Opublikowano zestaw narzędzi Cryptsetup 2.7, przeznaczonych do konfiguracji szyfrowania partycji dyskowych w systemie Linux przy użyciu modułu dm-crypt. Obsługiwane są partycje dm-crypt, LUKS, LUKS2, BITLK, loop-AES oraz TrueCrypt/VeraCrypt. W skład zestawu wchodzą również narzędzia veritysetup i integritysetup do konfiguracji systemów kontroli integralności danych opartych na modułach dm-verity i dm-integrity.
Kluczowe ulepszenia:
- Zaimplementowano możliwość korzystania z sprzętowego mechanizmu szyfrowania dysków OPAL, wspieranego przez samoszyfrujące (SED — Self-Encrypting Drives) napędy SATA i NVMe z interfejsem OPAL2 TCG, w których urządzenie sprzętowego szyfrowania jest wbudowane bezpośrednio w kontroler. Z jednej strony szyfrowanie OPAL opiera się na zastrzeżonym sprzęcie i nie jest dostępne do publicznego audytu, ale z drugiej strony może być używane jako dodatkowy poziom ochrony nad szyfrowaniem programowym, nie prowadząc do spadku wydajności i nie obciążając CPU.
Aby korzystać z OPAL w LUKS2, potrzebna jest wersja jądra Linux z opcją CONFIG_BLK_SED_OPAL oraz włączenie tej opcji w Cryptsetup (domyślnie wsparcie dla OPAL jest wyłączone). Konfiguracja LUKS2 OPAL odbywa się na podobieństwo szyfrowania programowego — metadane przechowywane są w nagłówku LUKS2. Klucz jest dzielony na klucz partycji do szyfrowania programowego (dm-crypt) i klucz odblokowujący dla OPAL. OPAL może być używane zarówno razem z szyfrowaniem programowym (cryptsetup luksFormat —hw-opal ), jak i osobno (cryptsetup luksFormat —hw-opal-only ). Aktywacja i dezaktywacja OPAL odbywa się w ten sam sposób (open, close, luksSuspend, luksResume), co w przypadku urządzeń LUKS2.
- W trybie plain, w którym klucz główny i nagłówek nie są przechowywane na dysku, domyślnie używany jest algorytm szyfrujący aes-xts-plain64 oraz algorytm haszujący sha256 (zamiast trybu CBC, który ma problemy z wydajnością, używany jest XTS, a zamiast przestarzałego hasha ripemd160 — sha256).
- W poleceniach open i luksResume dozwolone jest przechowywanie klucza partycji w wybranym przez użytkownika magazynie kluczy w jądrze (keyring). Aby uzyskać dostęp do keyring, do wielu poleceń cryptsetup dodano opcję „—volume-key-keyring” (na przykład ‘cryptsetup open —link-vk-to-keyring „@s::%user:testkey” tst’).
- Na systemach bez partycji swap podczas formatowania lub tworzenia slotu kluczy dla PBKDF Argon2 obecnie używana jest tylko połowa dostępnej pamięci, co rozwiązało problem z wyczerpywaniem dostępnej pamięci na systemach z niewielką ilością RAM.
- Dodano opcję «—external-tokens-path» do wskazywania katalogu dla zewnętrznych procesorów tokenów LUKS2 (wtyczek).
- W tcrypt dodano wsparcie dla algorytmu haszującego Blake2 dla VeraCrypt.
- Dodano wsparcie dla blokowego szyfru Aria.
- Dodano wsparcie dla Argon2 w implementacjach OpenSSL 3.2 i libgcrypt, co pozwala na rezygnację z używania libargon.
Źródło: opennet.ru
