Foi publicado um conjunto de utilitários Cryptsetup 2.8, destinado à configuração de criptografia de partições de disco no Linux usando o módulo dm-crypt. O suporte abrange partições dm-crypt, LUKS, LUKS2, BITLK, loop-AES e TrueCrypt/VeraCrypt. Também estão incluídos utilitários veritysetup e integritysetup para configurar o controle de integridade dos dados com base nos módulos dm-verity e dm-integrity.
Principais melhorias:
- Adicionado suporte ao modo inline, que permite o uso de setores estendidos com uma área adicional para armazenamento de metadados. Esses setores são suportados por alguns dispositivos NVMe, permitindo que, além da área de dados, o setor também armazene um bloco de metadados (por exemplo, 4096 bytes para dados + 64 bytes para metadados).
O Cryptsetup pode usar a área de metadados no setor para armazenar informações de controle, eliminando a necessidade de uma camada adicional baseada em dm-integrity, que é responsável por alocar espaço para metadados. Assim, não é necessário manter um log dm-integrity, que representa um gargalo que afeta o desempenho. No kernel Linux, as capacidades necessárias para o funcionamento do modo inline estão disponíveis a partir da versão 6.11. Para habilitar o modo inline, foi adicionada a opção "—integrity-inline".
- O Contexto de API Keyslot para manipulação de slots de chave foi preparado. A nova API aumentou a funcionalidade de muitos comandos existentes, com recursos como ativação de tokens, reativação de dispositivos criptografados suspensos e realização de reencriptação.
- Na utilidade cryptsetup, foram adicionadas as opções "—key-description" e "—new-key-description" para anexar descrições às chaves.
- Adicionada a capacidade de retomar uma operação de reencriptação suspensa, usando um token e chaves de partição.
- Foi adicionada uma verificação de corrupção nas áreas com slots de chave LUKS à implementação do comando "repair".
- No comando veritysetup, foi adicionada a opção "—error-as-corruption", pela qual quaisquer erros são tratados como corrupção de dados, podendo assim configurar uma reinicialização ou um estado de panic em caso de erros, ao usar as opções "—restart-on-corruption" e "—panic-on-corruption".
- Adicionada a opção de utilizar a biblioteca Mbed-TLS como back-end criptográfico (ativado na compilação com a opção "—with-crypto_backend=mbedtls").
Fonte: opennet.ru
