Utgivning av Cryptsetup 2.7 med stöd för hårdvarukryptering av diskar OPAL

Cryptsetup 2.7 har publicerats, ett verktyg som syftar till att konfigurera kryptering av diskar i Linux med modulen dm-crypt. Stöd ges för arbete med dm-crypt-partitioner, LUKS, LUKS2, BITLK, loop-AES och TrueCrypt/VeraCrypt. Verktygen veritysetup och integritysetup ingår också för att ställa in integritetskontroll baserat på modulerna dm-verity och dm-integrity.

Nyckelförbättringar:

• Det har införts möjlighet att använda hårdvarukrypteringsmekanismen OPAL, som stöds på självskrypterande (SED — Self-Encrypting Drives) SATA- och NVMe-enheter med OPAL2 TCG-gränssnitt, där hårdvarukrypteringsenheten är inbyggd direkt i kontrolleren. Å ena sidan är OPAL-kryptering kopplad till proprietär hårdvara och är inte tillgänglig för offentlig revision, men å andra sidan kan den användas som ett extra skyddsnivå över programvarukryptering, utan att påverka prestandan eller belasta CPU:n.

  För att använda OPAL i LUKS2 krävs en Linux-kärnversion med alternativet CONFIG_BLK_SED_OPAL och aktivering i Cryptsetup (stöd för OPAL är avstängt som standard). Konfiguration av LUKS2 OPAL sker på samma sätt som vid programvarukryptering — metadata sparas i LUKS2-huvudet. Nyckeln delas upp i en partitionsnyckel för programvarukryptering (dm-crypt) och en upplåsningsnyckel för OPAL. OPAL kan användas både med programvarukryptering (cryptsetup luksFormat —hw-opal ) och separat (cryptsetup luksFormat —hw-opal-only ). Aktivering och avaktivering av OPAL görs på samma sätt (open, close, luksSuspend, luksResume) som för LUKS2-enheter.
• I plain-läget, där masternyckeln och huvudet inte lagras på disken, används som standard chiffret aes-xts-plain64 och hash-algoritmen sha256 (istället för CBC-läget, som har prestandaproblem, används XTS, och istället för den föråldrade hash-funktionen ripemd160 används sha256).
• I kommandona open och luksResume tillåts lagring av partitionsnyckeln i det av användaren valda nyckellagret i kärnan (keyring). För att få åtkomst till keyring har många kommandon i cryptsetup fått alternativet «—volume-key-keyring» (till exempel 'cryptsetup open —link-vk-to-keyring "@s::%user:testkey" tst').
• På system utan växlingspartition används nu bara hälften av det lediga minnet vid formatering eller skapande av nyckelplatser för PBKDF Argon2, vilket löste problemet med uttömning av tillgängligt minne på system med liten mängd RAM.
• En ny möjlighet "--external-tokens-path" har lagts till för att ange katalogen för externa LUKS2-tokenhanterare (plugins).
• Stödet för hash-algoritmen Blake2 har lagts till i tcrypt för VeraCrypt.
• Stödet för blockchifferet Aria har lagts till.
• Stödet för Argon2 har lagts till i implementeringarna av OpenSSL 3.2 och libgcrypt, vilket gör att det går att använda utan libargon.

Källa: opennet.ru