De set van Cryptsetup-hulpmiddelen 2.7 is gepubliceerd, bedoeld voor het configureren van schijfversleuteling in Linux met behulp van de dm-crypt-module. Het werkt met dm-crypt-partities, LUKS, LUKS2, BITLK, loop-AES en TrueCrypt/VeraCrypt. Ook zijn de hulpmiddelen veritysetup en integritysetup opgenomen voor het instellen van integriteitscontroles op basis van dm-verity en dm-integrity-modules.
Belangrijke verbeteringen:
- De mogelijkheid om de OPAL-hardwareversleuteling van schijven te gebruiken is geïmplementeerd, die wordt ondersteund op zelfversleutelende (SED - Self-Encrypting Drives) SATA- en NVMe-opslagapparaten met OPAL2 TCG-interface, waarin het versleutelingsapparaat rechtstreeks in de controller is ingebouwd. Aan de ene kant is OPAL-versleuteling afhankelijk van propriëtaire hardware en niet beschikbaar voor publiekelijk toezicht, maar aan de andere kant kan het worden gebruikt als een extra beveiligingslaag bovenop softwareversleuteling, zonder de prestaties te verminderen of de CPU te belasten.
Om OPAL in LUKS2 te gebruiken, is een Linux-kernelconfiguratie vereist met de optie CONFIG_BLK_SED_OPAL en inschakeling in Cryptsetup (standaard is de ondersteuning voor OPAL uitgeschakeld). De configuratie van LUKS2 OPAL gebeurt op dezelfde manier als bij softwareversleuteling - de metadata worden opgeslagen in de LUKS2-header. De sleutel wordt opgesplitst in een partitiesleutel voor softwareversleuteling (dm-crypt) en een ontgrendelingssleutel voor OPAL. OPAL kan zowel samen met softwareversleuteling worden gebruikt (cryptsetup luksFormat —hw-opal ) als afzonderlijk (cryptsetup luksFormat —hw-opal-only ). De activatie en deactivatie van OPAL gebeurt op dezelfde manier (open, close, luksSuspend, luksResume) als voor LUKS2-apparaten.
- In de plaintext-modus, waarbij de master-sleutel en header niet op de schijf worden opgeslagen, is standaard het aes-xts-plain64-algoritme actief en wordt sha256 als hash-algoritme gebruikt (in plaats van de CBC-modus, die prestatienproblemen heeft, wordt XTS gebruikt, en in plaats van de verouderde hash ripemd160 - sha256).
- Bij de commando's open en luksResume is het toegestaan om de partitiesleutel op te slaan in de door de gebruiker gekozen sleutelopslag in de kernel (keyring). Voor toegang tot de keyring is aan veel cryptsetup-commando's de optie '—volume-key-keyring' toegevoegd (bijvoorbeeld 'cryptsetup open —link-vk-to-keyring "@s::%user:testkey" tst').
- Op systemen zonder swappartities wordt nu bij het formatteren of creëren van slots voor PBKDF Argon2 slechts de helft van het beschikbare geheugen gebruikt, wat het probleem van geheugenuitputting op systemen met een beperkte hoeveelheid RAM oplost.
- Een optie ‘—external-tokens-path’ is toegevoegd om een map op te geven voor externe LUKS2-tokenhandlers (plugins).
- Ondersteuning voor het hash-algoritme Blake2 is toegevoegd aan tcrypt voor VeraCrypt.
- Ondersteuning voor de blokcijfer Aria is toegevoegd.
- Argon2-ondersteuning is toegevoegd aan de implementaties van OpenSSL 3.2 en libgcrypt, waardoor het gebruik van libargon niet meer nodig is.
Bron: opennet.ru
