Byl zveřejněn set nástrojů Cryptsetup 2.8, určený pro konfiguraci šifrování diskových oddílů v Linuxu pomocí modulu dm-crypt. Podporována je práce s oddíly dm-crypt, LUKS, LUKS2, BITLK, loop-AES a TrueCrypt/VeraCrypt. Součástí jsou také nástroje veritysetup a integritysetup pro nastavení kontroly integrity dat na základě modulů dm-verity a dm-integrity.
Klíčová vylepšení:
- Byla přidána podpora inline režimu, který umožňuje používat rozšířené sektory s dodatečnou oblastí pro ukládání metadat. Takové sektory podporují některé NVMe úložiště, která umožňují kromě oblasti s daty umístit do sektoru také blok metadat (např. 4096 bytů pro data + 64 bytů pro metadata).
Cryptsetup může využít oblast metadat v sektoru pro ukládání provozních informací, což eliminuje nutnost zapojení dodatečné vrstvy na bázi dm-integrity, která zajišťuje alokaci místa pro metadata. Může se tedy obejít bez vedení protokolu dm-integrity, což představuje úzké místo negativně ovlivňující výkon. V jádru Linuxu jsou možnosti potřebné pro práci inline režimu přítomny od verze 6.11. Pro aktivaci inline režimu byla přidána volba „—integrity-inline.“
- Byl připraven API Keyslot Context pro manipulaci se sloty klíčů. Nový API umožnil rozšířit funkčnost mnoha existujících příkazů o takové funkce, jako je aktivace tokenů, obnovení práce s pozastaveným šifrovaným zařízením a provedení opětovného šifrování (reencryption).
- Do nástroje cryptsetup byly přidány volby „—key-description“ a „—new-key-description“ pro připojení popisu ke klíčům.
- Byla zavedena možnost obnovení pozastavené operace opětovného šifrování (reencryption) pomocí tokenu a klíčů oddílu.
- Do implementace příkazu „repair“ byla přidána kontrola poškození oblastí se sloty klíčů LUKS.
- Do příkazu veritysetup byla přidána volba „—error-as-corruption“, při které jsou jakékoliv chyby zpracovávány jako poškození dat, a tudíž lze nastavit restart nebo přechod do stavu panic při chybách při použití voleb „—restart-on-corruption“ a „—panic-on-corruption.“
- Byla přidána volitelná možnost použití knihovny Mbed-TLS jako kryptografického backendu (aktivováno při sestavení s volbou „—with-crypto_backend=mbedtls“).
Zdroj: opennet.ru
