Cryptsetup 2.7-sættet af værktøjer er udgivet til konfigurering af diskpartitioners kryptering i Linux ved hjælp af dm-crypt-modulet. Det understøtter arbejde med dm-crypt, LUKS, LUKS2, BITLK, loop-AES og TrueCrypt/VeraCrypt. Sættet inkluderer også værktøjerne veritysetup og integritysetup til konfiguration af dataintegritetskontrol baseret på dm-verity- og dm-integrity-moduler.
Nøgleforbedringer:
- Muligheden for at anvende hardwarens krypteringsmekanisme OPAL er blevet realiseret, understøttet på selvkrypterende (SED — Self-Encrypting Drives) SATA- og NVMe-drev med OPAL2 TCG-interface, hvor hardwarens krypteringsenhed er indbygget i kontrolleren. På den ene side er OPAL-krypteringen knyttet til proprietær hardware og er ikke tilgængelig for offentlig revision, men på den anden side kan det bruges som et ekstra beskyttelseslag på tværs af softwarekryptering uden at reducere ydeevnen og uden at belaste CPU'en.
For at bruge OPAL i LUKS2 kræves en Linux-kernebygning med CONFIG_BLK_SED_OPAL-indstillingen og aktivering i Cryptsetup (understøttelse af OPAL er som standard deaktiveret). Konfigurationen af LUKS2 OPAL sker på samme måde som softwarekryptering — metadata gemmes i LUKS2-hovedet. Nøglen opdeles i en partitionsnøgle til softwarekryptering (dm-crypt) og en oplåsningstast til OPAL. OPAL kan bruges både sammen med softwarekryptering (cryptsetup luksFormat —hw-opal ) og separat (cryptsetup luksFormat —hw-opal-only ). Aktivering og deaktivering af OPAL sker på samme måde (open, close, luksSuspend, luksResume) som for LUKS2-enheder.
- I plain-tilstand, hvor master-nøglen og hovedet ikke gemmes på disken, er krypteringen aes-xts-plain64 som standard aktiveret og hash-algoritmen sha256 (i stedet for CBC-tilstanden, som har ydeevneproblemer, anvendes XTS, og i stedet for den forældede hash ripemd160 anvendes sha256).
- I kommandoerne open og luksResume er det tilladt at gemme partitionsnøglen i det valgte brugerdefinerede nøglelager i kernen (keyring). For at få adgang til keyring er der tilføjet indstillingen "—volume-key-keyring" til mange cryptsetup-kommandoer (f.eks. ‘cryptsetup open —link-vk-to-keyring "@s::%user:testkey" tst’).
- På systemer uden swap-partition er der nu kun brugt halvdelen af den frie hukommelse, når der formateres eller oprettes slots til PBKDF Argon2, hvilket løser problemet med opbrug af tilgængelig hukommelse på systemer med lidt RAM.
- Der er tilføjet en mulighed «—external-tokens-path» for at angive en mappe til eksterne LUKS2 token håndteringsprogrammer (plugins).
- Tcrypt har fået støtte til hash-algoritmen Blake2 for VeraCrypt.
- Der er tilføjet støtte for blok krypteringsalgoritmen Aria.
- Der er tilføjet støtte for Argon2 i implementeringerne af OpenSSL 3.2 og libgcrypt, hvilket gør det muligt at undgå brugen af libargon.
Kilde: opennet.ru
