Novos recursos e mudanças no UEK 8U2

UEK 8U2 é lançado inicialmente com a versão 6.12.0-200.74.27 do kernel.

Um novo módulo kernel autônomo FIPS 140 está disponível como parte de um esforço para reprojetar e reduzir o limite do módulo criptográfico FIPS 140-3 encapsulando uma API de criptografia de kernel estável dentro de um módulo kernel fips140.ko autônomo.

Essa alteração ajuda a fornecer a separação entre o módulo criptográfico e o restante do kernel, portanto, a certificação FIPS pode ser direcionada ao módulo criptográfico usado pelo kernel. Essa implementação significa que o limite do módulo criptográfico não muda toda vez que o kernel é compilado e fornece maior confiança na certificação.

A nova implementação incorpora o módulo fips140.ko e a compilação HMAC na imagem do kernel vmlinux após a compilação. O HMAC é verificado quando o módulo é carregado usando o algoritmo HMAC do próprio fips140.ko. O módulo e sua compilação são carregados na memória ao lado do resto do kernel pelo carregador de inicialização quando o modo FIPS está ativado. Esses componentes criptográficos podem ser facilmente extraídos da imagem do kernel para fins de verificação.

O reparo do sistema de arquivos on-line XFS é suportado com o UEK 8U2 e posterior. Nesta versão, a tag experimental é removida do conjunto de ferramentas.

Você pode usar esse recurso para verificar e reparar sistemas de arquivos XFS enquanto eles permanecem montados e totalmente operacionais. O reparo on-line do XFS pode reduzir o tempo de inatividade e melhorar a capacidade de manutenção para implementações de missão crítica e em larga escala.

O reparo do sistema de arquivos on-line XFS é feito usando o utilitário xfs_scrub, que pode detectar e corrigir a corrupção de metadados sem exigir desmontagem ou interrupção das cargas de trabalho ativas. Você pode executar o xfs_scrub para verificar sistematicamente metadados do sistema de arquivos, como inodes, diretórios e grupos de alocação. Quando inconsistências são detectadas, a ferramenta fornece opções para realizar reparos direcionados enquanto estiver on-line.

Para usar esse recurso, certifique-se de que o sistema esteja executando o UEK 8 ou posterior e as ferramentas de espaço do usuário XFS mais recentes.

Consulte a página do manual xfs_scrub(8). Consulte também https://docs.kernel.org/filesystems/xfs/xfs-online-fsck-design.html.

A criação de perfil de alocação de memória está disponível no UEK 8U2. Este recurso rastreia a alocação de memória para ajudar ao revisar onde a memória é usada e ao rastrear vazamentos de memória. O recurso usa a marcação de código para rastrear onde a memória foi alocada, quando a memória alocada é liberada, o número de alocações e a quantidade de memória ainda em uso.

A opção é desativada por padrão, mas pode ser ativada na inicialização usando o parâmetro de inicialização:

sysctl.vm.mem_profiling=1

Você acessa informações de runtime para criação de perfil de alocação de memória em /proc/allocinfo.

Consulte https://docs.kernel.org/mm/allocation-profiling.html para obter mais informações. Observe que a opção compactada para criação de perfil de alocação de memória não está disponível no UEK 8U2.

Esta versão apresenta páginas de proteção leves que fornecem uma maneira de marcar regiões de memória virtual para que elas acionem falhas de segmentação (SIGSEGV) quando acessadas. Esse recurso é importante para pilhas de thread e alocadores de memória userland. O mecanismo é projetado para remover qualquer sobrecarga de memória, usando marcadores de proteção em vez de criar ou dividir Áreas de Memória Virtual (VMAs).

Antes das páginas de proteção leves, a funcionalidade semelhante era obtida usando o mmap(.., PROT_NONE), que incorria em sobrecarga de memória. À medida que processos e threads aumentam usando esse método, a sobrecarga aumenta. Além disso, a memória mapeada dessa forma permanece indisponível para alocação aos processos do usuário. Usando páginas de proteção leves, a sobrecarga é evitada e ganhos significativos de memória são alcançados.

A atualização usa novos comandos madvise():

• MADV_GUARD_INSTALL instala marcadores de proteção e remove mapeamentos existentes no intervalo. A instalação se aplica somente à memória anônima e a instalação não é permitida para VMAs especiais, enormes ou bloqueados (com simulação).
• MADV_GUARD_REMOVE remove apenas os marcadores de proteção, mantendo todos os mapeamentos normais intocados.

Os intervalos protegidos persistem sobre MADV_DONTNEED ou MADV_FREE (proteção garantida até serem removidos), mas são removidos com desmontagem do processo ou cancelamento explícito do mapeamento.

AMD Secure Encrypted Virtualization (SEV) e AMD Secure Encrypted Virtualization-Secure Nested Paging (SEV-SNP) são os principais componentes da tecnologia de computação confidencial da AMD. O SEV é um recurso baseado em hardware que criptografa a memória de máquinas virtuais em execução em processadores AMD EPYC, para proteger os dados da VM contra acesso não autorizado pelo host do hypervisor, mesmo que o host do hypervisor esteja comprometido. O SEV usa uma chave de criptografia dedicada para cada VM, gerenciada pelo processador. O SEV deve estar ativado no sistema operacional convidado e no host do hipervisor KVM para funcionar.

No Oracle Linux 9 e Oracle Linux 10, o UEK 8U2 inclui suporte a convidados e hipervisores para SEV-SNP, que ajuda a evitar ataques maliciosos baseados em hipervisor, como reprodução de dados e remapeamento de memória, entre outros vetores, como ataques de canais laterais. O SEV-SNP está disponível em servidores baseados em AMD E4 ou em versões posteriores (Milão). Essa funcionalidade requer as versões mais recentes do pacote edk2-ovmf e qemu.

Intel Trust Domain Extensions (TDX) é a tecnologia de computação confidencial da Intel usada para fornecer ambientes de execução confiáveis. O TDX é usado para implantar cargas de trabalho virtuais em domínios de confiança (TDs) para fornecer isolamento baseado em hardware, gerenciando e criptografando a memória para manter a integridade e a confidencialidade dos estados da CPU dentro dos TDs.

No Oracle Linux 9 e Oracle Linux 10, o UEK 8U2 inclui suporte de convidado e hipervisor para o TDX.

Consulte https://www.intel.com/content/www/us/en/developer/tools/trust-domain-extensions/overview.html para obter mais informações.

O cliente CIFS (Common Internet File System) pode criar links simbólicos, symlinks, que são reconhecidos pelo SMB (Server Message Block (SMB), NFS (Network File System) e WSL (Windows Subsystem for Linux). Use a opção de montagem symlink=default|none|native|unix|mfsymlinks|sfu|nfs|wsl para não permitir a criação de symlinks ou para selecionar o tipo de symlinks que o cliente cria.

O cliente também pode criar outros arquivos especiais, incluindo dispositivos de caracteres, dispositivos de bloco, pipes e soquetes. Esses arquivos são criados como pontos de novo NFS ou WSL usando a opção de montagem reparse=default|none|nfs|wsl. Para criar soquetes nativos do Windows usados por aplicativos do Windows no NTFS, use a opção de montagem nativesocket.

Os drivers de dispositivo incluídos no UEK 8U2 estão alinhados com os drivers no kernel mainline Linux 6.12. Algumas atualizações notáveis estão incluídas onde os drivers incluem funcionalidade ou correções disponíveis em versões posteriores do kernel upstream.

Muitos módulos de driver não rastreiam mais informações de versão. A Oracle trabalha com fornecedores para alinhar os drivers de dispositivos incluídos no UEK 8U2 com o código disponível nas versões do kernel upstream.

Atualizações notáveis de driver são apresentadas na seguinte tabela:

Os seguintes recursos foram descontinuados, removidos ou não são mais suportados no UEK 8: