U publikua një set mjeteësh Cryptsetup 2.7, të dedikuara për konfigurimin e enkriptimit të ndarjeve të diskëve në Linux duke përdorur modulin dm-crypt. Mbështetet punë me ndarjet dm-crypt, LUKS, LUKS2, BITLK, loop-AES dhe TrueCrypt/VeraCrypt. Kjo gjithashtu përfshin mjetet veritysetup dhe integritysetup për konfigurimin e mjeteve të kontrollit të integritetit të të dhënave të bazuara në modulet dm-verity dhe dm-integrity.
Përmirësime kyçe:
- Është realizuar mundësia e përdorimit të mekanizmit të enkriptimit të diskëve OPAL, i mbështetur në diskët e vetë-enkriptuar (SED — Self-Encrypting Drives) SATA dhe NVMe me ndërfaqen OPAL2 TCG, në të cilët pajisja e enkriptimit të harduerit është e integruar direkt në kontrollues. Nga njëra anë, enkriptimi OPAL është i lidhur me harduerin pronësor dhe nuk është në dispozicion për auditim publik, por, nga ana tjetër, mund të përdoret si një nivel shtesë mbrojtjeje mbi enkriptimin programor, pa e ulur performancën dhe pa krijuar ngarkesë në CPU.
Për të përdorur OPAL në LUKS2 kërkohet ndërtimi i bërthamës Linux me opsionin CONFIG_BLK_SED_OPAL dhe aktivizimi në Cryptsetup (mbështetje për OPAL është e çaktivizuar në përputhje me parazgjedhjen). Konfigurimi i LUKS2 OPAL bëhet në përputhje me enkriptimin programor — metadatadat ruhen në titullin e LUKS2. Çelësi ndahet në çelësin e ndarjes për enkriptimin programor (dm-crypt) dhe çelësin e çeljes për OPAL. OPAL mund të përdoret si së bashku me enkriptimin programor (cryptsetup luksFormat —hw-opal ), ashtu edhe veçmas (cryptsetup luksFormat —hw-opal-only ). Aktivizimi dhe dezaktivimi i OPAL bëhet në të njëjtën mënyrë (open, close, luksSuspend, luksResume) si për pajisjet LUKS2.
- Në regjimin plain, ku çelësi master dhe titulli nuk ruhen në disk, përzgjedhja standarde është algoritmi aes-xts-plain64 dhe algoritmi i hash-it sha256 (në vend të modit CBC, i cili ka probleme me performancën, është përdorur XTS, dhe në vend të hash-it të vjetëruar ripemd160 — sha256).
- Në komandat open dhe luksResume është lejuar ruajtja e çelësit të ndarjes në magazinimin e çelësit të zgjedhur nga përdoruesi në bërthamë (keyring). Për të qasur keyring, shumë komanda cryptsetup janë shtuar me opsionin ‘—volume-key-keyring’ (për shembull ‘cryptsetup open —link-vk-to-keyring «@s::%user:testkey» tst’).
- Në sistemet pa një pjesë të ndihmës, gjatë formatimit ose krijimit të një sloti çelësi për PBKDF Argon2, tani përdoret vetëm gjysma e memories së lirë, që zgjidhi problem mbarimit të memories së disponueshme në sistemet me një sasi të vogël RAM.
- Shtuar opsioni «—external-tokens-path» për të specifikuar një katalog për trajtuesit e jashtëm të tokeneve LUKS2 (plugina).
- Në tcrypt është shtuar mbështetje për algoritmin e hashimit Blake2 për VeraCrypt.
- Shtuar mbështetje për algoritmin e enkriptimit Aria.
- Shtuar mbështetje për Argon2 në implementimet OpenSSL 3.2 dhe libgcrypt, duke lejuar evitimin e përdorimit të libargon.
Burimi: opennet.ru
