Nouvelles fonctionnalités et changements dans UEK 8U2

UEK 8U2 est initialement sorti avec la version 6.12.0-200.74.27 du noyau.

Un nouveau module de noyau autonome FIPS 140 est disponible dans le cadre d'un effort de refonte et de réduction de la limite du module cryptographique FIPS 140-3 en encapsulant une API cryptographique de noyau stable dans un module de noyau fips140.ko autonome.

Ce changement contribue à assurer la séparation entre le module cryptographique et le reste du noyau, de sorte que la certification FIPS peut être ciblée sur le module cryptographique utilisé par le noyau. Cette mise en oeuvre signifie que la limite du module cryptographique ne change pas chaque fois que le noyau est compilé et offre une plus grande confiance dans la certification.

La nouvelle mise en oeuvre intègre le module fips140.ko et le condensé HMAC dans l'image du noyau vmlinux après la compilation. Le HMAC est vérifié lorsque le module est chargé à l'aide de l'algorithme HMAC à partir de fips140.ko lui-même. Le module et son condensé sont chargés en mémoire le long du reste du noyau par le chargeur de démarrage lorsque le mode FIPS est activé. Ces composants cryptographiques peuvent facilement être extraits de l'image du noyau à des fins de vérification.

La réparation du système de fichiers en ligne XFS est prise en charge avec UEK 8U2 et versions ultérieures. Dans cette version, l'étiquette expérimentale est retirée de l'outillage.

Vous pouvez utiliser cette fonctionnalité pour vérifier et réparer les systèmes de fichiers XFS pendant qu'ils restent montés et pleinement opérationnels. La réparation en ligne XFS peut réduire les temps d'arrêt et améliorer la maintenabilité pour les déploiements critiques et à grande échelle.

La réparation du système de fichiers en ligne XFS est réalisée à l'aide de l'utilitaire xfs_scrub, qui peut détecter et corriger la corruption des métadonnées sans nécessiter de démontage ou d'interruption des charges de travail actives. Vous pouvez exécuter xfs_scrub pour vérifier systématiquement les métadonnées du système de fichiers telles que les inodes, les répertoires et les groupes d'affectation. Lorsque des incohérences sont détectées, l'outil fournit des options pour effectuer des réparations ciblées en ligne.

Pour utiliser cette fonctionnalité, assurez-vous que le système exécute UEK 8 ou une version ultérieure, ainsi que les derniers outils d'espace utilisateur XFS.

Consultez la page de manuel xfs_scrub(8). Voir aussi https://docs.kernel.org/filesystems/xfs/xfs-online-fsck-design.html.

Le profilage de l'allocation de mémoire est disponible dans UEK 8U2. Cette fonctionnalité suit l'allocation de mémoire pour vous aider à vérifier où la mémoire est utilisée et à détecter les fuites de mémoire. La fonctionnalité utilise le balisage de code pour suivre où la mémoire a été allouée, lorsque la mémoire allouée est libérée, le nombre d'allocations et la quantité de mémoire encore utilisée.

L'option est désactivée par défaut, mais peut être activée au démarrage à l'aide du paramètre de démarrage :

sysctl.vm.mem_profiling=1

Vous accédez aux informations d'exécution pour le profilage de l'affectation de mémoire dans /proc/allocinfo.

Pour plus d'informations, voir https://docs.kernel.org/mm/allocation-profiling.html. Notez que l'option compressée pour le profilage d'allocation de mémoire n'est pas disponible dans UEK 8U2.

Cette version introduit des pages de garde légères qui fournissent un moyen de marquer des régions de mémoire virtuelle afin qu'elles déclenchent des erreurs de segmentation (SIGSEGV) lors de l'accès. Cette fonctionnalité est importante pour les piles de threads et les répartiteurs de mémoire userland. Le mécanisme est conçu pour supprimer toute surcharge de mémoire, en utilisant des marqueurs de garde plutôt que de créer ou de fractionner des zones de mémoire virtuelle (ZMV).

Avant les pages de protection légères, une fonctionnalité similaire était obtenue à l'aide de mmap(.., PROT_NONE), ce qui entraînait une surcharge de mémoire. À mesure que les processus et les threads évoluent avec cette méthode, les frais généraux augmentent. De plus, la mémoire ainsi mappée reste indisponible pour l'affectation aux processus utilisateur. En utilisant des pages de garde légères, la surcharge est évitée et des gains de mémoire importants sont obtenus.

La mise à jour utilise les nouvelles commandes madvise() :

• MADV_GUARD_INSTALL installe des marqueurs de protection et supprime les mappages existants dans l'intervalle. L'installation s'applique uniquement à la mémoire anonyme et l'installation n'est pas autorisée pour les VMAs spéciaux, énormes ou verrouillés.
• MADV_GUARD_REMOVE supprime uniquement les marqueurs de garde, en gardant les mappages normaux intacts.

Les plages protégées persistent sur MADV_DONTNEED ou MADV_FREE (protection garantie jusqu'à ce qu'elles soient supprimées), mais elles sont effacées par démontage de processus ou annulation explicite du mappage.

AMD Secure Encrypted Virtualization (SEV) et AMD Secure Encrypted Virtualization-Secure Nested Paging (SEV-SNP) sont des composants clés de la technologie informatique confidentielle d'AMD. SEV est une fonction matérielle qui chiffre la mémoire des machines virtuelles exécutées sur les processeurs AMD EPYC afin de protéger les données de la machine virtuelle contre tout accès non autorisé par l'hôte de l'hyperviseur, même si l'hôte de l'hyperviseur est compromis. SEV utilise une clé de chiffrement dédiée pour chaque machine virtuelle, gérée par le processeur. SEV doit être activé à la fois dans le système d'exploitation invité et dans l'hôte de l'hyperviseur KVM pour fonctionner.

Sur Oracle Linux 9 et Oracle Linux 10, UEK 8U2 inclut la prise en charge des invités et des hyperviseurs pour SEV-SNP, ce qui aide à prévenir les attaques malveillantes basées sur un hyperviseur, telles que la réexécution des données et le remappage de la mémoire, entre autres vecteurs tels que les attaques de canal latéral. SEV-SNP est disponible sur les serveurs AMD E4 ou version ultérieure (Milan). Cette fonctionnalité nécessite les dernières versions des ensembles edk2-ovmf et qemu.

Intel Trust Domain Extensions (TDX) est la technologie informatique confidentielle d'Intel utilisée pour fournir des environnements d'exécution fiables. TDX est utilisé pour déployer des charges de travail virtuelles dans des domaines approuvés (TD) afin de fournir une isolation matérielle en gérant et en chiffrant la mémoire afin de maintenir l'intégrité et la confidentialité des états CPU au sein des TD.

Sur Oracle Linux 9 et Oracle Linux 10, UEK 8U2 comprend la prise en charge des invités et des hyperviseurs pour TDX.

Pour plus d'informations, voir https://www.intel.com/content/www/us/en/developer/tools/trust-domain-extensions/overview.html.

The Common Internet File System (CIFS) client can create symbolic links, symlinks, that are recognized by Server Message Block (SMB), Network File System (NFS) and Windows Subsystem for Linux (WSL). Utilisez l'option de montage symlink=default|none|native|unix|mfsymlinks|sfu|nfs|wsl pour interdire la création de liens symlinks ou pour sélectionner le type de liens symlinks que le client crée.

Le client peut également créer d'autres fichiers spéciaux, notamment des périphériques de caractères, des périphériques de bloc, des tuyaux et des sockets. Ces fichiers sont créés en tant que points d'analyse NFS ou WSL à l'aide de l'option de montage reparse=default|none|nfs|wsl. Pour créer des sockets Windows natifs utilisés par les applications Windows sur NTFS, utilisez l'option de montage nativesocket.

Les pilotes de périphériques inclus dans UEK 8U2 sont alignés avec les pilotes du noyau en amont Linux 6.12. Quelques mises à jour notables sont incluses dans lesquelles les pilotes incluent des fonctionnalités ou des correctifs disponibles dans des versions ultérieures du noyau en amont.

De nombreux modules de pilote ne suivent plus les informations de version. Oracle travaille avec les fournisseurs pour aligner les pilotes de périphérique inclus dans UEK 8U2 avec le code disponible dans les versions de noyau en amont.

Les mises à jour notables des pilotes sont présentées dans le tableau suivant :

Les fonctionnalités suivantes sont obsolètes, supprimées ou ne sont plus prises en charge dans UEK 8 :