Nuove funzionalità e modifiche in UEK 8U2

UEK 8U2 viene rilasciato inizialmente con la versione 6.12.0-200.74.27 del kernel.

Un nuovo modulo kernel standalone FIPS 140 è disponibile nel tentativo di riprogettare e ridurre il limite del modulo crittografico FIPS 140-3 incapsulando un'API di crittografia kernel stabile all'interno di un modulo kernel standalone fips140.ko.

Questo cambiamento aiuta a fornire la separazione tra il modulo crittografico e il resto del kernel, quindi la certificazione FIPS può essere indirizzata al modulo crittografico utilizzato dal kernel. Questa implementazione significa che il limite del modulo crittografico non cambia ogni volta che il kernel viene compilato e fornisce maggiore fiducia nella certificazione.

La nuova implementazione incorpora il modulo fips140.ko e il digest HMAC nell'immagine del kernel vmlinux dopo la compilazione. L'HMAC viene controllato quando il modulo viene caricato utilizzando l'algoritmo HMAC dall'interno del fips140.ko stesso. Il modulo e il suo digest vengono caricati in memoria insieme al resto del kernel dal boot loader quando la modalità FIPS è abilitata. Questi componenti crittografici possono essere facilmente estratti dall'immagine del kernel a scopo di verifica.

La riparazione del file system online XFS è supportata con UEK 8U2 e versioni successive. In questa release, il tag sperimentale viene rimosso dagli strumenti.

È possibile utilizzare questa funzione per controllare e riparare i file system XFS mentre rimangono attivati e completamente operativi. La riparazione online XFS può ridurre i tempi di inattività e migliorare la manutenibilità per implementazioni mission-critical e su larga scala.

La riparazione del file system in linea XFS viene eseguita utilizzando la utility xfs_scrub, in grado di rilevare e correggere il danneggiamento dei metadati senza richiedere il NO MOUNT o l'interruzione dei carichi di lavoro attivi. È possibile eseguire xfs_scrub per verificare sistematicamente i metadati del file system, ad esempio gli inodi, le directory e i gruppi di allocazione. Quando vengono rilevate incoerenze, lo strumento fornisce opzioni per eseguire riparazioni mirate mentre è online.

Per utilizzare questa funzione, assicurarsi che nel sistema siano in esecuzione UEK 8 o versioni successive e gli strumenti dello spazio utente XFS più recenti.

Vedere la pagina del manuale xfs_scrub(8). Vedere anche https://docs.kernel.org/filesystems/xfs/xfs-online-fsck-design.html.

La profilazione di allocazione della memoria è disponibile in UEK 8U2. Questa funzione tiene traccia dell'allocazione della memoria per facilitare la revisione della posizione in cui viene utilizzata la memoria e il monitoraggio delle perdite di memoria. La funzione utilizza il codice tagging per tenere traccia di dove è stata allocata la memoria, quando viene liberata la memoria allocata, il numero di allocazioni e la quantità di memoria ancora in uso.

L'opzione è disabilitata per impostazione predefinita, ma può essere abilitata al boot mediante il parametro di boot:

sysctl.vm.mem_profiling=1

È possibile accedere alle informazioni di runtime per la profilazione dell'allocazione di memoria in /proc/allocinfo.

Per ulteriori informazioni, vedere https://docs.kernel.org/mm/allocation-profiling.html. Si noti che l'opzione compressa per la profilazione dell'allocazione della memoria non è disponibile in UEK 8U2.

Questa release introduce pagine di protezione leggere che forniscono un modo per contrassegnare le aree della memoria virtuale in modo da attivare gli errori di segmentazione (SIGSEGV) quando si accede. Questa funzione è importante per gli stack di thread e gli allocatori di memoria userland. Il meccanismo è progettato per rimuovere qualsiasi sovraccarico di memoria, utilizzando marcatori di protezione piuttosto che creare o dividere aree di memoria virtuale (VMA).

Prima di leggere pagine di protezione, la funzionalità simile è stata raggiunta utilizzando mmap(.., PROT_NONE), che ha sostenuto il sovraccarico di memoria. Man mano che i processi e i thread aumentano utilizzando questo metodo, il sovraccarico aumenta. Inoltre, la memoria mappata in questo modo rimane non disponibile per l'allocazione ai processi utente. Utilizzando pagine di protezione leggere, il sovraccarico viene evitato e si ottengono significativi guadagni di memoria.

L'aggiornamento utilizza i nuovi comandi madvise():

• MADV_GUARD_INSTALL installa gli indicatori di protezione e rimuove i mapping esistenti nell'intervallo. L'installazione si applica solo alla memoria anonima e l'installazione non è consentita per VMA speciali, enormi o bloccati (fittizi).
• MADV_GUARD_REMOVE rimuove solo gli indicatori di protezione, mantenendo intatte le normali mappature.

Gli intervalli protetti persistono su MADV_DONTNEED o MADV_FREE (protezione garantita fino alla rimozione), ma vengono cancellati con il teardown del processo o l'annullamento esplicito della mappatura.

AMD Secure Encrypted Virtualization (SEV) e AMD Secure Encrypted Virtualization-Secure Nested Paging (SEV-SNP) sono componenti chiave nella tecnologia di elaborazione confidenziale di AMD. SEV è una funzionalità basata su hardware che crittografa la memoria delle macchine virtuali in esecuzione su processori AMD EPYC, per proteggere i dati della VM dall'accesso non autorizzato da parte dell'host hypervisor, anche se l'host hypervisor è compromesso. SEV utilizza una chiave di cifratura dedicata per ogni VM, gestita dal processore. SEV deve essere abilitato sia nel sistema operativo guest che nell'host hypervisor KVM per funzionare.

Su Oracle Linux 9 e Oracle Linux 10, UEK 8U2 include il supporto guest e hypervisor per SEV-SNP, che consente di prevenire attacchi malevoli basati su hypervisor, come la replica dei dati e il remapping della memoria, tra altri vettori come gli attacchi dei canali laterali. SEV-SNP è disponibile su server basati su AMD E4 o versioni successive (Milano). Questa funzionalità richiede le versioni più recenti dei pacchetti edk2-ovmf e qemu.

Intel Trust Domain Extensions (TDX) è la tecnologia di elaborazione riservata di Intel utilizzata per fornire ambienti di esecuzione affidabili. TDX viene utilizzato per distribuire carichi di lavoro virtuali nei domini fiduciari (TD) per fornire isolamento basato su hardware gestendo e cifrando la memoria per mantenere l'integrità e la riservatezza degli stati CPU all'interno dei TD.

Su Oracle Linux 9 e Oracle Linux 10, UEK 8U2 include supporto per guest e hypervisor per TDX.

Per ulteriori informazioni, vedere https://www.intel.com/content/www/us/en/developer/tools/trust-domain-extensions/overview.html.

Il client CIFS (Common Internet File System) può creare collegamenti simbolici, collegamenti simbolici, riconosciuti da Server Message Block (SMB), Network File System (NFS) e Windows Subsystem for Linux (WSL). Usare l'opzione di attivazione symlink=default|none|native|unix|mfsymlinks|sfu|nfs|wsl per non consentire la creazione di collegamenti simbolici o per selezionare il tipo di collegamenti simbolici creati dal client.

Il client può anche creare altri file speciali, inclusi dispositivi a caratteri, dispositivi a blocchi, tubi e socket. Questi file vengono creati come punti di riparazione NFS o WSL utilizzando l'opzione di attivazione reparse=default|none|nfs|wsl. Per creare socket Windows nativi utilizzati dalle applicazioni Windows su NTFS, utilizzare l'opzione di attivazione nativesocket.

I driver inclusi in UEK 8U2 sono allineati con i driver nel kernel Linux 6.12 mainline a monte. Alcuni aggiornamenti importanti sono inclusi in cui i driver includono funzionalità o correzioni disponibili nelle versioni successive del kernel a monte.

Molti moduli driver non tengono più traccia delle informazioni sulla versione. Oracle collabora con i fornitori per allineare i driver dei dispositivi inclusi in UEK 8U2 al codice disponibile nelle versioni kernel a monte.

Nella tabella riportata di seguito vengono forniti importanti aggiornamenti dei driver.

Le seguenti funzionalità sono deprecate, rimosse o non sono più supportate in UEK 8: