Objavljen je paket alata Cryptsetup 2.7, namijenjen za postavljanje enkripcije particija u Linuxu pomoću modula dm-crypt. Podržano je korištenje s particijama dm-crypt, LUKS, LUKS2, BITLK, loop-AES i TrueCrypt/VeraCrypt. Paket također uključuje alate veritysetup i integritysetup za postavljanje sredstava kontrole integriteta podataka temeljenih na modulima dm-verity i dm-integrity.
Ključna poboljšanja:
- Implementirana je mogućnost korištenja hardverskog mehanizma za enkripciju diskova OPAL, podržanog na samoevropskim (SED - Self-Encrypting Drives) uređajima SATA i NVMe s OPAL2 TCG sučeljem, u kojima je uređaj za hardversku enkripciju ugrađen izravno u kontroler. S jedne strane, OPAL enkripcija je vezana uz proprietarnu opremu i nije dostupna za javnu reviziju, no s druge strane, može se koristiti kao dodatna razina zaštite iznad softverske enkripcije, ne smanjujući performanse niti opterećujući CPU.
Za korištenje OPAL-a u LUKS2 potrebno je imati kernel Linuxa s opcijom CONFIG_BLK_SED_OPAL i uključiti je u Cryptsetup (po defaultu, podrška za OPAL je isključena). Postavke LUKS2 OPAL-a provode se analogno softverskoj enkripciji — metapodaci se spremaju u LUKS2 zaglavlje. Ključ se dijeli na ključ particije za softversku enkripciju (dm-crypt) i ključ otključavanja za OPAL. OPAL se može koristiti i zajedno s softverskom enkripcijom (cryptsetup luksFormat —hw-opal ), i zasebno (cryptsetup luksFormat —hw-opal-only ). Aktivacija i deaktivacija OPAL-a provode se na isti način (open, close, luksSuspend, luksResume) kao i za LUKS2 uređaje.
- U plain-režimu, gdje se majstor ključ i zaglavlje ne pohranjuju na disku, po defaultu je aktivan cipher aes-xts-plain64 i algoritam hashiranja sha256 (umjesto CBC režima koji ima problema s performansama, aktiviran je XTS, a umjesto zastarjelog hasha ripemd160 — sha256).
- U naredbama open i luksResume dopušteno je pohranjivanje ključa particije u korisnikovom odabranom spremištu ključeva u kernalu (keyring). Za pristup keyringu mnogim naredbama cryptsetup dodana je opcija "—volume-key-keyring" (na primjer 'cryptsetup open —link-vk-to-keyring "@s::%user:testkey" tst').
- Na sustavima bez swap particije, prilikom formatiranja ili kreiranja ključeva za PBKDF Argon2, sada se koristi samo polovica slobodne memorije, što je riješilo problem iscrpljivanja dostupne memorije na sustavima s malom količinom RAM-a.
- Dodana je opcija „—external-tokens-path“ za određivanje direktorija za vanjske LUKS2 tokene (pluginove).
- U tcrypt je dodana podrška za hashing algoritam Blake2 za VeraCrypt.
- Dodana je podrška za blok šifru Aria.
- Dodana je podrška za Argon2 u implementacijama OpenSSL 3.2 i libgcrypt, što omogućuje izbjegavanje korištenja libargon.
Izvor: opennet.ru
