Cryptsetup 2.7 väljaanne, mis toetab OPAL-i riistvaralist kettakodeerimist

Avaldatud on Cryptsetup 2.7 utiliitide komplekt, mis on ette nähtud Linuxi kettasegmentide krüptimise seadistamiseks dm-crypt mooduli abil. Toetatakse töötamist dm-crypt, LUKS, LUKS2, BITLK, loop-AES ja TrueCrypt/VeraCrypt sektsioonidega. Komplekti kuuluvad ka utiliidid veritysetup ja integritysetup, et seadistada andmete terviklikkuse kontrolli vahendid, mis põhinevad dm-verity ja dm-integrity moodulitel.

Peamised täiustused:

• Reaaliseeritud on võimalus kasutada OPAL-krüpteerimise seadistust, mida toetavad SATA ja NVMe ise-krüpteerivad (SED - Self-Encrypting Drives) draivid OPAL2 TCG liidesega, kus riistvaraline krüpteerimise seade on integreeritud otse kontrollerisse. Ühest küljest on OPAL krüpteerimine seotud patenteeritud riistvaraga, mis ei ole avalikuks auditeerimiseks saadaval, kuid teisest küljest võib seda kasutada täiendava kaitse tasemena, mis ei vähenda jõudlust ega koorma CPU-d.

  OPAL-i kasutamiseks LUKS2-s on vajalik Linuxi tuuma ülesehitus CONFIG_BLK_SED_OPAL valikuga ja Cryptsetup'i täiendus (OPAL-i tugi on vaikimisi kehtestamata). LUKS2 OPAL seadistamine toimub analoogselt tarkvaralisele krüpteerimisele — metainformaatsioon salvestatakse LUKS2 päisesse. Võti jagatakse krüpteerimise võtme (dm-crypt) ja OPAL-i avamisvõtme vahel. OPAL-i saab kasutada koos tarkvaralise krüpteerimisega (cryptsetup luksFormat —hw-opal ) või eraldi (cryptsetup luksFormat —hw-opal-only ). OPAL-i aktiveerimist ja deaktiveerimist teostatakse sama meetodiga (open, close, luksSuspend, luksResume) nagu LUKS2 seadmete puhul.
• Plain-režiimis, kus master-võti ja peaosa ei ole kettale salvestatud, on vaikimisi kasutusel krüptograafia aes-xts-plain64 ja sõnumihalduri algoritm sha256 (CBC-režiimi, millel on jõudluse probleemid, asemel on kasutusel XTS, ning aikapäraste ripemd160 asemel sha256).
• Käskudes open ja luksResume on lubatud hoida krüpteerimise võti valitud kasutaja võtmehoidlas tuumas (keyring). Paljudele cryptsetup käskudele on lisatud valik "—volume-key-keyring" võtmehoidlasse juurdepääsu võimaldamiseks (nt 'cryptsetup open —link-vk-to-keyring "@s::%user:testkey" tst').
• Süsteemides, kus ei ole vahetusfaili, kasutatakse PBKDF Argon2 vormindamisel või võtmeaugu loomisel nüüd ainult pool vabast mälust, lahendades mälupuuduse probleemi väikese RAM-iga süsteemides.
• Lisatud on valik „—external-tokens-path“, et määrata LUKS2 (plugin) väliste tokenitöötlijate kataloog.
• Tcrypt toetab nüüd VeraCrypti jaoks Blake2 hash-algoritmi.
• Lisatud on Aria plokiahelkrüptimise toetus.
• Argon2 tugi on lisatud OpenSSL 3.2 ja libgcrypti rakendustes, mis võimaldab vältida libargon'i kasutamist.

Allikas: opennet.ru