Feature. Die Option --iter-time (oder auch -i) hat gar nichts mit der Anzahl der Iterationen für den kryptographischen Prozess zu tun, sondern hierbei handelt es sich um eine Wartezeit nach der Passwort-Eingabe. Während der Wartezeit wird nichts getan, außer zu warten. Es ist eine Maßnahme gegen Wörterbuchattacken. (--iter-time sollte vielleicht treffender --idle-time heißen.)
Hm... Hast du dafür eine Quelle? Es widerspricht zumindest dem, wie ich die Sache verstehe:
Unter 2.1 und dort 4.
Arch Wiki
Hier unter "Stretching - PBKDF2 kostet Zeit und Rechenpower"
Aus der Manpage zu cryptsetup:
Passphrase processing: Whenever a passphrase is added to a LUKS header (luksAddKey, luksFormat), the user may specify how much the time the passphrase processing
should consume. The time is used to determine the iteration count for PBKDF2 and higher times will offer better protection for low-entropy passphrases, but open will
take longer to complete. For passphrases that have entropy higher than the used key length, higher iteration times will not increase security.
The default setting of one or two seconds is sufficient for most practical cases. The only exception is a low-entropy passphrase used on a device with a slow CPU, as
this will result in a low iteration count. On a slow device, it may be advisable to increase the iteration time using the --iter-time option in order to obtain a
higher iteration count. This does slow down all later luksOpen operations accordingly.
cryptsetup --help liefert unter anderem:
Default compiled-in metadata format is LUKS2 (for luksFormat action).
Default compiled-in key and passphrase parameters:
Maximum keyfile size: 8192kB, Maximum interactive passphrase length 512 (characters)
Default PBKDF for LUKS1: pbkdf2, iteration time: 2000 (ms)
Default PBKDF for LUKS2: argon2i
Iteration time: 2000, Memory required: 1048576kB, Parallel threads: 4Welche Anzahl wünschst Du Dir denn und warum willst Du nicht die Standardeinstellungen von LUKS verwenden?
Ich dachte an eine Zahl > 1 Mio. Im Header steht aber etwas von < 100k. Beim Benchmark sieht es ähnlich aus wie hier unter "Stretching - PBKDF2 kostet Zeit und Rechenpower", lediglich die Werte sind etwas niedriger, weil langsamere CPU.
Der Grund ist, dass es heißt, bei langsameren CPUs könnte man den Wert etwas erhöhen. Immerhin ist der Laptop ca. 10 Jahre alt. Siehe oben in den Links und der Manpage, aber auch z.B. hier unter 5.13.
Dabei ist mir halt aufgefallen, dass die Anzahl der Iterationen sich nicht nennenswert verändert, aber genau das will man ja erreichen.
Das steht in der Manpage unter "Notes on Password Processing for Luks": "The default setting of one second is sufficient for good security."
Bei mir steht das etwas anderes (siehe oben). Afaik wurde die Zeit irgendwann einmal auf 2 Sekunden angehoben. Hast du vielleicht eine ältere Version?
Das widerspricht den Forenregeln!
Ok, Entschuldigung!
Diese Beobachtung bedeutet: Entweder benutzt Du Hardware für die Kryptographie oder Du vergleichst die beiden Algorithmen unter unfairen Bedingungen, weil die Parameter nicht identisch eingestellt sind.
Es ist ein Lenovo Thinkpad, zumindest nie gekauft in Hinblick auf Krypto-Hardware. Der Benchmark wird von cryptsetup ja mitgeliefert und ist daher hoffentlich fair. Da auf dem Laptop gerade kein OS installiert ist, konnte ich den Benchmark nur von einem Live-USB-Stick-System aus testen.
