È stato pubblicato un insieme di utilità Cryptsetup 2.8, destinato alla configurazione della crittografia delle partizioni disco in Linux tramite il modulo dm-crypt. Supporta il lavoro con partizioni dm-crypt, LUKS, LUKS2, BITLK, loop-AES e TrueCrypt/VeraCrypt. Comprende anche le utilità veritysetup e integritysetup per la configurazione del controllo di integrità dei dati basato sui moduli dm-verity e dm-integrity.
Miglioramenti chiave:
- È stata aggiunta la supporto per la modalità inline, che consente di utilizzare settori estesi con un'area aggiuntiva per la memorizzazione dei metadati. Settori simili sono supportati da alcuni dispositivi NVMe, che consentono di posizionare, oltre all'area dati, anche un blocco di metadati (ad esempio, 4096 byte per i dati + 64 byte per i metadati) all'interno del settore.
Cryptsetup può utilizzare l'area dei metadati nel settore per memorizzare informazioni di servizio, eliminando la necessità di un ulteriore livello basato su dm-integrity, responsabile della allocazione di spazio per i metadati. Di conseguenza, è possibile evitare l'uso del registro di dm-integrity, che rappresenta un collo di bottiglia e influisce negativamente sulle prestazioni. Nel kernel Linux, le funzionalità necessarie per la modalità inline sono disponibili a partire dalla versione 6.11. Per attivare la modalità inline è stata aggiunta l'opzione «—integrity-inline».
- L'API Keyslot Context per la gestione degli slot delle chiavi è stata portata a completamento. La nuova API ha consentito di ampliare le funzionalità di molti comandi esistenti, come l'attivazione dei token, il ripristino dell'uso di dispositivi crittografati sospesi e l'esecuzione della crittografia ripetuta (reencryption).
- Nell'utilità cryptsetup sono state aggiunte le opzioni «—key-description» e «—new-key-description» per allegare una descrizione alle chiavi.
- È stata aggiunta la possibilità di riprendere un'operazione di crittografia ripetuta (reencryption) sospesa, utilizzando un token e le chiavi della partizione.
- Nell'implementazione del comando «repair» è stata aggiunta una verifica per rilevare danni nelle aree degli slot delle chiavi LUKS.
- Nel comando veritysetup è stata aggiunta l'opzione «—error-as-corruption», per cui qualsiasi errore viene trattato come danno ai dati. Pertanto, è possibile configurare un riavvio o passare allo stato di panico in caso di errori, se si utilizzano le opzioni «—restart-on-corruption» e «—panic-on-corruption».
- È stata aggiunta un'opzione per l'utilizzo della libreria Mbed-TLS come backend crittografico (attivata durante la compilazione con l'opzione «—with-crypto_backend=mbedtls»).
Fonte: opennet.ru
