Linux閱碼場 - Linux內核月報(2020年10月)

關于Linux內核月報

Linux閱碼場

Linux閱碼場內核月報欄目，是匯總當月Linux內核社區最重要的一線開發動態，方便讀者們更容易跟蹤Linux內核的最前沿發展動向，

限于篇幅，只會對最新技術做些粗略概括，技術細節敬請期待后續文章，也歡迎廣大讀者踴躍投稿為閱碼場社區添磚加瓦，

本期月報主要貢獻人員：

張健、廖威雄、chenwei、夏天

往期鏈接：

Linux閱碼場 - Linux內核月報(2020年06月)

Linux閱碼場 - Linux內核月報(2020年07月)

Linux閱碼場 - Linux內核月報(2020年08月)

Linux閱碼場 - Linux內核月報(2020年09月)

閱碼場征稿Linux閱碼場征集Linux工程師一線研發心得；工程師、高校學生老師、科研院所研研究人員對Linux某一技術要點深入分析的稿件，您的文章將獲得近十萬一線Linux工程師的廣泛受眾，投稿要求：原創且從未在任何媒體、博客、公眾號發表過的文章，高屋建瓴、深刻全面地論述一個技術點或者面，投稿請微信聯系小月：linuxer2016錄取的稿件，我們也會奉上微薄的稿酬聊表寸心，稿費標準為300-500元/篇，

一、 體系結構相關

1.1 ARM/arm64 set_fs

補丁集1：ARM: remove set_fs callers and implementation

補丁集2：arm64: remove set_fs() and friends

當你在內核代碼中看到fs，你會想到什么？檔案系統？然鵝，圖樣圖森破，今天要說的fs其實是x86的fs暫存器[1]，0.1版本的內核引入了set_fs，用于設定用戶空間（`set_fs(USER_DS)`）和內核空間（`set_fs(KERNEL_DS)`）的地址范圍，原本set_fs僅僅是設定x86的fs暫存器，后續其它架構也沿用了set_fs的名稱，如果僅僅是名稱困惑也還好，問題是set_fs看起來是在做保護，這同樣

是一個攻擊點，如果從內核回傳用戶空間時沒有設定相應的限制`set_fs(USER_DS)`，用戶空間獲得了不受限制記憶體空間的能力，2010年（CVE-2010-4258）和2016年分別有過類似的報道，

基于set_fs加固[2]似乎是個辦法，但是由于會影響內核系統呼叫性能被否決，于是，只有一個選擇——移除set_fs，emm，三年前，這是三年前社區討論的結果，今年Christoph Hellwig繼續了自己當初的提議，目前內核core code部分作業已經完成，剩余還需要各個體系結構完成修改這個月ARM和ARM64兩個架構補丁正在提交review，

ARM64方面，除了clean up代碼，需要處理涉及內核和用戶空間切換的代碼，主要涉及SDEI，PAN和UAO三部分，ARM方面，除了洗掉set_fs代碼，還需要處理oabi的幾個系統呼叫，

參考資料
[1]https://lwn.net/Articles/722267/
[2]https://lwn.net/Articles/721305/

1.2 KASan for ARM

Kernel Address SANitizer (KASAN)是一個動態的記憶體錯誤detector，主要檢查越界和use-after-free，目前X86，ARM64，RISC-V，PowerPC等架構均已支持，

Linus Walleij本月發送了KASan for Arm的第十四版補丁——這是ARM架構對KASan的支持——和上個月的補丁相比，Linus修復了自己在高通APQ8060平臺的crash，他希望也能修復Florian和Ard報告的issue，

ARM64的KASan正在增加基于硬體tag記憶體錯誤檢測，這個系列補丁把Memory Tagging Extension (MTE)的能力應用于KASan，在每次記憶體分配時生成隨機的tag，并在每次記憶體訪問時，由MTE自動檢查，如果不匹配則產生tag fault，并有KASan報出該錯誤，

（補丁名稱：kasan: add hardware tag-based mode for arm64）

1.3 Carry forward IMA measurement log on kexec on ARM64

內核各個體系結構實作既有共性又有特性，往往后來者會考慮把先前某個架構的實作修改的更為通用化，之前我們在內核月報中介紹的RISC-VNUMA作業就是基于ARM64的作業，今天這個補丁集也是類似的情況，

IMA（Integrity Measurement Architecture）是內核完整性的兩大組成部分之一，IMA可以在檔案執行或打開時檢查其完整性，對于kexec（kexec支持從當前內核啟動新的內核）：IMA可以檢查其內核，initramfs和命令列，Lakshmi的四個補丁是補齊當前ARM64不支持的這個能力，

1.4 除了上面的補丁，10月還有不少值得關注的補丁，例如

• Introduce the TDP MMU

目的是提高TB級記憶體虛擬機的熱遷移性能，TDP的含義是：two dimensional paging，目前TDP MMU已經用于google 擁有416個vCPU的12TiB m2-ultramem-416 VM中提供必要的熱遷移性能，

這項作業的動機是需要并行處理非常大的虛擬機里的page fault，當VM具有數百個vCPU和TB的記憶體時，KVM的MMU鎖遭受極端競爭，從而導致guest OS里面page fault處理的soft-lockup或巨大延遲，

• Add support for Asymmetric AArch32 systems

目的是在系統只有部分arm64 CPU支持aarch32 EL0運行環境時，在用戶空間可以使用aarch32應用，備注：arm64 CPU可以有兩種運行環境(EE：Execution Environment），分別是aarch64和aarch32，

• PKS: Add Protection Keys Supervisor (PKS) support

這是和PKU（用戶空間Memory Protection Keys）類似的內核作業，預計的使用場景有trusted keys和PMEM，

二. Core-kernel相關

2.1 可睡眠tracepoints

現在的Tracers因為沒法處理page faults，導致了無法訪問用戶態的資料，然而這有時是個需求，

這個系列的patch在tracepoint框架實作了一套能讓tracers處理page faults的框架，未來各種tracer會做相應修改.

2.2 Core scheduling v8

Core scheduling是一個允許信任的行程在共享資源的cpus上同時運行的特性，主要目的是想不禁止SMT功能的同時，消除core-level層面的側信道攻擊，

默認情況下，這個特性不會改變現在的任何調度行為，需要用戶決定哪些tasks可以在同一個core同時運行，比如可以設定當一個行程A在運行時，同一個core的hyperthreads要么是idle，要么只能運行行程A信任的行程，

2.3 KFENCE v5: 一個低采樣的記憶體錯誤檢測工具

KFENCE的主要特點是想用盡量低的性能犧牲來采樣線上的各種記憶體錯誤，跟KASAN比起來，KFENCE的精度雖然沒那么高，但是KFENCE對性能影響小，可以在產品環境大量部署，從而也能檢測出記憶體bug，

這個系列Patch給arm和x86架構都增加了KFENCE支持，

三、檔案系統和Block Layer

3.1 塊請求過濾與塊設備快照模塊

* 補丁：https://lwn.net/Articles/834867/

* veeamsnap：

https://github.com/veeam/veeamsnap/

補丁作者來自 veeam ，一個提供 Linux 的備份方案的企業，長期以來以一個內核樹外模塊（veeamsnap）的形式提供塊設備備份服務，這次的提交算是嘗試將其主功能模塊合入主分支，

補丁實作了兩個功能，分別是blk-filter和blk-snap：

• blk-filter實作了對塊設備 BIO 請求的截流，而且是在 BIO請求非常早的時候就攔截了，完全不影響請求處理佇列，除了對整個存盤介質截流之外，其還支持截斷特定的塊設備，既以磁區為單位，還有一個特點，其支持動態啟用、禁用過濾功能，在塊設備加載時，可以自動開始對 BIO 請求過濾；當塊設備被移除時，過濾器也會自動移除，

• blk-snap實作了快照和塊更改跟蹤功能，毫無疑問，其依賴于 blk-filter，它旨在創建任何塊設備的備份副本，而不使用設備映射器，快照是臨時的，在備份程序完成后將被銷毀，更改的塊跟蹤允許增量和差異備份副本，

3.2 btrfs新增支持4K子頁讀寫

* 補丁：https://lwn.net/Articles/834872/

補丁主要是讓 64K 頁大小的系統可以掛載 4K 扇區大小的btrfs，以及在這狀態下支持正常的讀寫，

64 K 頁大小在一些小資料下會造成內部空間浪費，如果可以有更小的操作粒度，可以大大緩解空間浪費的情況，因此才需要支持 4K 子頁的操作，作者測驗后足夠穩定，認為可以執行子頁面大小的純元資料操作，例如 reflink，作者在壓縮和非壓縮的情況下驗證了讀資料子頁，驗證了元資料的子頁讀和寫，也驗證了非壓縮情況下的全頁寫，

這補丁其實還有不少的事兒要做，以及還有不少挑戰，例如沒實作寫入子頁的資料（非元資料），例如子頁資料的回寫支持 iomap，

四、 虛擬化

4.1 KVM protected memory extension

== 背景和相關問題 ==

現在有許多的硬體特性(例如MKTME、SEV)可以防止虛擬機的記憶體受到主機上未授權的訪問，這個補丁集提出了一個純軟體的特性，可以緩解一些相同的主機端只讀攻擊，

== 這個補丁集緩解了什么? ==

- 主機內核“意外”訪問虛擬機資料(考慮下speculation)

- 主機內核導致對虛擬機資料的訪問(write(fd &guest_data_ptr, len))

- 主機用戶空間訪問虛擬機資料(比如通過篡改的QEMU)

- 通過篡改的QEMU設備模擬器來提升虛擬機的特權

== 這個補丁集沒有緩解什么? ==

- 主機的內核被完全篡改，內核將再次映射頁面

- 基于硬體的攻擊

第二版的RFC補丁集解決了大部分的反饋意見，

但仍然沒有找到一個好的方案來解決重新啟動和KEXEC，在這些的操作中，需要取消對所有記憶體的保護，這樣做和我們這個特性的目標是相矛盾的，

在不保護重啟(或KEXEC)所需要的內容之前，清理大部分記憶體耗時很長且容易出錯的，也許我們應該宣告這些操作不被支持？

== 序列概覽 ==

通過硬體特性對虛擬機的資料進行加密，然后確保只有正確的虛擬機才能解密，從而保護虛擬機資料，這樣做的副作用是使內核直接映射和用戶空間映射(QEMU等使用)變得無用，

但是，這告訴了我們一些非常有用的資訊:對于普通的虛擬機操作，內核映射和用戶空間映射有時候都不是真正必要的，

在我們這個補丁集中，我們不使用加密，而是簡單地解除記憶體映射，與允許訪問密文相比，它的一個優點是錯誤的訪問會引起例外，從而被捕獲，而不是像加密資料一樣，簡單地回傳垃圾資料，

4.2 KVM: Dirty ring interface

該補丁在10月份更新了兩次，都是將v15 rebase到最新的KVM分支，這個作業是在Lei Cao <lei.cao@stratus.com> 和Paolo Bonzini 之前所做的KVM dirty ring介面作業的繼續，

這個新的dirty ring介面是虛擬機回收臟頁的另外一種方法，在很多方面，它都不同于已有的dirty logging介面，主要有：

• 資料格式: 臟資料現在是環形格式而不再是bitmap格式，所以用來同步臟資料日志的bit不再依賴于虛擬機記憶體的大小，而是資料臟的速度，另外，新的dirty ring是每個vCPU獨享，而dirty bitmap則是所有vCPU共享一份，dirty bitmap是per-VM的，

• 資料拷貝：臟頁的同步不再需要拷貝資料，相反，dirty ring通過頁面共享 （通過在vcpu_fd上的mmap）在用戶空間和內核空間共享

• 介面: 當我們想再次將收集到的臟頁重置為保護模式時，新的dirty ring使用了新的KVM_RESET_DIRTY_RINGS ioctl介面，而不是使用原有的KVM_GET_DIRTY_LOG、KVM_CLEAR_DIRTY_LOG介面，而為了收集dirty bit，我們只需要讀取dirty ring中的資料，不再需要呼叫ioctl介面，

（END）

更多精彩，盡在"Linux閱碼場"，掃描下方二維碼關注