È stato pubblicato un insieme di utility Cryptsetup 2.7, progettato per configurare la crittografia delle partizioni disco in Linux utilizzando il modulo dm-crypt. È supportato il lavoro con partizioni dm-crypt, LUKS, LUKS2, BITLK, loop-AES e TrueCrypt/VeraCrypt. Comprende anche gli strumenti veritysetup e integritysetup per impostare i meccanismi di controllo dell'integrità dei dati basati sui moduli dm-verity e dm-integrity.
Miglioramenti chiave:
- È stata implementata la possibilità di utilizzare il meccanismo hardware di crittografia dei dischi OPAL, supportato su unità SATA e NVMe a crittografia automatica (SED - Self-Encrypting Drives) con interfaccia OPAL2 TCG, in cui il dispositivo di crittografia hardware è integrato direttamente nel controller. Da un lato, la crittografia OPAL è legata a hardware proprietario e non è accessibile per audit pubblici, ma dall'altro lato, può essere utilizzata come livello di protezione aggiuntivo rispetto alla crittografia software, senza compromettere le prestazioni e senza mettere sotto carico la CPU.
Per utilizzare OPAL in LUKS2 è necessaria una build del kernel Linux con l'opzione CONFIG_BLK_SED_OPAL e l'attivazione in Cryptsetup (per impostazione predefinita, il supporto OPAL è disabilitato). La configurazione di LUKS2 OPAL avviene analogamente alla crittografia software: i metadati vengono salvati nell'intestazione di LUKS2. La chiave viene suddivisa in una chiave di partizione per la crittografia software (dm-crypt) e una chiave di sblocco per OPAL. OPAL può essere utilizzato sia insieme alla crittografia software (cryptsetup luksFormat —hw-opal ), sia singolarmente (cryptsetup luksFormat —hw-opal-only ). L'attivazione e la disattivazione di OPAL avvengono nello stesso modo (open, close, luksSuspend, luksResume) come per i dispositivi LUKS2.
- In modalità plain, in cui la chiave principale e l'intestazione non sono memorizzate su disco, è utilizzata per impostazione predefinita la crittografia aes-xts-plain64 e l'algoritmo di hashing sha256 (invece della modalità CBC, che ha problemi di prestazioni, è stato utilizzato XTS, e invece dell'ormai obsoleto hash ripemd160 — sha256).
- Nei comandi open e luksResume è consentita la memorizzazione della chiave di partizione nel keyring scelto dall'utente nel kernel. Per accedere al keyring, molte comandi cryptsetup hanno aggiunto l'opzione «—volume-key-keyring» (ad esempio ‘cryptsetup open —link-vk-to-keyring «@s::%user:testkey» tst’).
- Nei sistemi senza partizioni di swap, durante la formattazione o la creazione di slot chiave per PBKDF Argon2 ora viene utilizzata solo metà della memoria libera, risolvendo il problema dell'esaurimento della memoria disponibile su sistemi con poca RAM.
- Aggiunta l'opzione «—external-tokens-path» per specificare la directory per i gestori di token esterni LUKS2 (plugin).
- In tcrypt è stata aggiunta la supporto per l'algoritmo di hashing Blake2 per VeraCrypt.
- Aggiunta la supporto per il cifrario a blocchi Aria.
- Aggiunta la supporto per Argon2 nelle implementazioni di OpenSSL 3.2 e libgcrypt, consentendo di evitare l'uso di libargon.
Fonte: opennet.ru
