar SELinux en tiempo de ejecución antes de que se cargue una política en el núcleo. Si se desactiva mediante este mecanismo, SELinux permanece desactivado hasta que se reinicia el sistema.

  La opción de desactivar SELinux en tiempo de ejecución dificulta la protección de los enlaces de LSM del núcleo mediante la función "__ro_after_init". Por lo tanto, estas opciones están en desuso en esta versión de UEK.

  El método preferido para desactivar SELinux es mediante el parámetro de inicio selinux=0

• Modos criptográficos CONFIG_CRYPTO_OFB y CONFIG_CRYPTO_CFB

  El modo CFB (Cipher Feedback) (NIST SP800-38A) utilizado para la criptografía TPM2 y el modo OFB (Output Feedback) (NIST SP800-38A) utilizado para convertir un cifrado de bloque en un cifrado de flujo síncrono están en desuso en esta versión de UEK y pueden eliminarse del núcleo en una versión de UEK futura.

• Opción CONFIG_RPCSEC_GSS_KRB5_ENCTYPES_DES para tipos de cifrado 3DES/DES3 RPCSEC GSS

  Los tipos de cifrado DES y Triple-DES (3DES/DES3) de RPCSEC GSS están en desuso en esta versión de UEK y pueden eliminarse del núcleo en futuras versiones de UEK.

  Estos tipos de cifrado fueron obsoletos por los RFC 6649 y 8429 porque se sabe que son inseguros.

• Opciones CONFIG_NFS_V2 y CONFIG_NFSD_V2 para cliente y servidor NFSv2

  La compatibilidad con clientes NFSv2 y servidores NFSv2 está en desuso en esta versión de UEK y es posible que se elimine del núcleo en futuras versiones de UEK.

  NFSv2 ha sido reemplazado durante mucho tiempo por NFSv3 y NFSv4, que ofrecen una funcionalidad, un rendimiento y una seguridad mejorados.

• Opción CONFIG_NFS_DISABLE_UDP_SUPPORT para NFSv3 mediante UDP

  La compatibilidad con NFS versión 3 mediante el protocolo de red UDP está en desuso en esta versión de UEK y es posible que se elimine del núcleo en futuras versiones de UEK.

  Las implementaciones modernas de NFS/RPC sobre TCP y RDMA proporcionan un mejor rendimiento que el UDP, y proporcionan una entrega ordenada confiable de datos combinada con control de congestión.

  Tenga en cuenta que NFSv4 ya no se admite en UDP, por los mismos motivos.

• opción CONFIG_STAGING

  Con la opción de configuración de núcleo CONFIG_STAGING, puede seleccionar controladores que no necesariamente cumplan con el nivel de calidad de núcleo más alto, pero que simplemente estén disponibles para uso de prueba. Sin embargo, la opción de núcleo CONFIG_STAGING está en desuso en esta versión de UEK y es posible que se elimine en futuras versiones.

• opción CONFIG_IXGB

  El hardware CONFIG_IXGB para Intel PRO/10GbE está en desuso y es posible que se elimine del núcleo en futuras versiones de UEK.

• opción CONFIG_IP_NF_TARGET_CLUSTERIP

  La opción CONFIG_IP_NF_TARGET_CLUSTERIP que le permitió crear clusters de equilibrio de carga de servidores de red sin un enrutador o conmutador de equilibrio de carga dedicado está en desuso en favor de la funcionalidad que ya coincide con el cluster de Netfilter.

• opción CONFIG_EFI_VARS

  La opción CONFIG_EFI_VARS que proporcionó la interfaz efivars sysfs para configurar variables UEFI se elimina del núcleo ascendente y está en desuso en esta versión de UEK. La funcionalidad de sustitución ha estado presente en el núcleo desde 2012. Para obtener más información, consulte https://www.kernel.org/doc/html/latest/filesystems/efivarfs.html.

• Conductor de Firewire

  La opción CONFIG_FIREWIRE se desactivó en Oracle Linux 9. Por lo tanto, el controlador Firewire está en desuso e inutilizable en esta versión de UEK.

• opción crashkernel=auto

  La opción crashkernel=auto está en desuso y ya no se admite en Oracle Linux 9 y, por lo tanto, no se admite para UEK R7 en Oracle Linux 9. Algunas plataformas, como la Raspberry Pi, tienen límites máximos para la reserva de memoria crashkernel y estos se deben especificar explícitamente. Esta opción se eliminará en futuras versiones de UEK.

• Varios módulos del programador de red

  Los siguientes módulos del programador de red están en desuso:

  • cls_tcindex
  • cls_rsvp
  • sch_dsmark
  • sch_atm
  • sch_cbq

  Estos módulos pueden estar desactivados o bloqueados y pueden eliminarse en futuras versiones de UEK. Los módulos ya se han eliminado en el núcleo de Linux ascendente.

• Módulo resilient_rdmaip en desuso

  El módulo resilient_rdmaip está en desuso en UEK R7. Este módulo se eliminará en futuras versiones de UEK.

• Algoritmo SHA-1

  El algoritmo SHA-1 está en desuso en UEK R7U3 mientras está en modo FIPS y se eliminará en futuras versiones de UEK. El algoritmo SHA-1 ha sido retirado por el Instituto Nacional de Estándares y Tecnología (NIST) porque el algoritmo hash SHA-1 ya no se considera seguro. Consulte las notas de la versión de Oracle Linux para obtener más información sobre SHA-1.