Die Neuerungen von Linux 4.13
Der neue Kernel kann die Schwerarbeit bei der HTTPS-Verschlüsselung übernehmen. Statt einer "inakkuraten" Taktfrequenzangabe findet sich in /proc/cpuinfo jetzt nur noch der Basistakt des Prozessors. Außerdem sind jetzt Treiber für neue Grafikkerne von AMD und Intel dabei.
- Thorsten Leemhuis
Zum Start der ersten September-Woche hat Linus Torvalds den Linux-Kernel 4.13 freigegeben, der bei Ubuntu 17.10, 16.04.4 und einigen anderen Distributionen zum Einsatz kommen soll. Wie ihre Vorgänger wartet auch diese Linux-Version mit einer Vielzahl von Neuerungen auf. Die wichtigsten im Kurzüberblick:
- Linux 4.13 kann sich dank "Kernel TLS" (KTLS) selbst um das Verschlüsseln einer per TLS geschützten Datenübertragung kümmern. Das verspricht, die Performance von Protokollen wie HTTPS zu verbessern, die auf TLS zurückgreifen.
- /proc/cpuinfo liefert auf x86-Systemen statt der aktuellen Taktfrequenz jetzt nur noch den Basistakt des Hauptprozessors.
- Verzeichnisse auf Ext4-Dateisystemen sollen in Zukunft bis zu 2 Milliarden Datei- oder Verzeichniseinträge aufnehmen können. Außerdem kann Ext4 erweiterte Attribute anders ablegen, um Speicherplatz zu sparen und die Performance zu verbessern.
- Zum Einbinden von Windows- und Samba-Freigaben nutzt der Kernel jetzt standardmäßig SMB3. Viele NAS und Router beherrschen aber nur SMB1/CIFS, daher muss man jetzt einen Mount-Parameter setzen, um deren Shares einzuhängen.
- Der Storage-Code versteht jetzt "Lifetime Hints", durch die der Kernel kurz- und langlebige Daten an unterschiedlichen Plätzen speichern kann, um Performance und Lebensdauer von NVMe-SSDs zu steigern.
- Einen Sicherheitsgewinn versprechen einige Änderungen des Kernel Self Protection Project (KSPP). So kann Linux beispielsweise einige beim String-Handling auftretende Pufferüberläufe jetzt gleich beim Kompilieren erkennen oder später im Betrieb abfangen.
- Neu dabei, aber noch unvollständig, ist die Treiberunterstützung für die Grafikkerne einiger CPUs, die AMD und Intel in den nächsten Monaten einführen wollen.
- Der Kernel bringt einen rudimentären Treiber für den Grafikprozessor mit, den VirtualBox für virtuelle Maschinen emuliert.
- Viele neue und erweiterte Treiber verbessern den Hardware-Support. Außerdem unterstützt Linux jetzt die Security Level von Thunderbolt, die Systeme vor Spionage- oder Sabotage-Hardware schützen.
Dies war ein schrittweise aktualisierter Artikel
Dieser Text wurde mehrfach erweitert, um nach und nach alle wesentlichen Änderungen Linux 4.13 zu beschreiben. Zur jüngst erfolgten Freigabe dieser Kernel-Version haben wir die Absätze umsortiert und Abschnitte zu wichtigeren Neuerungen an den Anfang gestellt. Von nun an behält der Text seine jetzige Form. Details zur Versionshistorie des Artikels finden Sie am Artikelende.
Details zu diesen und zahlreichen anderen Neuerungen finden sie auf den folgenden Absätzen und Artikelseiten.
TLS-Support im Kernel
Eine der aufsehenerregendsten Neuerungen von Linux 4.13: Der Kernel kann sich nun selbst um das Verschlüsseln einer per TLS (Transport Layer Security) geschützten Datenübertragung kümmern. Das soll die Performance von HTTPS und anderen Techniken verbessern, die TLS verwenden, denn „Kernel TLS“ (KTLS) kann den Datendurchsatz steigern, die Systemlast reduzieren und Latenzen senken.
Der in Linux eingeflossene TLS-Support beherrscht allerdings nur symmetrische Verschlüsselung und TLS Record Framing. Der Kernel handhabt TLS-Verbindungen daher nicht alleine, denn beim Aushandeln der Verschlüsselungsparameter kommt asymmetrische Verschlüsselung zum Einsatz. Ohnehin überlassen die Kernel-Entwickler den komplexeren und fehleranfälligen Verbindungsaufbau bewusst und komplett Userspace-Bibliotheken wie OpenSSL. Auf diese greifen Programme ohnehin schon zurück, um TLS zu implementieren. Die Krypto-Bibliothek unterstützt KTLS aber derzeit noch nicht: Erst durch einige Änderungen kann OpenSSL das Verschlüsseln von TLS- Datenströmen an KTLS delegieren, nachdem es eine TLS-Verbindung aufgebaut hat. Die dies realisierenden Patches stecken aber noch in der Begutachtungsphase.
Letztlich verspricht das lediglich 1500 Codezeilen umfassende KTLS eine effizientere Handhabung der versendeten Daten, weil es Hin- und Herkopieren der zu verschlüsselnden Daten im Speicher vermeiden kann. Ferner lassen sich Crypto-Beschleuniger mit weniger Overhead in den Prozess einbinden und der Funktionsaufruf sendfile() auch für Dateien nutzen, die das System über eine TLS-Verbindung übertragen soll. Weitere Details und Vorteile des Ansatzes erläutern ein Merge Commit mit KTLS, die zugehörige Dokumentation, die Patches für OpenSSL, ein Paper des federführenden Facebook-Entwicklers und ein Artikel bei LWN.net.
