È stato pubblicato un insieme di strumenti Cryptsetup 2.7, progettati per configurare la crittografia delle partizioni disco in Linux utilizzando il modulo dm-crypt. Supporta il lavoro con partizioni dm-crypt, LUKS, LUKS2, BITLK, loop-AES e TrueCrypt/VeraCrypt. Include anche gli strumenti veritysetup e integritysetup per la configurazione dei meccanismi di controllo dell'integrità dei dati basati sui moduli dm-verity e dm-integrity.
Miglioramenti chiave:
- È stata implementata la possibilità di utilizzare il meccanismo hardware di crittografia dei dischi OPAL, supportato su unità autocriptanti (SED - Self-Encrypting Drives) SATA e NVMe con interfaccia OPAL2 TCG, in cui il dispositivo di crittografia hardware è integrato direttamente nel controller. Da un lato, la crittografia OPAL è legata a hardware proprietario e non è accessibile per audit pubblici, ma, dall'altro, può essere utilizzata come un ulteriore livello di protezione oltre alla crittografia software, senza ridurre le prestazioni e senza caricare la CPU.
Per utilizzare OPAL in LUKS2 è necessaria una build del kernel Linux con l'opzione CONFIG_BLK_SED_OPAL e l'attivazione in Cryptsetup (di default il supporto per OPAL è disabilitato). La configurazione di LUKS2 OPAL è effettuata analogamente alla crittografia software: i metadati sono salvati nell'intestazione LUKS2. La chiave è divisa in una chiave di sezione per la crittografia software (dm-crypt) e una chiave di sblocco per OPAL. OPAL può essere utilizzato sia con la crittografia software (cryptsetup luksFormat --hw-opal ), sia separatamente (cryptsetup luksFormat --hw-opal-only ). L'attivazione e disattivazione di OPAL avviene nello stesso modo (open, close, luksSuspend, luksResume) come per i dispositivi LUKS2.
- In modalità plain, in cui la chiave master e l'intestazione non sono memorizzate sul disco, viene utilizzato per impostazione predefinita il cifrario aes-xts-plain64 e l'algoritmo di hashing sha256 (anziché la modalità CBC, che presenta problemi di prestazioni, è stato utilizzato XTS, e invece dell'obsoleto hash ripemd160 è stato utilizzato sha256).
- Nei comandi open e luksResume è consentita la memorizzazione della chiave di sezione nel keyring scelto dall'utente nel kernel. Per accedere al keyring, in molti comandi cryptsetup è stata aggiunta l'opzione '--volume-key-keyring' (ad esempio 'cryptsetup open --link-vk-to-keyring "@s::%user:testkey" tst').
- Nei sistemi senza partizione di swap, durante la formattazione o la creazione di uno slot per le chiavi per PBKDF Argon2, ora viene utilizzata solo metà della memoria libera, risolvendo così il problema dell'esaurimento della memoria disponibile sui sistemi con una piccola quantità di RAM.
- Aggiunta l'opzione «—external-tokens-path» per specificare la directory per i gestori esterni dei token LUKS2 (plugin).
- In tcrypt è stata aggiunta la supporto per l'algoritmo di hashing Blake2 per VeraCrypt.
- Aggiunta la supporto per il cifrario a blocchi Aria.
- Aggiunta la supporto per Argon2 nelle implementazioni di OpenSSL 3.2 e libgcrypt, permettendo di evitare l'uso di libargon.
Fonte: opennet.ru
