Nouvelles fonctionnalités et modifications dans UEK 8U2

UEK 8U2 est initialement publié avec la version 6.12.0-200.74.27 du noyau.

Un nouveau module de noyau autonome FIPS 140 est disponible dans le cadre d'une tentative de refonte et de réduction de la limite du module cryptographique FIPS 140-3 en encapsulant une API cryptographique de noyau stable dans un module de noyau fips140.ko autonome.

Cette modification permet d'assurer la séparation entre le module cryptographique et le reste du noyau, de sorte que la certification FIPS peut être ciblée sur le module cryptographique utilisé par le noyau. Cette implémentation signifie que la limite du module cryptographique ne change pas chaque fois que le noyau est compilé et offre une plus grande confiance dans la certification.

La nouvelle implémentation intègre le module fips140.ko et la synthèse HMAC dans l'image de noyau vmlinux après compilation. La vérification HMAC est effectuée lorsque le module est chargé à l'aide de l'algorithme HMAC à partir de fips140.ko lui-même. Le module et sa synthèse sont chargés en mémoire avec le reste du noyau par le programme d'initialisation lorsque le mode FIPS est activé. Ces composants cryptographiques peuvent facilement être extraits de l'image du noyau à des fins de vérification.

La réparation du système de fichiers en ligne XFS est prise en charge avec UEK 8U2 et versions ultérieures. Dans cette version, la balise expérimentale est supprimée de l'outillage.

Vous pouvez utiliser cette fonctionnalité pour vérifier et réparer les systèmes de fichiers XFS lorsqu'ils restent montés et pleinement opérationnels. La réparation en ligne de XFS peut réduire les temps d'arrêt et améliorer la facilité de maintenance pour les déploiements stratégiques et à grande échelle.

La réparation du système de fichiers en ligne XFS est réalisée à l'aide de l'utilitaire xfs_scrub, qui peut détecter et corriger les altérations de métadonnées sans nécessiter de démontage ou d'interruption des charges de travail actives. Vous pouvez exécuter xfs_scrub pour vérifier systématiquement les métadonnées du système de fichiers, telles que les inodes, les répertoires et les groupes d'allocation. Lorsque des incohérences sont détectées, l'outil fournit des options pour effectuer des réparations ciblées en ligne.

Pour utiliser cette fonctionnalité, assurez-vous que le système exécute UEK 8 ou une version ultérieure et les derniers outils d'espace utilisateur XFS.

Consultez la page de manuel xfs_scrub(8). Reportez-vous également à https://docs.kernel.org/filesystems/xfs/xfs-online-fsck-design.html.

Le profilage d'allocation de mémoire est disponible dans UEK 8U2. Cette fonctionnalité permet de suivre l'allocation de mémoire pour vous aider à vérifier où la mémoire est utilisée et à détecter les fuites de mémoire. La fonctionnalité utilise le balisage de code pour suivre où la mémoire a été allouée, lorsque la mémoire allouée est libérée, le nombre d'allocations et la quantité de mémoire encore utilisée.

L'option est désactivée par défaut mais peut être activée à l'initialisation à l'aide du paramètre d'initialisation :

sysctl.vm.mem_profiling=1

Vous accédez aux informations d'exécution pour le profilage d'allocation de mémoire dans /proc/allocinfo.

Pour plus d'informations, reportez-vous à https://docs.kernel.org/mm/allocation-profiling.html. Notez que l'option compressée pour le profilage d'allocation de mémoire n'est pas disponible dans UEK 8U2.

Cette version introduit des pages de garde légères qui permettent de marquer des régions de mémoire virtuelle afin qu'elles déclenchent des erreurs de segmentation (SIGSEGV) lors de l'accès. Cette fonctionnalité est importante pour les piles de threads et les allouateurs de mémoire utilisateur. Le mécanisme est conçu pour supprimer toute surcharge de mémoire, en utilisant des marqueurs de garde plutôt que de créer ou de diviser des zones de mémoire virtuelle (VMA).

Avant les pages de protection légères, des fonctionnalités similaires étaient obtenues en utilisant mmap(.., PROT_NONE), ce qui entraînait une surcharge de mémoire. Au fur et à mesure que les processus et les threads augmentent à l'aide de cette méthode, la surcharge augmente. En outre, la mémoire ainsi mappée reste indisponible pour l'allocation aux processus utilisateur. En utilisant des pages de garde légères, la surcharge est évitée et des gains de mémoire importants sont réalisés.

La mise à jour utilise les nouvelles commandes madvise() :

• MADV_GUARD_INSTALL installe des marqueurs de protection et supprime les mappings existants dans la plage. L'installation s'applique uniquement à la mémoire anonyme et l'installation n'est pas autorisée pour les VMA spéciaux, volumineux ou verrouillés ( simulés).
• MADV_GUARD_REMOVE supprime uniquement les marqueurs de garde, en conservant les mappages normaux intacts.

Les plages protégées persistent sur MADV_DONTNEED ou MADV_FREE (protection garantie jusqu'à suppression), mais sont effacées avec le démontage du processus ou le démappage explicite.

AMD Secure Encrypted Virtualization (SEV) et AMD Secure Encrypted Virtualization-Secure Nested Paging (SEV-SNP) sont des composants clés de la technologie informatique confidentielle d'AMD. SEV est une fonctionnalité matérielle qui chiffre la mémoire des machines virtuelles exécutées sur les processeurs AMD EPYC, afin de protéger les données de la machine virtuelle contre tout accès non autorisé par l'hôte de l'hyperviseur, même si l'hôte de l'hyperviseur est compromis. SEV utilise une clé de chiffrement dédiée pour chaque machine virtuelle, gérée par le processeur. SEV doit être activé dans le système d'exploitation invité et dans l'hôte de l'hyperviseur KVM pour fonctionner.

Sur Oracle Linux 9 et Oracle Linux 10, UEK 8U2 inclut la prise en charge des invités et des hyperviseurs pour SEV-SNP, ce qui permet d'éviter les attaques malveillantes basées sur un hyperviseur, telles que la réexécution de données et le remappage de mémoire, entre autres vecteurs tels que les attaques de canal latéral. SEV-SNP est disponible sur les serveurs AMD E4 ou ultérieurs (Milan). Cette fonctionnalité requiert les dernières versions des packages edk2-ovmf et qemu.

Intel Trust Domain Extensions (TDX) est la technologie informatique confidentielle d'Intel utilisée pour fournir des environnements d'exécution sécurisés. TDX est utilisé pour déployer des charges de travail virtuelles dans des domaines sécurisés afin de fournir une isolation matérielle en gérant et en chiffrant la mémoire pour maintenir l'intégrité et la confidentialité des états de CPU au sein des TD.

Sur Oracle Linux 9 et Oracle Linux 10, UEK 8U2 inclut la prise en charge des invités et des hyperviseurs pour TDX.

Pour plus d'informations, reportez-vous à https://www.intel.com/content/www/us/en/developer/tools/trust-domain-extensions/overview.html.

Le client CIFS (Common Internet File System) peut créer des liens symboliques, des liens symboliques, qui sont reconnus par SMB (Server Message Block (SMB), NFS (Network File System) et WSL (Windows Subsystem for Linux). Utilisez l'option de montage symlink=default|none|native|unix|mfsymlinks|sfu|nfs|wsl pour interdire la création de liens symboliques ou pour sélectionner le type de liens symboliques que le client crée.

Le client peut également créer d'autres fichiers spéciaux, notamment des périphériques à caractères, des périphériques en mode bloc, des canaux et des sockets. Ces fichiers sont créés en tant que points de réanalyse NFS ou WSL en utilisant l'option de montage reparse=default|none|nfs|wsl. Pour créer des sockets Windows natifs utilisés par les applications Windows sur NTFS, utilisez l'option de montage nativesocket.

Les pilotes de périphérique inclus dans UEK 8U2 sont alignés avec les pilotes du noyau Linux 6.12 de la ligne principale en amont. Quelques mises à jour notables sont incluses où les pilotes incluent des fonctionnalités ou des correctifs disponibles dans les versions ultérieures du noyau en amont.

De nombreux modules de pilote ne suivent plus les informations de version. Oracle collabore avec les fournisseurs pour aligner les pilotes de périphérique inclus dans UEK 8U2 sur le code disponible dans les versions de noyau en amont.

Les mises à jour notables des pilotes sont présentées dans le tableau suivant :

Les fonctionnalités suivantes sont en phase d'abandon, supprimées ou ne sont plus prises en charge dans UEK 8 :