Se ha publicado un conjunto de utilidades Cryptsetup 2.8, diseñado para configurar el cifrado de particiones de disco en Linux Utiliza el módulo dm-crypt. Admite particiones dm-crypt, LUKS, LUKS2, BITLK, loop-AES y TrueCrypt/VeraCrypt. El paquete también incluye las utilidades veritysetup e integritysetup para configurar el control de integridad de datos basado en los módulos dm-verity y dm-integrity.
Mejoras clave:
- Se añadió compatibilidad con el modo en línea, que permite usar sectores extendidos con un área adicional para almacenar metadatos. Algunas unidades NVMe admiten estos sectores, lo que permite, además del área de datos, colocar un bloque de metadatos en el sector (por ejemplo, 4096 bytes para datos + 64 bytes para metadatos).
Cryptsetup puede usar el área de metadatos del sector para almacenar información de servicio, eliminando la necesidad de una capa adicional basada en dm-integrity responsable de asignar espacio para los metadatos. En consecuencia, se puede eliminar el registro de dm-integrity, que es un cuello de botella de rendimiento. En el kernel Linux Las funcionalidades necesarias para el modo en línea están disponibles desde la versión 6.11. Se ha añadido la opción "--integrity-inline" para habilitar el modo en línea.
- Se ha finalizado la API de contexto de ranuras de claves para manipular ranuras de claves. Esta nueva API ha ampliado la funcionalidad de muchos comandos existentes con funciones como la activación de tokens, la reanudación del trabajo con un dispositivo cifrado suspendido y la recodificación.
- La utilidad cryptsetup se ha actualizado con las opciones "--key-description" y "--new-key-description" para adjuntar una descripción a las claves.
- Se agregó la capacidad de reanudar una operación de reencriptación pausada usando el token de partición y las claves.
- Se ha actualizado la implementación del comando "reparar" para verificar si hay daños en áreas con ranuras para llaves LUKS.
- El comando veritysetup ahora tiene la opción "--error-as-corruption", que trata cualquier error como corrupción de datos, de modo que puede configurar un reinicio o un pánico en caso de errores al usar las opciones "--restart-on-corruption" y "--panic-on-corruption".
- Se agregó la capacidad opcional de usar la biblioteca Mbed-TLS como backend criptográfico (habilitado al compilar con la opción "--with-crypto_backend=mbedtls").
Fuente: opennet.ru
