Bol publikovaný balík utilít Cryptsetup 2.8, určený na nastavenie šifrovania diskových oddielov v Linuxe prostredníctvom modulu dm-crypt. Podporuje prácu s oddielmi dm-crypt, LUKS, LUKS2, BITLK, loop-AES a TrueCrypt/VeraCrypt. Obsahuje tiež utility veritysetup a integritysetup na nastavenie kontroly integrity dát na základe modulov dm-verity a dm-integrity.
Kľúčové vylepšenia:
- Pridaná podpora inline režimu, ktorý umožňuje používať rozšírené sektory s dodatočnou oblasťou na ukladanie metadát. Takéto sektory podporujú niektoré NVMe úložiská, ktoré umožňujú umiestniť do sektora okrem oblasti s dátami aj blok metadát (napríklad 4096 bajtov pre dáta + 64 bajtov pre metadata).
Cryptsetup môže využívať oblasť metadát v sektore na ukladanie prevádzkových informácií, čo odburáva potrebu zapojiť dodatočnú vrstvu na báze dm-integrity, ktorá je zodpovedná za alokáciu miesta pre metadata. To znamená, že je možné obísť vedenie denníka dm-integrity, ktorý je úzkym hrdlom negatívne ovplyvňujúcim výkon. V jadre Linuxu sú možnosti potrebné pre inline režim prítomné od vydania 6.11. Pre aktiváciu inline režimu bola pridaná možnosť "--integrity-inline".
- API Keyslot Context bol dotiahnutý do konečnej podoby pre manipuláciu so slotmi kľúčov. Nové API rozšírilo funkčnosť mnohých existujúcich príkazov, vrátane funkcií, ako je aktivácia tokenov, obnovenie práce s pozastaveným šifrovaným zariadením a vykonávanie opätovného šifrovania.
- Do utilít cryptsetup boli pridané možnosti "--key-description" a "--new-key-description" na priradenie popisu k kľúčom.
- Pridaná možnosť obnovenia pozastavenej operácie opätovného šifrovania, použitím tokena a kľúčov oddielu.
- Do realizácie príkazu "repair" bola pridaná kontrola poškodenia oblastí so slotmi kľúčov LUKS.
- Do príkazu veritysetup bola pridaná možnosť "--error-as-corruption", pri ktorej sa akékoľvek chyby spracovávajú ako poškodenie dát, a tak je možné nastavovať reštartovanie alebo prechod do stavu panic pri chybách, ak sú použité možnosti "--restart-on-corruption" a "--panic-on-corruption".
- Pridaná voliteľná možnosť použitia knižnice Mbed-TLS ako kryptografického backendu (zapína sa pri kompilácii s možnosťou "--with-crypto_backend=mbedtls").
Zdroj: opennet.ru
