Es wurde eine Sammlung von Cryptsetup-Utilities in der Version 2.8 veröffentlicht, die zur Konfiguration der Verschlüsselung von Festplattenpartitionen unter Linux mit dem dm-crypt-Modul dienen. Es wird die Arbeit mit den Partitionen dm-crypt, LUKS, LUKS2, BITLK, loop-AES und TrueCrypt/VeraCrypt unterstützt. Zudem sind die Utilities veritysetup und integritysetup enthalten, die zur Einstellung der Integritätskontrolle von Daten basierend auf den Modulen dm-verity und dm-integrity dienen.
Wesentliche Verbesserungen:
- Die Unterstützung für den Inline-Modus wurde hinzugefügt, der die Verwendung erweiterter Sektoren ermöglicht, die einen zusätzlichen Bereich für die Speicherung von Metadaten bieten. Solche Sektoren werden von einigen NVMe-Speichermedien unterstützt, die es erlauben, neben dem Datenbereich auch einen Block von Metadaten im Sektor unterzubringen (z. B. 4096 Byte für Daten + 64 Byte für Metadaten).
Cryptsetup kann einen Bereich der Metadaten im Sektor nutzen, um Verwaltungsinformationen zu speichern, wodurch die Notwendigkeit entfällt, eine zusätzliche Schicht auf Basis von dm-integrity einzusetzen, die für die Zuweisung von Platz für Metadaten verantwortlich ist. Daher kann auf die Protokollierung von dm-integrity verzichtet werden, die ein Engpass darstellt und sich negativ auf die Leistung auswirkt. Im Linux-Kernel sind die erforderlichen Funktionen für den Betrieb im Inline-Modus seit der Version 6.11 verfügbar. Um den Inline-Modus zu aktivieren, wurde die Option „—integrity-inline“ hinzugefügt.
- Das API Keyslot Context wurde zur Manipulation von Schlüsselslots bereitgestellt. Das neue API ermöglicht die Erweiterung der Funktionalität vieler bestehender Befehle, einschließlich Funktionen wie die Aktivierung von Tokens, die Wiederaufnahme der Arbeit mit einem pausierten verschlüsselten Gerät und die Durchführung von erneuten Verschlüsselungen (reencryption).
- Der Befehl cryptsetup wurde um die Optionen „—key-description“ und „—new-key-description“ erweitert, um Beschreibungen an Schlüssel anzuhängen.
- Es wurde die Möglichkeit zur Wiederaufnahme einer pausierten Operation der erneuten Verschlüsselung (reencryption) hinzugefügt, indem ein Token und die Schlüssel des Volumes verwendet werden.
- Im Befehl „repair“ wurde eine Überprüfung auf Beschädigungen der Bereiche mit LUKS-Schlüsselslots hinzugefügt.
- Im Befehl veritysetup wurde die Option „—error-as-corruption“ hinzugefügt, bei der alle Fehler als Datenbeschädigung behandelt werden. Dementsprechend kann ein Neustart oder ein Übergang in den Panic-Zustand bei Fehlern konfiguriert werden, wenn die Optionen „—restart-on-corruption“ und „—panic-on-corruption“ verwendet werden.
- Eine optionale Möglichkeit zur Verwendung der Mbed-TLS-Bibliothek als Krypto-Backend wurde hinzugefügt (aktiviert beim Kompilieren mit der Option „—with-crypto_backend=mbedtls“).
Quelle: opennet.ru
