Cryptsetup 2.8 mit Unterstützung für den Inline-Modus zur Speicherung von Metadaten verfügbar.

Das Paket Cryptsetup 2.8 wurde veröffentlicht, das zur Konfiguration der Verschlüsselung von Festplattenpartitionen unter Linux mithilfe des Moduls dm-crypt dient. Es unterstützt die Arbeit mit den Partitionen dm-crypt, LUKS, LUKS2, BITLK, loop-AES und TrueCrypt/VeraCrypt. Ebenfalls enthalten sind die Dienstprogramme veritysetup und integritysetup zur Einrichtung der Datenintegritätskontrolle basierend auf den Modulen dm-verity und dm-integrity.

Wesentliche Verbesserungen:

• Die Unterstützung des Inline-Modus wurde hinzugefügt, der die Verwendung erweiterter Sektoren mit einem zusätzlichen Bereich zur Speicherung von Metadaten ermöglicht. Solche Sektoren werden von einigen NVMe-Laufwerken unterstützt, die es ermöglichen, Daten und einen Block von Metadaten im Sektor unterzubringen (z. B. 4096 Byte für Daten + 64 Byte für Metadaten).

  Cryptsetup kann den Bereich für Metadaten im Sektor zur Speicherung von Verwaltungsinformationen nutzen, wodurch die Notwendigkeit entfällt, eine zusätzliche Schicht auf Basis von dm-integrity zur Bereitstellung von Platz für Metadaten zu nutzen. Folglich kann auf das Protokoll von dm-integrity, das ein Engpass darstellt und sich negativ auf die Leistung auswirkt, verzichtet werden. Im Linux-Kernel sind die für den Inline-Modus erforderlichen Funktionen seit Version 6.11 vorhanden. Um den Inline-Modus zu aktivieren, wurde die Option „—integrity-inline“ hinzugefügt.
• Der API Keyslot Context zur Manipulation von Schlüsselslots wurde fertiggestellt. Die neue API ermöglicht es, die Funktionalität vieler bestehender Befehle zu erweitern, einschließlich Funktionen wie die Aktivierung von Token, das Wiederaufnehmen der Arbeit mit einem pausierten verschlüsselten Gerät und die Durchführung von Reverschlüsselungen (reencryption).
• In das Dienstprogramm cryptsetup wurden die Optionen „—key-description“ und „—new-key-description“ hinzugefügt, um Beschreibungen zu den Schlüsseln hinzuzufügen.
• Die Möglichkeit, eine pausierte Reverschlüsselungsoperation (reencryption) unter Verwendung eines Tokens und der Partitionsschlüssel wieder aufzunehmen, wurde hinzugefügt.
• In die Implementierung des Befehls „repair“ wurde eine Überprüfung auf Beschädigungen in den Bereichen mit den LUKS-Schlüsselslots integriert.
• In den Befehl veritysetup wurde die Option „—error-as-corruption“ eingeführt, bei der alle Fehler als Datenbeschädigung behandelt werden. Dementsprechend können Sie eine Neugestart oder den Übergang in den Zustand panic bei Fehlern konfigurieren, wenn die Optionen „—restart-on-corruption“ und „—panic-on-corruption“ verwendet werden.
• Eine optionale Möglichkeit zum Einsatz der Mbed-TLS-Bibliothek als Krypto-Backend wurde hinzugefügt (bei der Verwendung der Option „—with-crypto_backend=mbedtls“ beim Kompilieren aktivierbar).

Quelle: opennet.ru