Byl vydán soubor nástrojů Cryptsetup 2.7, určený pro nastavení šifrování diskových oddílů v Linuxu pomocí modulu dm-crypt. Podporuje práci s oddíly dm-crypt, LUKS, LUKS2, BITLK, loop-AES a TrueCrypt/VeraCrypt. Součástí je také nástroj veritysetup a integritysetup pro nastavení mechanismů kontroly integrity dat založených na modulech dm-verity a dm-integrity.
Klíčová vylepšení:
- Byla implementována možnost používání hardwarového šifrovacího mechanismu disků OPAL, podporovaného na samošifrovacích (SED — Self-Encrypting Drives) úložištích SATA a NVMe s rozhraním OPAL2 TCG, kde je zařízení pro hardwarové šifrování zabudováno přímo do kontroléru. Na jedné straně je šifrování OPAL závislé na proprietárním hardwaru a není k dispozici pro veřejný audit, ale na straně druhé může být použito jako dodatečná úroveň ochrany nad softwarovým šifrováním, aniž by docházelo k poklesu výkonu a nezatěžovalo CPU.
Pro použití OPAL v LUKS2 je vyžadována sestavení jádra Linux s možností CONFIG_BLK_SED_OPAL a aktivací v Cryptsetup (podpora OPAL je ve výchozím nastavení zakázána). Nastavení LUKS2 OPAL se provádí analogicky k softwarovému šifrování — metadata jsou uložena v záhlaví LUKS2. Klíč je rozdělen na klíč oddílu pro softwarové šifrování (dm-crypt) a klíč pro odemčení pro OPAL. OPAL může být používán jak spolu se softwarovým šifrováním (cryptsetup luksFormat —hw-opal ), tak samostatně (cryptsetup luksFormat —hw-opal-only ). Aktivace a deaktivace OPAL se provádí stejným způsobem (open, close, luksSuspend, luksResume), jaký je pro zařízení LUKS2.
- V plain režimu, kde master klíč a záhlaví nejsou uloženy na disku, je ve výchozím nastavení použit šifrovací algoritmus aes-xts-plain64 a hashovací algoritmus sha256 (místo režimu CBC, který má problém s výkonem, je použit XTS, a místo zastaralého hashe ripemd160 — sha256).
- V příkazech open a luksResume je povoleno ukládat klíč oddílu do vybraného uživatelského úložiště klíčů v jádře (keyring). Pro přístup k keyring byla do mnoha příkazů cryptsetup přidána možnost „—volume-key-keyring“ (například 'cryptsetup open —link-vk-to-keyring "@s::%user:testkey" tst').
- Na systémech bez swapové oddílu se při formátování nebo vytváření klíčového slotu pro PBKDF Argon2 nyní používá pouze polovina volné paměti, což vyřešilo problém s vyčerpáním dostupné paměti na systémech s nízkým objemem RAM.
- Byla přidána možnost „—external-tokens-path“ pro určení adresáře pro externí zpracovatele tokenů LUKS2 (pluginy).
- Do tcrypt byla přidána podpora hashovacího algoritmu Blake2 pro VeraCrypt.
- Byla přidána podpora blokového šifrování Aria.
- Byla přidána podpora Argon2 v implementacích OpenSSL 3.2 a libgcrypt, což umožňuje obejít se bez použití libargon.
Zdroj: opennet.ru
