Das Set von Cryptsetup 2.7 wurde veröffentlicht, das zur Konfiguration der Verschlüsselung von Datenträgerpartitionen unter Linux mit dem dm-crypt-Modul dient. Es wird die Arbeit mit den Partitionen dm-crypt, LUKS, LUKS2, BITLK, loop-AES und TrueCrypt/VeraCrypt unterstützt. Das Paket umfasst auch die Tools veritysetup und integritysetup zur Einrichtung von Integritätsprüfungsmechanismen auf der Grundlage der Module dm-verity und dm-integrity.
Wesentliche Verbesserungen:
- Die Möglichkeit zur Nutzung der Hardwareverschlüsselung OPAL wurde implementiert, die auf selbstverschlüsselnden (SED – Self-Encrypting Drives) SATA- und NVMe-Speichermedien mit dem OPAL2 TCG-Interface unterstützt wird, bei denen die Hardwareverschlüsselung direkt im Controller integriert ist. Einerseits ist die OPAL-Verschlüsselung an proprietäre Hardware gebunden und nicht für öffentliche Audits zugänglich, andererseits kann sie als zusätzliche Schutzebene über der Softwareverschlüsselung verwendet werden, ohne die Leistung zu beeinträchtigen und ohne die CPU zu belasten.
Um OPAL in LUKS2 zu nutzen, ist ein Linux-Kernel-Build mit der Option CONFIG_BLK_SED_OPAL sowie die Aktivierung in Cryptsetup erforderlich (standardmäßig ist die OPAL-Unterstützung deaktiviert). Die Konfiguration von LUKS2 OPAL erfolgt analog zur Softwareverschlüsselung – die Metadaten werden im Header von LUKS2 gespeichert. Der Schlüssel wird in einen Teilungsschlüssel für die Softwareverschlüsselung (dm-crypt) und einen Freischaltungsschlüssel für OPAL aufgeteilt. OPAL kann sowohl zusammen mit der Softwareverschlüsselung (cryptsetup luksFormat --hw-opal ) als auch separat (cryptsetup luksFormat --hw-opal-only ) verwendet werden. Die Aktivierung und Deaktivierung von OPAL erfolgt auf die gleiche Weise (open, close, luksSuspend, luksResume) wie bei LUKS2-Geräten.
- Im Plain-Mode, in dem der Master-Schlüssel und der Header nicht auf der Festplatte gespeichert werden, wird standardmäßig der Verschlüsselungsalgorithmus aes-xts-plain64 und der Hash-Algorithmus sha256 verwendet (anstatt des leistungshinsicht nicht optimalen CBC-Modus wird XTS verwendet, und anstelle des veralteten Hashes ripemd160 wird sha256 eingesetzt).
- In den Befehlen open und luksResume ist es nun erlaubt, den Schlüssel der Partition im vom Benutzer gewählten Keyring im Kernel zu speichern. Für den Zugriff auf den Keyring wurde vielen Befehlen von cryptsetup die Option „--volume-key-keyring“ hinzugefügt (zum Beispiel ‘cryptsetup open --link-vk-to-keyring „@s::%user:testkey“ tst’).
- Auf Systemen ohne Swap-Partition wird beim Formatieren oder Erstellen eines Schlüsselslots für PBKDF Argon2 jetzt nur die Hälfte des freien Speichers verwendet, was das Problem der Erschöpfung des verfügbaren Speichers auf Systemen mit geringer RAM-Kapazität gelöst hat.
- Die Option „--external-tokens-path“ wurde hinzugefügt, um ein Verzeichnis für externe Token-Handler für LUKS2 (Plugins) anzugeben.
- In tcrypt wurde die Unterstützung für den Hash-Algorithmus Blake2 für VeraCrypt hinzugefügt.
- Die Unterstützung für den Blockchiffre Aria wurde hinzugefügt.
- Die Unterstützung für Argon2 in den Implementierungen von OpenSSL 3.2 und libgcrypt wurde hinzugefügt, sodass keine libargon mehr verwendet werden muss.
Quelle: opennet.ru
