Публикуван е комплект утилити Cryptsetup 2.7, предназначен за настройка на криптиране на дискови дялове в Linux с помощта на модула dm-crypt. Поддържа работа с дялове dm-crypt, LUKS, LUKS2, BITLK, loop-AES и TrueCrypt/VeraCrypt. Включени са също утилити veritysetup и integritysetup за настройка на средства за контрол на целостта на данните на база модули dm-verity и dm-integrity.
Ключови подобрения:
- Реализирана е възможността за използване на хардуерния механизъм за криптиране на дискове OPAL, поддържан на самокриптиращи се (SED — Self-Encrypting Drives) устройства SATA и NVMe с интерфейс OPAL2 TCG, при които устройството за хардуерно криптиране е интегрирано директно в контролера. От една страна, криптирането OPAL е обвързано с проприетарно оборудване и не е достъпно за публичен одит, но от друга страна, може да се използва като допълнителен слой за защита над софтуерното криптиране, без да намалява производителността и без да натоварва CPU.
За използване на OPAL в LUKS2 е необходима компилация на ядрото на Linux с опция CONFIG_BLK_SED_OPAL и активиране в Cryptsetup (по подразбиране поддръжката на OPAL е деактивирана). Настройката на LUKS2 OPAL се извършва аналогично на софтуерното криптиране — метаданните се запазват в заглавката на LUKS2. Ключът се разделя на ключ за дял за софтуерно криптиране (dm-crypt) и ключ за отключване за OPAL. OPAL може да се използва както заедно със софтуерно криптиране (cryptsetup luksFormat —hw-opal ), така и независимо (cryptsetup luksFormat —hw-opal-only ). Активацията и деактивацията на OPAL се извършват по същия начин (open, close, luksSuspend, luksResume), както и за устройства LUKS2.
- В plain-режим, при който мастер-ключът и заглавката не се съхраняват на диска, по подразбиране е активиран шифър aes-xts-plain64 и алгоритъм за хеширане sha256 (вместо режима CBC, който има проблеми с производителността, е използван XTS, а вместо остарялото хеширане ripemd160 — sha256).
- В командите open и luksResume е разрешено съхранението на ключа за дял в избраното от потребителя хранилище на ключове в ядрото (keyring). За достъп до keyring в много команди cryptsetup е добавена опция „—volume-key-keyring“ (например ‘cryptsetup open —link-vk-to-keyring "@s::%user:testkey" tst’).
- На системах без раздел подкачки при форматиране или създаване на ключов слот за PBKDF Argon2 сега се използва само половината от свободната памет, което решава проблема с изчерпването на наличната памет на системи с малък обем RAM.
- Добавена е опцията «—external-tokens-path» за указване на директория за външни обработвачи на LUKS2 токени (плъгини).
- В tcrypt е добавена поддръжка за алгоритма за хеширане Blake2 за VeraCrypt.
- Добавена е поддръжка за блочния шифър Aria.
- Добавена е поддръжка за Argon2 в реализациите на OpenSSL 3.2 и libgcrypt, което позволява да се заобиколи използването на libargon.
Източник: opennet.ru
