Objavljen je skup alata Cryptsetup 2.7, namenjenih za podešavanje šifriranja diskovnih particija u Linuxu pomoću modula dm-crypt. Podržava rad sa particijama dm-crypt, LUKS, LUKS2, BITLK, loop-AES i TrueCrypt/VeraCrypt. U paket su uključeni i alati veritysetup i integritysetup za podešavanje sredstava kontrole integriteta podataka na osnovu modula dm-verity i dm-integrity.
Ključna poboljšanja:
- Implementirana je mogućnost korišćenja hardverskog mehanizma šifriranja diskova OPAL, koji se podržava na samošifrujućim (SED — Self-Encrypting Drives) uređajima SATA i NVMe sa interfejsom OPAL2 TCG, gde je uređaj hardverskog šifriranja ugrađen direktno u kontroler. S jedne strane, šifriranje OPAL je vezano za vlasničku opremu i nije dostupno za javnu reviziju, ali, s druge strane, može se koristiti kao dodatni nivo zaštite uz softversko šifriranje, ne dovodeći do smanjenja performansi i ne opterećujući CPU.
Za korišćenje OPAL u LUKS2 potrebna je verzija Linux jezgra sa opcijom CONFIG_BLK_SED_OPAL i omogućavanje u Cryptsetup-u (podrazumevano je podrška za OPAL isključena). Podešavanje LUKS2 OPAL vrši se na sličan način kao i kod softverskog šifriranja — metapodaci se čuvaju u zaglavlju LUKS2. Ključ se deli na ključ particije za softversko šifriranje (dm-crypt) i ključ za otključavanje za OPAL. OPAL se može koristiti i zajedno sa softverskim šifriranjem (cryptsetup luksFormat —hw-opal ), kao i odvojeno (cryptsetup luksFormat —hw-opal-only ). Aktiviranje i deaktiviranje OPAL vrši se na isti način (open, close, luksSuspend, luksResume) kao i za uređaje LUKS2.
- U plain režimu, gde se master ključ i zaglavlje ne čuvaju na disku, podrazumevano je aktiviran šifrar aes-xts-plain64 i algoritam heširanja sha256 (umesto CBC režima, koji ima problema sa performansama, aktiviran je XTS, a umesto zastarelog heša ripemd160 — sha256).
- U komandama open i luksResume dozvoljeno je čuvanje ključa particije u odabranom korisnikovom skladištu ključeva u jezgru (keyring). Za pristup keyringu u mnoge komande cryptsetup dodata je opcija „—volume-key-keyring“ (na primer ‘cryptsetup open —link-vk-to-keyring „@s::%user:testkey“ tst’).
- Na sistemih brez delitve za zagon se pri formatiranju ali ustvarjanju slotov ključev za PBKDF Argon2 sedaj uporablja le polovica prostega pomnilnika, kar je rešilo težavo z izčrpanjem razpoložljivega pomnilnika na sistemih z majhno količino RAM-a.
- Dodana je možnost «—external-tokens-path» za navedbo imenika za zunanje obdelovalce žetonov LUKS2 (pluginov).
- Tcrypt je dodal podporo za hash algoritem Blake2 za VeraCrypt.
- Dodana je podpora za blokovni šifrant Aria.
- Dodana je podpora za Argon2 v implementacijah OpenSSL 3.2 in libgcrypt, kar omogoča, da se izognemo uporabi libargon.
Izvor: opennet.ru
