È stato pubblicato un insieme di utilità Cryptsetup 2.8, progettato per configurare la crittografia delle partizioni disco in Linux utilizzando il modulo dm-crypt. È supportato il lavoro con le partizioni dm-crypt, LUKS, LUKS2, BITLK, loop-AES e TrueCrypt/VeraCrypt. Sono inclusi anche gli strumenti veritysetup e integritysetup per la configurazione del controllo di integrità dei dati basato sui moduli dm-verity e dm-integrity.
Miglioramenti chiave:
- È stata aggiunta la supporto per la modalità inline, che consente di utilizzare settori estesi con un'area aggiuntiva per la memorizzazione dei metadati. Tali settori sono supportati da alcuni dispositivi di archiviazione NVMe, che consentono, oltre all'area dei dati, di collocare nel settore anche un blocco di metadati (ad esempio, 4096 byte per i dati + 64 byte per i metadati).
Cryptsetup può utilizzare un'area di metadata nel settore per memorizzare informazioni di servizio, eliminando la necessità di un ulteriore strato basato su dm-integrity per allocare spazio ai metadata. Di conseguenza, è possibile fare a meno della registrazione di dm-integrity, che rappresenta un collo di bottiglia che influisce negativamente sulle prestazioni. Nel kernel Linux, le funzionalità necessarie per il funzionamento della modalità inline sono presenti dalla versione 6.11. Per abilitare la modalità inline, è stata aggiunta l'opzione "--integrity-inline".
- Portato a termine il contesto API Keyslot per la manipolazione degli slot della chiave. La nuova API ha permesso di ampliare la funzionalità di molti comandi esistenti, con funzioni come l'attivazione dei token, il ripristino del funzionamento di un dispositivo crittografato sospeso e l'esecuzione della crittografia ripetuta (reencryption).
- Sono state aggiunte al comando cryptsetup le opzioni "--key-description" e "--new-key-description" per allegare una descrizione alle chiavi.
- È stata aggiunta la possibilità di riprendere un'operazione di crittografia ripetuta (reencryption) sospesa, utilizzando un token e le chiavi di partizione.
- Nel comando «repair» è stata aggiunta un'operazione di controllo dei settori danneggiati delle aree con slot per chiavi LUKS.
- Nella squadra veritysetup è stata introdotta l'opzione «—error-as-corruption», che gestisce errori come danneggiamento dei dati; in questo modo è possibile configurare il riavvio o il passaggio allo stato di panic in caso di errori, usando le opzioni «—restart-on-corruption» e «—panic-on-corruption».
- È stata aggiunta la possibilità opzionale di utilizzare la libreria Mbed-TLS come backend crittografico (attivata durante la compilazione con l'opzione «—with-crypto_backend=mbedtls»).
Fonte: opennet.ru
