Názory k článku
Jádro 6.7 bude mít nově make hardening.config

Tak me napada, a vyplati se v dnesni dobe kompilovat jadro? Tedy pokud neni clovek primo vyvojar, nebo tester.

Ja to delaval driv kvuli vykonu, ale v dobe co jsem mel Buldozera s sesti jadry jsem naznal, ze do toho vrazim vic prace a casu, nez kolik z toho uz pak realne z komplu vyzdimu navic. Od ty doby se spokojuji s distribucnimi jadry.

Allack surface? Jen za poslední dekádu mě to párkrát pomohlo, viz třeba cve-2015-1421

Souhlas. Já naposledy kompiloval 2.4 jádro. Pak mi začalo stačit jádro, které bylo v distribucích.Mnoho let už ani nevím, jaké jádro mi vlastně na serverech i workstation běží. Zkrátka to funguje a řeší se jen bezpečnostní patche. Opět z distribuce.

Nevyplati, kompilace jadra nebyla temer nikdy kvuli vykonu, ale setreni RAM, moduly jsou celkem jedno, ale vykoplao se vse co nebylo potreba, tim se zmensil kernel v RAM a setrilo se vzacnou RAM, ktere bylo v te dobe malo - ted uz je to jedno, modul si prikopilujes, kdyz potrebujes i tak a RAM mame tolik, ze nem j jedno, zda tam sidli neco, co vubec nepotrebujeme.

Pro hardware jako Ox64 se to ještě pořád vyplatit může :)

[Izak]

Ja mam jine zkusenosti.

Optimalizace jadra pri kompilaci vedla take k mensimu vytezovani procesoru. Zakompilovani vybranych modulu do jadra zase zrychlilo celkovou odezvu systemu. Pozdeji jsem s jadrem jeste kompiloval distribucni verzi libc, coz vedlo k rychlejsimu startu binarnich programu. Vse sice radove v jednotkach maximalne v desitce procent, ale v souctu to bylo na tehdejsich masinach docela citelne poznat.

Dodam jeste ze se jednalo o desktopy a kompiloval jsem vyhradne vanila jadra (tedy, neaplikoval jsem distribucni patchy).

Na druhou stranu zautomatizovat vlastni build neni nic tezkeho, zvlast kdyz z make bindeb-pkg primo vypadne hotovy balicek.

[Danny]
To mas asi pravdu, ale ja v tom uz dneska moc prakticky* smysl nevidim. HW je uz tak vykonny, ze samotne jadro ho vetsinou brzdi jen mininimalne, tudiz i dosazena optimalizace by byla velmi mala.

Navic verze od verze narusta pocet modulu v jadre a i voleb v konfiguraci je cim dal vic, a prijde mi dneska velmi obtizne udrzet si v tom orientaci. Jiste mohu pouzit distribucni konfig, ale to uz mohu rovnou instalovat distribucni jadro.

Snad jen v pripade, ze bych z nejakeho duvodu vyzadoval novejsi kernel a nebyl k dispozici backport.

Podle me se dneska vic vyplati jednak hledat zbytecne procesy a sluzby. Pred par dny jsem treba utnul na nekolika pocitacich s KDE Akonadi (uzivatele nevyuzivali sluzby KDE PIM), coz vedlo k solidnimu uvolneni pameti. Atd...

* Pro "bezneho" uzivatele

7. 11. 2023, 21:33 editováno autorem komentáře

Ano, prakticky smysl to stale ma - v distribuci nemusi byt zahrnuto (povoleno) vse, podpora noveho hardware se do stabilnich distribuci nedostava zas tak rychle a take jsou veci, ktere vam z treba licencnich duvodu do distribuce nezahrnou vubec, nektere veci nemusi byt ani v upstreamu ci patchich v ramci samotne distribuce. Nebo clovek muze narazit ve svem prostredi na chybu, co je ve kernelu sice uz opravena, ale do distribuce se nedostane, pokud nejde o vylozene bezpecnostni prusvih a takove veci probublavaji fakt pomalu...

U backportu je obecne problem, ze vychazi tak nejak "dle nalady" - a moc se tam neresi security. U self-build to bremeno samozrejme nese kazdy sam - ale ma nad tim aspon nejakou kontrolu - a jde to prubezne sestavovani i vcelku zautomatizovat.... ono spousta kernelovych CVE formalne vychazi dost se zpozdenim oproti tomu, kdy se chyba realne "nicnerikajicim" commitem fakticky opravi. Takze se s "vlastnim" kernelem jde elegantne dostat do stavu, kdy clovek ma zaplaty nasazene driv, nez zacne vseobecna panika.

A ano, ja nerikam ze to je uplne pro kazdeho :-) Na druhou stranu vzit old config z distra a veci, kterym nerozumim nechat u novejsi verze v defaultu je pomerne bezpecna volba, pokud mi jde jen o to mit aktualnejsi/novejsi kernel, nez oficialne nabizi distribuce (a pritom tezit z benefitu, co "stabilni" distro okolo nabizi) - realna pravdepodobnost, ze se neco rozbije je vcelku mala.

Ano, jen kvuli optimalizaci vykonu to dnes smysl moc nema - to rozporovat nebudu :-)

Embedded vyvoj, divny hw, (obvykle vsak staci jen modul), divne platformy, hw vyvoj, kernel vyvojar. Veci ktere jsou experimental.
Ten divny hw muze byt klidne i2c/spi/1wire/can i/o cip pro senzory. Dnes uz clovek prakticky nevi co ma na obycejne PC desce/notasu presne za HW(vc subverzi a modifikaci) pokud nad tim nestravi den ci dva. Vykutalene jsou v tom nektere lepsi sitovky nebo hlukovky od intelu.

No souhlasim ze doby kdy v debu nebyl ani driver na soundblaster karty coz byl tehdy mainstream hw uz jsou tatam.

ad soundblaster: Bus 001 Device 002: ID 041e:3042 Creative Technology, Ltd SB X-Fi Surround 5.1
Zvukovka stará jak metuzalém, žádný kernel jí (v létě) nedal.

On jí teda driver "zná", ale trochu problém je, že jediné co v ní vidí je mixer, kde je jen Master a MIC