dm-crypt - dm-crypt

dm-crypt is een transparant subsysteem voor schijfcodering in Linux-kernelversies 2.6 en hoger en in DragonFly BSD . Het maakt deel uit van de device mapper (dm)-infrastructuur en maakt gebruik van cryptografische routines van de Crypto API van de kernel . In tegenstelling tot zijn voorganger cryptoloop , is dm-crypt ontworpen om geavanceerde werkingsmodi te ondersteunen, zoals XTS , LRW en ESSIV (zie schijfversleutelingstheorie voor meer informatie), om watermerkaanvallen te voorkomen . Daarnaast lost dm-crypt enkele betrouwbaarheidsproblemen van cryptoloop op.

dm-crypt is geïmplementeerd als een device mapper-doel en kan bovenop andere device mapper-transformaties worden gestapeld. Het kan dus hele schijven (inclusief verwisselbare media ), partities , software RAID- volumes, logische volumes en bestanden coderen . Het verschijnt als een blokapparaat, dat kan worden gebruikt om bestandssystemen te back- uppen , om te wisselen of als een fysiek LVM- volume .

Sommige Linux-distributies ondersteunen het gebruik van dm-crypt op het rootbestandssysteem. Deze distributies gebruiken initrd om de gebruiker te vragen een wachtwoordzin in te voeren op de console, of een smartcard te plaatsen voorafgaand aan het normale opstartproces.

Frontends

Het dm-crypt device mapper-doel bevindt zich volledig in de kernelruimte en houdt zich alleen bezig met de versleuteling van het block device  - het interpreteert zelf geen gegevens. Zij beroept zich op de gebruikersruimte front-ends te maken en versleutelde volumes activeren en beheren authenticatie. Er zijn momenteel ten minste twee frontends beschikbaar: cryptsetupen cryptmount.

cryptsetup

De cryptsetupopdrachtregelinterface schrijft standaard geen headers naar het versleutelde volume en biedt daarom alleen de essentiële zaken: elke keer dat de schijf wordt aangekoppeld, moeten versleutelingsinstellingen worden opgegeven (hoewel meestal gebruikt met geautomatiseerde scripts), en alleen per volume kan één toets worden gebruikt; de symmetrische encryptiesleutel is direct afgeleid van de meegeleverde wachtwoordzin .

Omdat het een " salt " mist , is het gebruik van cryptsetup in deze modus minder veilig dan het geval is met Linux Unified Key Setup (LUKS). De eenvoud van cryptsetup maakt het echter handig in combinatie met software van derden, bijvoorbeeld met smartcard- authenticatie.

cryptsetupbiedt ook commando's om met het LUKS on-disk formaat om te gaan. Deze indeling biedt extra functies, zoals sleutelbeheer en sleuteluitbreiding (met PBKDF2 ), en onthoudt de versleutelde volumeconfiguratie tijdens het opnieuw opstarten.

cryptmount

De cryptmountinterface is een alternatief voor de "cryptsetup" tool die het mogelijk maakt elke gebruiker mounten en unmounten een dm-crypt file systeem als dat nodig is, zonder dat het nodig superuser privileges nadat het apparaat is geconfigureerd door een superuser.

Functies

Het feit dat schijfversleuteling (volumeversleuteling) software zoals dm-crypt zich alleen bezighoudt met transparante versleuteling van abstracte blokapparaten geeft het veel flexibiliteit. Dit betekent dat het kan worden gebruikt voor het versleutelen van bestandssystemen met schijfondersteuning die door het besturingssysteem worden ondersteund , evenals voor het verwisselen van ruimte ; schrijfbarrières geïmplementeerd door bestandssystemen blijven behouden. Versleutelde volumes kunnen worden opgeslagen op schijfpartities , logische volumes , hele schijven en schijfkopieën met bestandsback- up (door het gebruik van loop-apparaten met het hulpprogramma Lostup). dm-crypt kan ook worden geconfigureerd om RAID- volumes en fysieke LVM- volumes te versleutelen .

dm-crypt kan ook worden geconfigureerd om pre-boot- authenticatie te bieden via een initrd , waardoor alle gegevens op een computer worden versleuteld - behalve de bootloader, de kernel en de initrd-image zelf.

Bij gebruik van de cipher block chaining- modus met voorspelbare initialisatievectoren als andere schijfversleutelingssoftware, is de schijf kwetsbaar voor watermerkaanvallen . Dit betekent dat een aanvaller de aanwezigheid van speciaal vervaardigde gegevens op de schijf kan detecteren. Om dit probleem in zijn voorgangers aan te pakken, bevatte dm-crypt voorzieningen voor meer uitgebreide, schijfversleuteling-specifieke werkingsmodi. Ondersteuning voor ESSIV (encrypted salt-sector initialization vector) werd geïntroduceerd in Linux-kernelversie 2.6.10, LRW in 2.6.20 en XTS in 2.6.24.

De Linux Crypto API biedt ondersteuning voor de meest populaire blokcijfers en hashfuncties , die allemaal bruikbaar zijn met dm-crypt.

Gecrypteerde FS-ondersteuning omvat LUKS-volumes, loop-AES en sinds Linux-kernel 3.13, het TrueCrypt- doel genaamd "tcw".

Compatibiliteit

dm-crypt en LUKS-gecodeerde schijven kunnen worden geopend en gebruikt onder MS Windows met behulp van de nu ter ziele gegane FreeOTFE (voorheen DoxBox, LibreCrypt), op voorwaarde dat het gebruikte bestandssysteem wordt ondersteund door Windows (bijv. FAT /FAT32/ NTFS ). Versleutelde ext2- en ext3- bestandssystemen worden ondersteund door gebruik te maken van Ext2Fsd of het zogenaamde "Ext2 ​​Installable File System for Windows"; FreeOTFE ondersteunt ze ook.

Cryptsetup/LUKS en de benodigde infrastructuur zijn ook geïmplementeerd op het DragonFly BSD-besturingssysteem.

Zie ook

• Vergelijking van schijfversleutelingssoftware

Referenties

Externe links

• Officiële dm-crypt , cryptsetup-luks en cryptmount websites
• Alles over dm-crypt en LUKS op één pagina (op archive.org)  – een pagina over dm-crypt/LUKS, beginnend met theorie en eindigend met veel praktische voorbeelden over het gebruik ervan.