{"id":113107,"date":"2024-01-24T23:28:03","date_gmt":"2024-01-24T21:28:03","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/vypusk-cryptsetup-2-7-s-podderzhkoj-apparatnogo-diskovogo-shifrovaniya-opal"},"modified":"2024-01-24T23:28:03","modified_gmt":"2024-01-24T21:28:03","slug":"vypusk-cryptsetup-2-7-s-podderzhkoj-apparatnogo-diskovogo-shifrovaniya-opal","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/news\/vypusk-cryptsetup-2-7-s-podderzhkoj-apparatnogo-diskovogo-shifrovaniya-opal","title":{"rendered":"Ver\u00f6ffentlichung von Cryptsetup 2.7 mit Unterst\u00fctzung f\u00fcr hardwarebasiertes Festplattenschl\u00fcsselmanagement nach OPAL.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Das Set von Cryptsetup 2.7 wurde ver\u00f6ffentlicht, das zur Konfiguration der Verschl\u00fcsselung von Datentr\u00e4gerpartitionen unter Linux mit dem dm-crypt-Modul dient. Es wird die Arbeit mit den Partitionen dm-crypt, LUKS, LUKS2, BITLK, loop-AES und TrueCrypt\/VeraCrypt unterst\u00fctzt. Das Paket umfasst auch die Tools veritysetup und integritysetup zur Einrichtung von Integrit\u00e4tspr\u00fcfungsmechanismen auf der Grundlage der Module dm-verity und dm-integrity. <\/p>\n
Wesentliche Verbesserungen: <\/p>\n
\n
Die M\u00f6glichkeit zur Nutzung des Hardwareverschl\u00fcsselungsmechanismus OPAL wurde implementiert, der auf selbstverschl\u00fcsselnden (SED - Self-Encrypting Drives) SATA- und NVMe-Laufwerken mit OPAL2 TCG-Schnittstelle unterst\u00fctzt wird, bei denen das Hardwareverschl\u00fcsselungsger\u00e4t direkt im Controller integriert ist. Einerseits ist die OPAL-Verschl\u00fcsselung an propriet\u00e4re Hardware gebunden und nicht f\u00fcr \u00f6ffentliche Audits zug\u00e4nglich, andererseits kann sie jedoch als zus\u00e4tzliche Sicherheitsebene \u00fcber der Softwareverschl\u00fcsselung genutzt werden, die weder die Leistung mindert noch die CPU belastet.\n
F\u00fcr die Verwendung von OPAL in LUKS2 ist ein Linux-Kernel mit der Option CONFIG_BLK_SED_OPAL erforderlich und die Aktivierung in Cryptsetup (die Unterst\u00fctzung von OPAL ist standardm\u00e4\u00dfig deaktiviert). Die Konfiguration von LUKS2 OPAL erfolgt analog zur Softwareverschl\u00fcsselung - die Metadaten werden im Header von LUKS2 gespeichert. Der Schl\u00fcssel wird in einen Verschl\u00fcsselungsschl\u00fcssel f\u00fcr die Softwareverschl\u00fcsselung (dm-crypt) und einen Entsperrschl\u00fcssel f\u00fcr OPAL aufgeteilt. OPAL kann sowohl zusammen mit der Softwareverschl\u00fcsselung (cryptsetup luksFormat --hw-opal ) als auch separat (cryptsetup luksFormat --hw-opal-only ) verwendet werden. Die Aktivierung und Deaktivierung von OPAL erfolgt auf die gleiche Weise (open, close, luksSuspend, luksResume) wie bei LUKS2-Ger\u00e4ten. <\/p>\n
Im Plain-Modus, bei dem der Master-Schl\u00fcssel und der Header nicht auf der Festplatte gespeichert werden, ist standardm\u00e4\u00dfig der Cipher aes-xts-plain64 und der Hash-Algorithmus sha256 aktiviert (anstatt des CBC-Modus, der Leistungsprobleme hat, wird XTS verwendet, und anstelle des veralteten Hashes ripemd160 wird sha256 verwendet).\n
In den Befehlen open und luksResume ist das Speichern des Verschl\u00fcsselungsschl\u00fcssels im vom Benutzer gew\u00e4hlten Schl\u00fcsselbund im Kernel (keyring) erlaubt. Viele cryptsetup-Befehle haben die Option '--volume-key-keyring' hinzugef\u00fcgt, um auf den keyring zuzugreifen (zum Beispiel 'cryptsetup open --link-vk-to-keyring \"@s::%user:testkey\" tst').\n
Auf Systemen ohne Swap-Partition wird beim Formatieren oder Erstellen eines Schl\u00fcsselslots f\u00fcr PBKDF Argon2 jetzt nur die H\u00e4lfte des freien Speichers verwendet, was das Problem der Ersch\u00f6pfung des verf\u00fcgbaren Speichers auf Systemen mit geringer RAM-Kapazit\u00e4t gel\u00f6st hat.\n
Die Option '--external-tokens-path' wurde hinzugef\u00fcgt, um ein Verzeichnis f\u00fcr externe LUKS2-Token-Handler (Plugins) anzugeben.\n
In tcrypt wurde die Unterst\u00fctzung f\u00fcr den Hash-Algorithmus Blake2 f\u00fcr VeraCrypt hinzugef\u00fcgt.\n
Die Unterst\u00fctzung f\u00fcr den Blockchiffre Aria wurde hinzugef\u00fcgt.\n
Die Unterst\u00fctzung f\u00fcr Argon2 in den Implementierungen von OpenSSL 3.2 und libgcrypt wurde hinzugef\u00fcgt, sodass keine libargon mehr verwendet werden muss. <\/ul>\n