Vlákno názorů k článku
Jádro 6.7 bude mít nově make hardening.config
od D.A.Tiger - Tak me napada, a vyplati se v dnesni...
-
Tak me napada, a vyplati se v dnesni dobe kompilovat jadro? Tedy pokud neni clovek primo vyvojar, nebo tester.
Ja to delaval driv kvuli vykonu, ale v dobe co jsem mel Buldozera s sesti jadry jsem naznal, ze do toho vrazim vic prace a casu, nez kolik z toho uz pak realne z komplu vyzdimu navic. Od ty doby se spokojuji s distribucnimi jadry.
-
Nevyplati, kompilace jadra nebyla temer nikdy kvuli vykonu, ale setreni RAM, moduly jsou celkem jedno, ale vykoplao se vse co nebylo potreba, tim se zmensil kernel v RAM a setrilo se vzacnou RAM, ktere bylo v te dobe malo - ted uz je to jedno, modul si prikopilujes, kdyz potrebujes i tak a RAM mame tolik, ze nem j jedno, zda tam sidli neco, co vubec nepotrebujeme.
-
[Izak]
Ja mam jine zkusenosti.
Optimalizace jadra pri kompilaci vedla take k mensimu vytezovani procesoru. Zakompilovani vybranych modulu do jadra zase zrychlilo celkovou odezvu systemu. Pozdeji jsem s jadrem jeste kompiloval distribucni verzi libc, coz vedlo k rychlejsimu startu binarnich programu. Vse sice radove v jednotkach maximalne v desitce procent, ale v souctu to bylo na tehdejsich masinach docela citelne poznat.
Dodam jeste ze se jednalo o desktopy a kompiloval jsem vyhradne vanila jadra (tedy, neaplikoval jsem distribucni patchy).
-
DannyStříbrný podporovatelNa druhou stranu zautomatizovat vlastni build neni nic tezkeho, zvlast kdyz z
make bindeb-pkgprimo vypadne hotovy balicek. -
[Danny]
To mas asi pravdu, ale ja v tom uz dneska moc prakticky* smysl nevidim. HW je uz tak vykonny, ze samotne jadro ho vetsinou brzdi jen mininimalne, tudiz i dosazena optimalizace by byla velmi mala.Navic verze od verze narusta pocet modulu v jadre a i voleb v konfiguraci je cim dal vic, a prijde mi dneska velmi obtizne udrzet si v tom orientaci. Jiste mohu pouzit distribucni konfig, ale to uz mohu rovnou instalovat distribucni jadro.
Snad jen v pripade, ze bych z nejakeho duvodu vyzadoval novejsi kernel a nebyl k dispozici backport.
Podle me se dneska vic vyplati jednak hledat zbytecne procesy a sluzby. Pred par dny jsem treba utnul na nekolika pocitacich s KDE Akonadi (uzivatele nevyuzivali sluzby KDE PIM), coz vedlo k solidnimu uvolneni pameti. Atd...
* Pro "bezneho" uzivatele
7. 11. 2023, 21:33 editováno autorem komentáře
-
DannyStříbrný podporovatel
Ano, prakticky smysl to stale ma - v distribuci nemusi byt zahrnuto (povoleno) vse, podpora noveho hardware se do stabilnich distribuci nedostava zas tak rychle a take jsou veci, ktere vam z treba licencnich duvodu do distribuce nezahrnou vubec, nektere veci nemusi byt ani v upstreamu ci patchich v ramci samotne distribuce. Nebo clovek muze narazit ve svem prostredi na chybu, co je ve kernelu sice uz opravena, ale do distribuce se nedostane, pokud nejde o vylozene bezpecnostni prusvih a takove veci probublavaji fakt pomalu...
U backportu je obecne problem, ze vychazi tak nejak "dle nalady" - a moc se tam neresi security. U self-build to bremeno samozrejme nese kazdy sam - ale ma nad tim aspon nejakou kontrolu - a jde to prubezne sestavovani i vcelku zautomatizovat.... ono spousta kernelovych CVE formalne vychazi dost se zpozdenim oproti tomu, kdy se chyba realne "nicnerikajicim" commitem fakticky opravi. Takze se s "vlastnim" kernelem jde elegantne dostat do stavu, kdy clovek ma zaplaty nasazene driv, nez zacne vseobecna panika.
A ano, ja nerikam ze to je uplne pro kazdeho :-) Na druhou stranu vzit old config z distra a veci, kterym nerozumim nechat u novejsi verze v defaultu je pomerne bezpecna volba, pokud mi jde jen o to mit aktualnejsi/novejsi kernel, nez oficialne nabizi distribuce (a pritom tezit z benefitu, co "stabilni" distro okolo nabizi) - realna pravdepodobnost, ze se neco rozbije je vcelku mala.
Ano, jen kvuli optimalizaci vykonu to dnes smysl moc nema - to rozporovat nebudu :-)
