Megjelent a Cryptsetup 2.7 eszközkészlete, amely a Linux lemezpartíciók titkosításának beállítására szolgál az dm-crypt modul használatával. Támogatott a dm-crypt, LUKS, LUKS2, BITLK, loop-AES és TrueCrypt/VeraCrypt partíciókkal való munka. Az eszközkészlet tartalmazza a veritysetup és integritysetup segédprogramokat is, amelyek az dm-verity és dm-integrity modulokon alapuló adatintegritás-ellenőrzési eszközök konfigurálására szolgálnak.
Főbb fejlesztések:
- Bevezetésre került a lemezek OPAL hardware titkosítási mechanizmusának használata, amely a SATA és NVMe SED (Self-Encrypting Drives) meghajtók OPAL2 TCG interfésze alatt támogatott, ahol a hardvertitkosító közvetlenül a vezérlőbe van beépítve. Egyrészről az OPAL titkosítás a szabadon elérhető auditálás hiányában a saját hardverére támaszkodik, másrészről viszont extra védelmi rétegként használható a szoftveres titkosításon felül, anélkül, hogy a teljesítményt csökkentené vagy terhelést okozna a CPU-n.
Az OPAL LUKS2-ben való használatához Linux kernel build szükséges a CONFIG_BLK_SED_OPAL opcióval, és engedéllyel kell rendelkeznie a Cryptsetupban (alapértelmezés szerint az OPAL támogatás le van tiltva). Az LUKS2 OPAL konfigurálása hasonlóan történik, mint a szoftveres titkosítás esetén - a metaadatok az LUKS2 fejlécében kerülnek tárolásra. A kulcsot felosztják a szoftveres titkosításhoz (dm-crypt) tartozó kulcsra és az OPAL feloldó kulcsra. Az OPAL használható a szoftveres titkosítással (cryptsetup luksFormat --hw-opal ) és külön is (cryptsetup luksFormat --hw-opal-only ). Az OPAL aktiválására és deaktiválására ugyanúgy van lehetőség (open, close, luksSuspend, luksResume), mint a LUKS2 eszközök esetén.
- Plain módban, ahol a mester kulcs és a fejléc nem kerül tárolásra a lemezen, alapértelmezés szerint az aes-xts-plain64 titkosító és a sha256 hashing algoritmus van használatban (a teljesítménnyel kapcsolatos problémákkal küzdő CBC mód helyett az XTS van használatban, a elavult ripemd160 hash helyett pedig a sha256).
- Az open és luksResume parancsokban lehetőség van a partíció kulcsának tárolására a felhasználó által választott kulcstárolóban a kernelben (keyring). A keyring-hez való hozzáféréshez számos cryptsetup parancsba hozzáadva lett a ‘--volume-key-keyring’ opció (például ‘cryptsetup open --link-vk-to-keyring "@s::%user:testkey" tst’).
- A swap partition is no longer required on systems; now, only half of the free memory is used when formatting or creating key slots for PBKDF Argon2, solving the issue of memory exhaustion on systems with limited RAM.
- An option ‘—external-tokens-path’ has been added to specify the directory for external LUKS2 token handlers (plugins).
- Support for the Blake2 hashing algorithm for VeraCrypt has been added to tcrypt.
- Support for the Aria block cipher has been added.
- Support for Argon2 has been added in the implementations of OpenSSL 3.2 and libgcrypt, which allows for the bypassing of libargon.
Forrás: opennet.ru
