Nuevas características y cambios en UEK 8U2

UEK 8U2 se lanzó inicialmente con la versión 6.12.0-200.74.27 del núcleo.

Un nuevo módulo de núcleo independiente FIPS 140 está disponible como parte de un esfuerzo para rediseñar y reducir el límite del módulo criptográfico FIPS 140-3 mediante la encapsulación de una API criptográfica de núcleo estable dentro de un módulo de núcleo fips140.ko independiente.

Este cambio ayuda a proporcionar la separación entre el módulo criptográfico y el resto del núcleo, por lo que la certificación FIPS se puede dirigir al módulo criptográfico utilizado por el núcleo. Esta implementación significa que el límite del módulo criptográfico no cambia cada vez que se compila el núcleo y proporciona una mayor confianza en la certificación.

La nueva implementación incrusta el módulo fips140.ko y el resumen de HMAC en la imagen de núcleo vmlinux después de la compilación. El HMAC se comprueba cuando el módulo se carga mediante el algoritmo HMAC desde el propio fips140.ko. El cargador de inicio carga el módulo y su resumen en la memoria junto con el resto del núcleo cuando el modo FIPS está activado. Estos componentes criptográficos se pueden extraer fácilmente de la imagen del núcleo con fines de verificación.

La reparación del sistema de archivos en línea XFS es compatible con UEK 8U2 y posteriores. En esta versión, la etiqueta experimental se elimina de las herramientas.

Puede utilizar esta función para comprobar y reparar los sistemas de archivos XFS mientras permanecen montados y completamente operativos. La reparación en línea de XFS puede reducir el tiempo de inactividad y mejorar la capacidad de mantenimiento para implementaciones de misión crítica y a gran escala.

La reparación del sistema de archivos en línea de XFS se realiza mediante la utilidad xfs_scrub, que puede detectar y corregir la corrupción de metadatos sin necesidad de desmontar ni interrumpir las cargas de trabajo activas. Puede ejecutar xfs_scrub para verificar sistemáticamente los metadatos del sistema de archivos, como inodes, directorios y grupos de asignación. Cuando se detectan inconsistencias, la herramienta proporciona opciones para realizar reparaciones específicas mientras está en línea.

Para utilizar esta función, asegúrese de que el sistema ejecute UEK 8 o posterior, y las últimas herramientas de espacio de usuario de XFS.

Consulte la página del manual xfs_scrub(8). Consulte también https://docs.kernel.org/filesystems/xfs/xfs-online-fsck-design.html.

La creación de perfiles de asignación de memoria está disponible en UEK 8U2. Esta función realiza un seguimiento de la asignación de memoria para ayudar a revisar dónde se utiliza la memoria y cuándo se realiza un seguimiento de las fugas de memoria. La función utiliza el etiquetado de código para realizar un seguimiento de dónde se asignó la memoria, cuándo se libera la memoria asignada, el número de asignaciones y la cantidad de memoria que aún está en uso.

La opción está desactivada por defecto, pero se puede activar en el inicio mediante el parámetro de inicio:

sysctl.vm.mem_profiling=1

Puede acceder a la información de tiempo de ejecución para la creación de perfiles de asignación de memoria en /proc/allocinfo.

Consulte https://docs.kernel.org/mm/allocation-profiling.html para obtener más información. Tenga en cuenta que la opción comprimida para la creación de perfiles de asignación de memoria no está disponible en UEK 8U2.

Esta versión presenta páginas de protección ligeras que proporcionan una forma de marcar regiones de memoria virtual para que disparen fallos de segmentación (SIGSEGV) cuando se accede. Esta función es importante para las pilas de threads y los asignadores de memoria del espacio de usuario. El mecanismo está diseñado para eliminar cualquier sobrecarga de memoria, mediante el uso de marcadores de protección en lugar de crear o dividir áreas de memoria virtual (VMA).

Antes de las páginas de protección ligeras, se lograba una funcionalidad similar mediante mmap(.., PROT_NONE), que generaba sobrecarga de memoria. A medida que los procesos y los threads se amplían mediante este método, la sobrecarga aumenta. Además, la memoria asignada de esta manera permanece no disponible para la asignación a los procesos de usuario. Mediante el uso de páginas de protección ligeras, se evita la sobrecarga y se logran ganancias significativas de memoria.

La actualización utiliza los nuevos comandos madvise():

• MADV_GUARD_INSTALL instala marcadores de protección y elimina las asignaciones existentes en el rango. La instalación se aplica solo a la memoria anónima y la instalación no está permitida para VMA especiales, enormes o bloqueadas (mock'ed).
• MADV_GUARD_REMOVE elimina sólo los marcadores de protección, manteniendo las asignaciones normales intactas.

Los rangos protegidos persisten en MADV_DONTNEED o MADV_FREE (protección garantizada hasta que se elimine), pero se borran con el desmontaje del proceso o la anulación de asignación explícita.

La virtualización cifrada segura (SEV) de AMD y la paginación anidada segura de virtualización cifrada de AMD (SEV-SNP) son componentes clave en la tecnología informática confidencial de AMD. SEV es una función basada en hardware que cifra la memoria de las máquinas virtuales que se ejecutan en procesadores AMD EPYC, para proteger los datos de la máquina virtual del acceso no autorizado por parte del host del hipervisor, incluso si el host del hipervisor se ve comprometido. SEV utiliza una clave de cifrado dedicada para cada máquina virtual, gestionada por el procesador. SEV debe estar activado tanto en el sistema operativo invitado como en el host del hipervisor de KVM para que funcione.

En Oracle Linux 9 y Oracle Linux 10, UEK 8U2 incluye soporte de invitado e hipervisor para SEV-SNP, que ayuda a prevenir ataques maliciosos basados en hipervisor, como la reproducción de datos y la reasignación de memoria, entre otros vectores, como los ataques de canal lateral. SEV-SNP está disponible en servidores basados en AMD E4 o posterior (Milan). Esta funcionalidad requiere las últimas versiones de los paquetes edk2-ovmf y qemu.

Intel Trust Domain Extensions (TDX) es la tecnología informática confidencial de Intel utilizada para proporcionar entornos de ejecución de confianza. TDX se utiliza para desplegar cargas de trabajo virtuales en dominios de confianza (TD) para proporcionar aislamiento basado en hardware mediante la gestión y el cifrado de la memoria para mantener la integridad y la confidencialidad de los estados de la CPU en los TD.

En Oracle Linux 9 y Oracle Linux 10, UEK 8U2 incluye soporte de invitado e hipervisor para TDX.

Consulte https://www.intel.com/content/www/us/en/developer/tools/trust-domain-extensions/overview.html para obtener más información.

El cliente Common Internet File System (CIFS) puede crear enlaces simbólicos, enlaces simbólicos, que son reconocidos por Server Message Block (SMB), Network File System (NFS) y Windows Subsystem for Linux (WSL). Utilice la opción de montaje symlink=default|none|native|unix|mfsymlinks|sfu|nfs|wsl para no permitir la creación de enlaces simbólicos o para seleccionar el tipo de enlaces simbólicos que crea el cliente.

El cliente también puede crear otros archivos especiales, incluidos dispositivos de caracteres, dispositivos de bloques, tuberías y sockets. Estos archivos se crean como puntos de análisis NFS o WSL mediante la opción de montaje reparse=default|none|nfs|wsl. Para crear sockets nativos de Windows utilizados por las aplicaciones de Windows en NTFS, utilice la opción de montaje nativesocket.

Los controladores de dispositivos incluidos en UEK 8U2 están alineados con los controladores en el núcleo mainline de Linux 6.12 ascendente. Se incluyen algunas actualizaciones notables en las que los controladores incluyen funcionalidades o correcciones disponibles en versiones posteriores del núcleo ascendente.

Muchos módulos de controladores ya no realizan un seguimiento de la información de la versión. Oracle colabora con los proveedores para alinear los controladores de dispositivos incluidos en UEK 8U2 con el código disponible en las versiones de núcleo ascendente.

Las actualizaciones de controladores notables se presentan en la siguiente tabla:

Las siguientes funciones están en desuso, se eliminaron o ya no se admiten en UEK 8: