Jaderné noviny 257

16. 4. 2004 | Robert Krátký | Jaderné noviny | 4143×

Nahrávání a odstraňování modulů. Nový ovladač pro Intel PRO/Wireless 2100 802.11b. Podpora intelského kompilátoru ICC. Rootkit útoky na 2.6. Stav softwarového uspání.

Do konference přišlo celkem 1911 emailů, nejvíce jich poslali Greg KH, Andrew Morton a Andrea Arcangeli.

Nahrávání a odstraňování modulů, 38 e-mailů

2. bře - 13. bře

V rámci diskuze, která následovala po oznámení o vydání udev 021, se vynořila i otázka nahrávání a odstraňování modulů. Greg k tomu řekl:

Dříve to fungovalo tak, že moduly byly automaticky nahrávány, když se uživatelské programy pokusily použít zařízení. Teď se to mění na model, ve kterém jsou příslušné moduly nahrány, když je hardware nalezen.

Je to daleko rozumnější přístup - hlavně kvůli odebíratelným zařízením a případům, kdy je v jednom systému více výskytů různých typů téhož zařízení.

Takže ne, udev tuto záležitost řešit nebude - kromě případů odebratelných zařízení a jejich oddílů. Což už s udev funguje.

Na mnoho povyku o tom, že odstraňování modulů je skvělá vlastnost, odpověděl Alex Goddard: Ze starších diskuzí v této konferenci zjistíte, jak problematické je odstraňování modulů (a jak šíleně složité by bylo opravování těch problémů). rmmod byste prostě neměli používat, nejste-li vývojáři. A Greg doplnil: Provádět rmmod -a není moc chytré už od časů 2.2. Snadno to může sejmout funkční stroj...

Marco d'Itri ale protestoval: To neřeší problém ovladačů, které k sobě žádný hardware nemají - jako PPP a loop zařízení. Nevadí mi ty moduly bezpodmínečně nahrávat při bootu, ale musí existovat způsob, jak je rozpoznat: nemyslím si, že by bylo přijatelné nahrát *všechny* moduly v systému (nač mít pak modulární jádro?). Greg řekl: Tak nech tvé "použij loop zařízení" nebo "použij PPP zařízení" natáhnout modul předtím, než bude použito. Nebo vytvoř ručně soubor zařízení v dev a doufej, že kmod a jeho aliasy budou fungovat...

Ale Michael řekl: Jestli se nemýlím, tak k obojímu jsou potřeba práva roota, a navíc druhá možnost nebude fungovat s dynamickými čísly zařízení přidělovanými jádrem. Předchozí model umožňoval, aby se jádro dynamicky přizpůsobilo aktuálním požadavkům běžných uživatelů, aniž by potřebovali práva roota. Nikdo neodpověděl.

Nový ovladač pro Intel PRO/Wireless 2100 802.11b, 23 e-mailů

9. bře - 11. bře

James Ketrenos z Intelu napsal:

Jsem rád, že mohu oznámit spuštění open source vývojového projektu pro síťový adaptér Intel PRO/Wireless 2100 miniPCI. Projekt byl vytvořen (a je hostován) na http://ipw2100.sf.net.

Ovladač je v současné podobě schopen asociace a komunikace v režimu Infrastructure. K dispozici je podpora pro 2.4 i 2.6. Vydáváme jej teď jako "brzkou betu", abychom získali informace od uživatelů a pomoc při vývoji - takže očekávejte (a hlaste) chyby. Intel bude ve vývoji samozřejmě pokračovat (v rámci tohoto Open Source projektu). V průběhu následujících měsíců plánujeme přidat podporu pro všechny klíčové bezdrátové funkce (adhoc, WEP, atd.) - s pomocí komunity i rychleji.

POZNÁMKA: Jen zopakuji -- tento ovladač je ve fázi aktivního vývoje. Funkce a vlastnosti dostupné na jiných operačních systémech ještě nebyly všechny implementovány.

Těším se na práci s komunitou při vylepšování tohoto ovladače.

Pokud síťový adaptér Intel wireless 802.11b miniPCI máte, stáhněte to, vyzkoušejte a dejte mi vědět, jak to jde. Zajímají nás i problémy, které by se mohly týkat jednotlivých distribucí.

Později dodal, že Intel založil konferenci na http://lists.sourceforge.net/lists/listinfo/ipw2100-devel.

Arjan van de Ven, Timothy Miller, Dax Kelson a další měli velkou radost a Dax připojil:

Díval jsem se na ty stránky a našel GPL ovladač a firmware s uzavřeným kódem.

Je to skutečně *firmware* v tom smyslu, že se spouští výhradně v Intel PRO/Wireless 2100 a ne v linuxovém jádře na hlavním CPU? Pokud ano, tak bravo!

Existuje něco podobného i pro nadcházející Sonoma 802.11a/b/g? Bude při uvolnění Sonomy dostupná podpora pro Linux?

Ohledně otázky firmware James potvrdil: Ano, je to skutečně firmware. Z disku je načten jako blok dat a předán kartě. Systémové CPU z firmwaru nic nespouští a firmware neví nic o jádře. A k Sonomě 802.11a/b/g dodal: Máme v úmyslu podporovat a/b/g WLAN pomocí ovladače pod Linux, ale ještě nemohu říci nic konkrétního.

Podpora intelského kompilátoru ICC, 12 e-mailů

9. bře - 12. bře

Ingo Kubbilun napsal: Podívejte se, prosím, na http://www.pyrillion.org/linuxkernelpatch.html - najdete tam funkční patch pro kompilaci jádra 2.6.3 pomocí Intel Compiler 8.0 for Linux. Norberto Bensa se zeptal na rychlost kernelu zkompilovaného tímto kompilátorem oproti stejnému zkompilovanému pomocí GCC a Ingo odpověděl:

Použil jsem ten patch ke kompilaci dvou identických jader pomocí gcc 3.3.3 a icc 8.0 se zakompilovanou podporou oprofile.

Optimalizační přepínače byly zvoleny poměrně konzervativně, tj. "-O2 -Ob1", žádné IPO a samozřejmě: žádné MMX, SSE a SSE2 (což vyřadilo skvělou vektorizaci od Intelu).

Testování: lmbench proběhl desetkrát, ale časomíra byla vzata z oprofile (na Pentiu 4, GLOBAL_POWER_EVENTS pouze v jádře, přetečení počítadla: 3.000).

Výsledky: 33 % lmbench procesů rychlejších na icc, 66 % rychlejších na gcc.

Takže ten patch berte jako dobrý základ pro úpravu přepínačů kompilátoru a dalších věcí, abyste získali lepší výkonnost. Pokud vím, tak dost lidí takový patch hledá.

Podívejte se dovnitř patche. V 2.6.3 je nutné upravit hodně věcí, abyste získali stabilní jádro. Ten patch není jen nějaká malá změna v Makefile...

Rootkit útoky na 2.6, 17 e-mailů

11. bře - 13. bře

Pete Smith se zeptal: Co si myslíte o budoucnosti LKM rootkitů pro řadu 2.6? V posledních několika letech mě docela zajímaly (z obranného hlediska), ale když už jádro 2.6 neexporujte syscall tabulku, zachytávání systémových volání už se nezdá jako schůdná cesta.

Horst von Brand odpověděl: Pokud můžeš nahrát modul, jsi v jádře. Jak jsi jednou tam, můžeš buď použít offsety pro $distro-$version-$arch kernel a jsi doma, nebo se snažit na vlastní pěst. Těžší než předtím, to ano. Nemožné, to ani náhodou.

Valdis Kletnieks přidal odkaz na port rootkitu adore-ng pro 2.6, který zmínil anonymní přispěvatel na BugTraq. Ten člověk řekl: "Všechny věci, které znáte z dřívějších 2.4 verzí jádra, jako například schovávání socketů, procesů a souborů, filtrování syslogu a [uw]tmp, byly portovány. Kromě toho bylo ve verzi 0.32 opraveno přetečení bufferu (kruci!), které mohlo způsobovat pády při větším počtu síťových spojení." Paul Rolland se na to podíval a všiml si, že rootkit již nepoužívá vrstvu systémových volání, ale provádí svou činnost přes Virtuální Filesystém. Paul navrhl schovat i VFS.

Na jiném místě poukázal Dave Jones na to, že autoři rootkitů by mohli začít dělat to, co dělají výrobci binárních ovladačů už měsíce... Není-li exportována tabulka, najdou symbol, který exportován je, a pak se vrtají poblíž v paměti, dokud nenajdou něco, co vypadá podobně, a napíší to podle toho.

Jirka Kosina odpověděl: Proč se namáhat... prostě najděte jakýkoliv symbol (název funkce), který je exportován do modulů a zároveň je nějak nepřímo ale často volán z uživatelského prostředí (funkce VFS vrstvy, VM funkce, ...) a použijte tuto funkci jako kouzlo pro otevření zadních vrátek. Existující rootkity není složité takto upravit.

Christophe Saout se zeptal, jestli výrobci binárních ovladačů skutečně používají metodu, kterou popsal Dave, a Dax Kelson připojil otázku, kteří výrobci a moduly to dělají. Dave odpověděl: Naposled jsem to viděl u nějakého 'antivirového' modulu, který skenuje soubory. Na jméno si teď nevzpomínám. V tu dobu byl zmíněný v této konferenci. Nebyl to ale rozhodně první. Ten trik se používá od doby, kdy přestali výrobci exportovat sys_call_table.

Stav softwarového uspání, 8 e-mailů

15. bře - 16. bře

Nigel Cunningham se zeptal:

Jen si chci ujasnit: jak se tváříme na budoucnost implementací uspání? Takhle to v současné době vidím já:

• Zbavit se PM_DISK?
• Aplikovat patche, které ze swsusp udělají suspend2, přičemž se vynechají zatuhávací změny, dokud nebudou lidi přesvědčeni, že stávající řešení není dostatečné.
• Pavel bude spravovat konečný výsledek? (Já to klidně vezmu, kdyby chtěl; když to říkám, tak předpokládám, že se bude dál věnovat S3 a Patrick zase podpoře PM).

Karol Kozimor napsal: Patrick se už neozval měsíce, což - kromě toho, že to komplikuje situaci - činí jakékoliv předpoklady trochu nepřesnými :).. Pavel Machek řekl, že je mu jedno, která implementace bude vyhozena, hlavně když zůstane jedna. Nigelovi také napsal: Neřekl bych, že bude Patrick cokoliv spravovat. Chceš-li to dělat ty, nic ti nebrání. Velké plus bude, dokážeš-li se s Patrickem dohodnout.

---

V originálu Kernel Traffic 257 vyšla navíc ještě tato témata:

• Status Of Lan Media's WAN Card Driver In 2.6
• Status Of kgdb_serial And Run-Time Selection Of KGDB Communication Channels
• OpenIB InfiniBand Driver; Some Intellectual Property Encumberance
• Linux 2.6.4-rc2-mm1 Released
• LVM2 Benchmarking Under 2.6
• Block Device Hotplugging Improvements
• Linux 2.6.4 Released
• Linux 2.6.4-mm1 Released
• Lightweight System Call Auditing
• Fan Driver Expanded Coverage And New Name
• Hotplug Scripts Update Released
• UML Updated To Support 2.6.4
• New "Umbrella" Security Project For Linux On Handheld Devices
• udev 022 Released
• Linux 2.4.26-pre3 Released
• Highpoint-Tech Plugin 0.0.1 For EVMS 2.3.0
• Linux 2.6.5-rc1 Released
• Linux 2.6.5-rc1-mm1 Released
• Linux 2.4.26-pre4 Released

Tento článek vychází ze seriálu Kernel Traffic (www.kerneltraffic.org) a je zveřejněn pod licencí GPL verze 2.

       

Komentáře