Foi lançado o conjunto de utilitários Cryptsetup 2.7, destinado à configuração de criptografia de partições de disco no Linux utilizando o módulo dm-crypt. Suporte é oferecido para partições dm-crypt, LUKS, LUKS2, BITLK, loop-AES e TrueCrypt/VeraCrypt. O pacote também inclui as ferramentas veritysetup e integritysetup para configurar mecanismos de controle de integridade de dados baseados nos módulos dm-verity e dm-integrity.
Principais melhorias:
- Foi implementada a possibilidade de utilização do mecanismo de criptografia de disco OPAL, suportado em unidades de disco autocriptografadas (SED - Self-Encrypting Drives) SATA e NVMe com interface OPAL2 TCG, onde o dispositivo de criptografia é integrado diretamente no controlador. Por um lado, a criptografia OPAL é vinculada a hardware proprietário e não está disponível para auditoria pública, mas, por outro lado, pode ser usada como uma camada adicional de proteção sobre a criptografia por software, sem redução de desempenho e sem carga adicional na CPU.
Para usar o OPAL no LUKS2, é necessário compilar o kernel Linux com a opção CONFIG_BLK_SED_OPAL e habilitar no Cryptsetup (por padrão, o suporte ao OPAL está desativado). A configuração do LUKS2 OPAL é realizada de forma semelhante à criptografia por software — os metadados são salvos no cabeçalho do LUKS2. A chave é dividida em uma chave de partição para criptografia por software (dm-crypt) e uma chave de desbloqueio para OPAL. O OPAL pode ser usado tanto em conjunto com a criptografia por software (cryptsetup luksFormat —hw-opal ) quanto separadamente (cryptsetup luksFormat —hw-opal-only ). A ativação e desativação do OPAL são feitas da mesma forma (open, close, luksSuspend, luksResume) que para dispositivos LUKS2.
- No modo plain, onde a chave mestre e o cabeçalho não são armazenados no disco, o cifrador aes-xts-plain64 e o algoritmo de hash sha256 são utilizados por padrão (em vez do modo CBC, que apresenta problemas de desempenho, o XTS é empregado, e em vez do hash obsoleto ripemd160 — sha256).
- Nos comandos open e luksResume, é permitido armazenar a chave da partição no repositório de chaves escolhido pelo usuário no kernel (keyring). Para acessar o keyring em muitos comandos do cryptsetup, foi adicionada a opção “—volume-key-keyring” (por exemplo, 'cryptsetup open —link-vk-to-keyring "@s::%user:testkey" tst').
- Em sistemas sem partição de troca, ao formatar ou criar slots de chave para PBKDF Argon2, agora é utilizada apenas metade da memória livre, resolvendo o problema de esgotamento de memória disponível em sistemas com pouca RAM.
- Adicionada a opção «—external-tokens-path» para especificar o diretório para manipuladores externos de tokens LUKS2 (plugins).
- O tcrypt agora possui suporte ao algoritmo de hash Blake2 para VeraCrypt.
- Suporte ao cifrador de bloco Aria foi adicionado.
- Adicionada a suporte ao Argon2 nas implementações do OpenSSL 3.2 e libgcrypt, o que elimina a necessidade de usar libargon.
Fonte: opennet.ru
