tests/reencryption-compat-test2

   1 #!/bin/bash
   2
   3 [ -z "$CRYPTSETUP_PATH" ] && CRYPTSETUP_PATH=".."
   4 CRYPTSETUP=$CRYPTSETUP_PATH/cryptsetup
   5 REENC=$CRYPTSETUP_PATH/cryptsetup-reencrypt
   6 FAST_PBKDF_ARGON="--pbkdf-force-iterations 4 --pbkdf-memory 32 --pbkdf-parallel 1"
   7 FAST_PBKDF_PBKDF2="--pbkdf-force-iterations 1000 --pbkdf pbkdf2"
   8 DEFAULT_ARGON="argon2i"
   9
  10 DEV_NAME=reenc9768
  11 DEV_NAME2=reenc1273
  12 IMG=reenc-data
  13 IMG_HDR=$IMG.hdr
  14 ORIG_IMG=reenc-data-orig
  15 KEY1=key1
  16 PWD1="93R4P4pIqAH8"
  17 PWD2="1cND4319812f"
  18 PWD3="1-9Qu5Ejfnqv"
  19
  20 MNT_DIR=./mnt_luks
  21 START_DIR=$(pwd)
  22 [ -f /etc/system-fips ] && FIPS_MODE=$(cat /proc/sys/crypto/fips_enabled 2>/dev/null)
  23
  24 function fips_mode()
  25 {
  26         [ -n "$FIPS_MODE" ] && [ "$FIPS_MODE" -gt 0 ]
  27 }
  28
  29 function dm_crypt_features()
  30 {
  31         local VER_STR=$(dmsetup targets | grep crypt | cut -f2 -dv)
  32         [ -z "$VER_STR" ] && fail "Failed to parse dm-crypt version."
  33
  34         local VER_MAJ=$(echo $VER_STR | cut -f 1 -d.)
  35         local VER_MIN=$(echo $VER_STR | cut -f 2 -d.)
  36
  37         [ $VER_MAJ -lt 1 ] && return
  38         [ $VER_MAJ -eq 1 -a $VER_MIN -lt 11 ] && return
  39         ALLOW_DISCARDS=--allow-discards
  40         [ $VER_MAJ -eq 1 -a $VER_MIN -lt 14 ] && return
  41         PERF_CPU=--perf-same_cpu_crypt
  42 }
  43
  44 function del_scsi_device()
  45 {
  46         rmmod scsi_debug 2>/dev/null
  47         sleep 2
  48 }
  49
  50 function remove_mapping()
  51 {
  52         [ -b /dev/mapper/$DEV_NAME2 ] && dmsetup remove --retry $DEV_NAME2
  53         [ -b /dev/mapper/$DEV_NAME ] && dmsetup remove --retry $DEV_NAME
  54         rm -f $IMG $IMG_HDR $ORIG_IMG $KEY1 >/dev/null 2>&1
  55         umount $MNT_DIR > /dev/null 2>&1
  56         rmdir $MNT_DIR > /dev/null 2>&1
  57         del_scsi_device
  58 }
  59
  60 function fail()
  61 {
  62         [ -n "$1" ] && echo "$1"
  63         echo "FAILED backtrace:"
  64         while caller $frame; do ((frame++)); done
  65         cd $START_DIR
  66         remove_mapping
  67         exit 2
  68 }
  69
  70 function skip()
  71 {
  72         [ -n "$1" ] && echo "$1"
  73         exit 77
  74 }
  75
  76 function add_scsi_device() {
  77         del_scsi_device
  78         modprobe scsi_debug $@ delay=0
  79         if [ $? -ne 0 ] ; then
  80                 echo "This kernel seems to not support proper scsi_debug module, test skipped."
  81                 exit 77
  82         fi
  83
  84         sleep 2
  85         SCSI_DEV="/dev/"$(grep -l -e scsi_debug /sys/block/*/device/model | cut -f4 -d /)
  86         [ -b $SCSI_DEV ] || fail "Cannot find $SCSI_DEV."
  87 }
  88
  89 function open_crypt() # $1 pwd, $2 hdr
  90 {
  91         if [ -n "$2" ] ; then
  92                 echo "$1" | $CRYPTSETUP luksOpen $IMG $DEV_NAME --header $2 || fail
  93         elif [ -n "$1" ] ; then
  94                 echo "$1" | $CRYPTSETUP luksOpen $IMG $DEV_NAME || fail
  95         else
  96                 $CRYPTSETUP luksOpen -d $KEY1 $IMG $DEV_NAME || fail
  97         fi
  98 }
  99
 100 function wipe_dev() # $1 dev
 101 {
 102         dd if=/dev/zero of=$1 bs=256k conv=notrunc >/dev/null 2>&1
 103 }
 104
 105 function wipe() # $1 pass
 106 {
 107         open_crypt $1
 108         wipe_dev /dev/mapper/$DEV_NAME
 109         udevadm settle >/dev/null 2>&1
 110         $CRYPTSETUP luksClose $DEV_NAME || fail
 111 }
 112
 113 function prepare() # $1 dev1_siz
 114 {
 115         remove_mapping
 116
 117         dd if=/dev/zero of=$IMG      bs=1k count=$1 >/dev/null 2>&1
 118
 119         if [ ! -e $KEY1 ]; then
 120                 dd if=/dev/urandom of=$KEY1 count=1 bs=32 >/dev/null 2>&1
 121         fi
 122 }
 123
 124 function check_hash_dev() # $1 dev, $2 hash, $3 size
 125 {
 126         if [ -n "$3" ]; then
 127                 HASH=$(head -c $3 $1 | sha256sum | cut -d' ' -f 1)
 128         else
 129                 HASH=$(sha256sum $1 | cut -d' ' -f 1)
 130         fi
 131         [ $HASH != "$2" ] && fail "HASH differs ($HASH)"
 132 }
 133
 134 function check_hash() # $1 pwd, $2 hash, $3 hdr
 135 {
 136         open_crypt $1 $3
 137         check_hash_dev /dev/mapper/$DEV_NAME $2
 138         $CRYPTSETUP remove $DEV_NAME || fail
 139 }
 140
 141 function backup_orig()
 142 {
 143         sync
 144         cp $IMG $ORIG_IMG
 145 }
 146
 147 function rollback()
 148 {
 149         sync
 150         cp $ORIG_IMG $IMG
 151 }
 152
 153 function check_slot() #space separated list of active key slots
 154 {
 155         local _out=$($CRYPTSETUP luksDump $IMG | grep -e ": luks2" | sed -e 's/[[:space:]]*\([0-9]\+\):.*/\1/g')
 156
 157         local _req
 158         local _hdr
 159         local _j
 160
 161         for _i in $*; do
 162                 _j=$((_i))
 163                 _req="$_req $_j"
 164         done
 165
 166         for _i in $_out; do
 167                 _j=$((_i))
 168                 _hdr="$_hdr $_j"
 169         done
 170
 171         test "$_req" = "$_hdr"
 172 }
 173
 174 function simple_scsi_reenc()
 175 {
 176         echo -n "$1"
 177         echo $PWD1 | $CRYPTSETUP luksFormat --type luks2 $FAST_PBKDF_ARGON $SCSI_DEV || fail
 178
 179         echo $PWD1 | $CRYPTSETUP luksOpen $SCSI_DEV $DEV_NAME || fail
 180         HASH=$(sha256sum /dev/mapper/$DEV_NAME | cut -d' ' -f 1)
 181         $CRYPTSETUP luksClose $DEV_NAME || fail
 182
 183         echo $PWD1 | $REENC -q $FAST_PBKDF_ARGON $SCSI_DEV || fail
 184
 185         echo $PWD1 | $CRYPTSETUP luksOpen $SCSI_DEV $DEV_NAME || fail
 186         check_hash_dev /dev/mapper/$DEV_NAME $HASH
 187         $CRYPTSETUP luksClose $DEV_NAME || fail
 188 }
 189
 190 function mount_and_test() {
 191         test -d $MNT_DIR || mkdir -p $MNT_DIR
 192         mount $@ $MNT_DIR 2>/dev/null || {
 193                 echo -n "failed to mount [SKIP]"
 194                 return 0
 195         }
 196         rm $MNT_DIR/* 2>/dev/null
 197         cd $MNT_DIR
 198
 199         if [ "${REENC:0:1}" != "/" ] ; then
 200                 MNT_REENC=$START_DIR/$REENC
 201         else
 202                 MNT_REENC=$REENC
 203         fi
 204         echo $PWD2 | $MNT_REENC $START_DIR/$IMG -q --use-fsync --use-directio --write-log $FAST_PBKDF_ARGON || return 1
 205         cd $START_DIR
 206         umount $MNT_DIR
 207         echo -n [OK]
 208 }
 209
 210 function test_logging_tmpfs() {
 211         echo -n "[tmpfs]"
 212         mount_and_test -t tmpfs none -o size=$[25*1024*1024] || return 1
 213         echo
 214 }
 215
 216 function test_logging() {
 217         echo -n "$1:"
 218         for img in $(ls img_fs*img.xz) ; do
 219                 wipefs -a $SCSI_DEV > /dev/null
 220                 echo -n "[${img%.img.xz}]"
 221                 xz -d -c $img | dd of=$SCSI_DEV bs=4k >/dev/null 2>&1
 222                 mount_and_test $SCSI_DEV || return 1
 223         done
 224         echo
 225 }
 226
 227 [ $(id -u) != 0 ] && skip "WARNING: You must be root to run this test, test skipped."
 228 [ ! -x "$REENC" ] && skip "Cannot find $REENC, test skipped."
 229 which wipefs >/dev/null ||  skip "Cannot find wipefs, test skipped."
 230 fips_mode && skip "This test cannot be run in FIPS mode."
 231
 232 # REENCRYPTION tests
 233
 234 HASH1=b69dae56a14d1a8314ed40664c4033ea0a550eea2673e04df42a66ac6b9faf2c
 235 HASH4=2daeb1f36095b44b318410b3f4e8b5d989dcc7bb023d1426c492dab0a3053e74
 236 HASH5=bb9f8df61474d25e71fa00722318cd387396ca1736605e1248821cc0de3d3af8
 237 HASH6=4d9cbaf3aa0935a8c113f139691b3daf9c94c8d6c278aedc8eec66a4b9f6c8ae
 238 HASH7=5f70bf18a086007016e948b04aed3b82103a36bea41755b6cddfaf10ace3c6ef
 239
 240 echo "[1] Reencryption"
 241 prepare 8192
 242 echo $PWD1 | $CRYPTSETUP -q luksFormat --type luks2 -s 128 -c aes-cbc-plain $FAST_PBKDF_ARGON --offset 8192 $IMG || fail
 243 wipe $PWD1
 244 check_hash $PWD1 $HASH5
 245 echo $PWD1 | $REENC $IMG -q $FAST_PBKDF_ARGON
 246 check_hash $PWD1 $HASH5
 247 echo $PWD1 | $REENC $IMG -q -s 256 $FAST_PBKDF_ARGON
 248 check_hash $PWD1 $HASH5
 249 echo $PWD1 | $REENC $IMG -q -s 256 -c aes-xts-plain64 -h sha256 $FAST_PBKDF_ARGON
 250 check_hash $PWD1 $HASH5
 251 echo $PWD1 | $REENC $IMG -q --use-directio $FAST_PBKDF_ARGON
 252 check_hash $PWD1 $HASH5
 253 echo $PWD1 | $REENC $IMG -q --master-key-file /dev/urandom $FAST_PBKDF_ARGON
 254 check_hash $PWD1 $HASH5
 255 echo $PWD1 | $REENC $IMG -q -s 512 --master-key-file /dev/urandom $FAST_PBKDF_ARGON
 256 check_hash $PWD1 $HASH5
 257 $CRYPTSETUP luksDump $IMG | grep -q "luks2" > /dev/null || fail
 258 echo $PWD1 | $CRYPTSETUP -q luksFormat --type luks2 -s 128 --luks2-metadata-size 128k -c aes-cbc-plain $FAST_PBKDF_ARGON --offset 8192 $IMG > /dev/null || fail
 259 wipe $PWD1
 260 check_hash $PWD1 $HASH5
 261 echo $PWD1 | $REENC $IMG -q $FAST_PBKDF_ARGON > /dev/null || fail
 262 check_hash $PWD1 $HASH5
 263 MDA_SIZE=$($CRYPTSETUP luksDump $IMG | grep "Metadata area: " | cut -f 3 -d ' ')
 264 test "$MDA_SIZE" -eq 131072 || fail "Unexpected Metadata area size $MDA_SIZE"
 265
 266 echo "[2] Reencryption with data shift"
 267 echo $PWD1 | $CRYPTSETUP -q luksFormat --type luks2 -c aes-cbc-essiv:sha256 -s 128 $FAST_PBKDF_ARGON --offset 8192 $IMG || fail
 268 wipe $PWD1
 269 echo $PWD1 | $REENC $IMG -q -s 256 --reduce-device-size 1024S $FAST_PBKDF_ARGON || fail
 270 check_hash $PWD1 $HASH6
 271 echo $PWD1 | $REENC $IMG -q $FAST_PBKDF_ARGON || fail
 272 check_hash $PWD1 $HASH6
 273 $CRYPTSETUP luksDump $IMG | grep -q "luks2" > /dev/null || fail
 274
 275 echo "[3] Reencryption with keyfile"
 276 echo $PWD1 | $CRYPTSETUP -q luksFormat --type luks2 -d $KEY1 -c aes-cbc-essiv:sha256 -s 128 $FAST_PBKDF_ARGON --offset 8192 $IMG || fail
 277 wipe
 278 check_hash "" $HASH5
 279 echo $PWD1 | $CRYPTSETUP -q luksAddKey -d $KEY1 $IMG $FAST_PBKDF_ARGON || fail
 280 $REENC $IMG -d $KEY1 $FAST_PBKDF_ARGON -q 2>/dev/null && fail
 281 $REENC $IMG -d $KEY1 -S 0 $FAST_PBKDF_ARGON -q || fail
 282 check_hash "" $HASH5
 283 check_slot 0 || fail "Only keyslot 0 expected to be enabled"
 284 $REENC $IMG -d $KEY1 $FAST_PBKDF_ARGON -q || fail
 285 $CRYPTSETUP luksDump $IMG | grep -q "luks2" > /dev/null || fail
 286 # FIXME echo $PWD1 | $REENC ...
 287
 288 echo "[4] Encryption of not yet encrypted device"
 289 # well, movin' zeroes :-)
 290 OFFSET=8192 # default LUKS2 header size
 291 prepare 8192
 292 check_hash_dev $IMG $HASH4
 293 echo $PWD1 | $REENC --type luks2 $IMG -c aes-cbc-essiv:sha256 -s 128 --new --reduce-device-size "$OFFSET"S -q $FAST_PBKDF_ARGON || fail
 294 check_hash $PWD1 $HASH5
 295 $CRYPTSETUP luksDump $IMG | grep -q "luks2" > /dev/null || fail
 296 # 64MiB + 1 KiB
 297 prepare 65537
 298 OFFSET=131072
 299 check_hash_dev $IMG $HASH7 1024
 300 echo $PWD1 | $REENC --type luks2 $IMG -c aes-cbc-essiv:sha256 -s 128 --new --reduce-device-size "$OFFSET"S -q $FAST_PBKDF_ARGON || fail
 301 check_hash $PWD1 $HASH7
 302 $CRYPTSETUP --type luks2 luksDump $IMG > /dev/null || fail
 303 prepare 8192
 304
 305 echo "[5] Reencryption using specific keyslot"
 306 echo $PWD2 | $CRYPTSETUP -q luksFormat --type luks2 $FAST_PBKDF_ARGON $IMG --offset 8192 || fail
 307 echo -e "$PWD2\n$PWD1" | $CRYPTSETUP -q luksAddKey $FAST_PBKDF_ARGON -S 1 $IMG || fail
 308 echo -e "$PWD2\n$PWD2" | $CRYPTSETUP -q luksAddKey $FAST_PBKDF_ARGON -S 2 $IMG || fail
 309 echo -e "$PWD2\n$PWD1" | $CRYPTSETUP -q luksAddKey $FAST_PBKDF_ARGON -S 3 $IMG || fail
 310 echo -e "$PWD2\n$PWD2" | $CRYPTSETUP -q luksAddKey $FAST_PBKDF_ARGON -S 4 $IMG || fail
 311 echo -e "$PWD2\n$PWD1" | $CRYPTSETUP -q luksAddKey $FAST_PBKDF_ARGON -S 5 $IMG || fail
 312 echo -e "$PWD2\n$PWD2" | $CRYPTSETUP -q luksAddKey $FAST_PBKDF_ARGON -S 6 $IMG || fail
 313 echo -e "$PWD2\n$PWD3" | $CRYPTSETUP -q luksAddKey $FAST_PBKDF_ARGON -S 22 $IMG || fail
 314 backup_orig
 315 echo $PWD2 | $REENC $FAST_PBKDF_ARGON -S 0 -q $IMG || fail
 316 check_slot 0 || fail "Only keyslot 0 expected to be enabled"
 317 wipe $PWD2
 318 rollback
 319 echo $PWD1 | $REENC $FAST_PBKDF_ARGON -S 1 -q $IMG || fail
 320 check_slot 1 || fail "Only keyslot 1 expected to be enabled"
 321 wipe $PWD1
 322 rollback
 323 echo $PWD2 | $REENC $FAST_PBKDF_ARGON -S 6 -q $IMG || fail
 324 check_slot 6 || fail "Only keyslot 6 expected to be enabled"
 325 wipe $PWD2
 326 rollback
 327 echo $PWD3 | $REENC $FAST_PBKDF_ARGON -S 22 -q $IMG || fail
 328 check_slot 22 || fail "Only keyslot 22 expected to be enabled"
 329 wipe $PWD3
 330 rollback
 331
 332 echo "[6] Reencryption using all active keyslots"
 333 echo -e "$PWD2\n$PWD1\n$PWD2\n$PWD1\n$PWD2\n$PWD1\n$PWD2\n$PWD3" | $REENC -q $IMG $FAST_PBKDF_ARGON || fail
 334 check_slot 0 1 2 3 4 5 6 22 || fail "All keyslots expected to be enabled"
 335
 336 echo "[7] Reencryption of block devices with different block size"
 337 add_scsi_device sector_size=512 dev_size_mb=32
 338 simple_scsi_reenc "[512 sector]"
 339 add_scsi_device sector_size=4096 dev_size_mb=32
 340 simple_scsi_reenc "[4096 sector]"
 341 add_scsi_device sector_size=512 physblk_exp=3 dev_size_mb=32
 342 simple_scsi_reenc "[4096/512 sector]"
 343 echo "[OK]"
 344
 345 echo "[8] Header only reencryption (hash and iteration time)"
 346 echo $PWD1 | $CRYPTSETUP -q luksFormat --type luks2 $FAST_PBKDF_ARGON $IMG --offset 8192 || fail
 347 wipe $PWD1
 348 check_hash $PWD1 $HASH5
 349 echo $PWD1 | $REENC $IMG -q --keep-key || fail
 350 check_hash $PWD1 $HASH5
 351 echo $PWD1 | $REENC $IMG -q --keep-key --pbkdf pbkdf2 --pbkdf-force-iterations 999 2>/dev/null && fail
 352 check_hash $PWD1 $HASH5
 353 echo $PWD1 | $REENC $IMG -q --keep-key --pbkdf-force-iterations 3 2>/dev/null && fail
 354 check_hash $PWD1 $HASH5
 355 echo $PWD1 | $REENC $IMG -q --keep-key --pbkdf-force-iterations 4 --pbkdf-memory 31 2>/dev/null && fail
 356 check_hash $PWD1 $HASH5
 357 echo $PWD1 | $REENC $IMG -q --keep-key --pbkdf pbkdf2 --pbkdf-force-iterations 1000 --hash sha512
 358 check_hash $PWD1 $HASH5
 359 [ "$($CRYPTSETUP luksDump $IMG | grep -A8 -m1 "0: luks2" | grep PBKDF: | sed -e 's/[[:space:]]\+PBKDF:\ \+//g')" = "pbkdf2" ] || fail
 360 [ "$($CRYPTSETUP luksDump $IMG | grep -A8 -m1 "0: luks2" | grep Hash:  | sed -e 's/[[:space:]]\+Hash:\ \+//g')" = "sha512" ] || fail
 361 echo $PWD1 | $REENC $IMG -q --keep-key $FAST_PBKDF_ARGON
 362 check_hash $PWD1 $HASH5
 363 [ "$($CRYPTSETUP luksDump $IMG | grep -A8 -m1 "0: luks2" | grep PBKDF:      | sed -e 's/[[:space:]]\+PBKDF:\ \+//g')" = $DEFAULT_ARGON ] || fail
 364 [ "$($CRYPTSETUP luksDump $IMG | grep -A8 -m1 "0: luks2" | grep "Time cost" | sed -e 's/[[:space:]]\+Time\ cost:\ \+//g')" -eq 4 ] || fail
 365 [ "$($CRYPTSETUP luksDump $IMG | grep -A8 -m1 "0: luks2" | grep Memory      | sed -e 's/[[[:space:]]\+Memory:\ \+//g')" -eq 32 ] || fail
 366 [ "$($CRYPTSETUP luksDump $IMG | grep -A8 -m1 "0: luks2" | grep Threads     | sed -e 's/[[[:space:]]\+Threads:\ \+//g')" -eq 1 ] || fail
 367 echo -e "$PWD1\n$PWD2" | $CRYPTSETUP -q luksAddKey -S21 $FAST_PBKDF_ARGON $IMG || fail
 368 echo $PWD2 | $REENC -S21 -q --keep-key --pbkdf pbkdf2 --pbkdf-force-iterations 1000 $IMG || fail
 369 check_hash $PWD2 $HASH5
 370 check_slot 21 || fail "Only keyslot 21 expected to be enabled"
 371 $CRYPTSETUP luksDump $IMG | grep -q "luks2" > /dev/null || fail
 372
 373 echo "[9] Test log I/Os on various underlaying block devices"
 374 echo $PWD2 | $CRYPTSETUP -q luksFormat --type luks2 $FAST_PBKDF_ARGON $IMG --offset 8192 || fail
 375 add_scsi_device sector_size=512 dev_size_mb=32
 376 test_logging "[512 sector]" || fail
 377 add_scsi_device sector_size=4096 dev_size_mb=32
 378 test_logging "[4096 sector]" || fail
 379 add_scsi_device sector_size=512 dev_size_mb=32 physblk_exp=3
 380 test_logging "[4096/512 sector]" || fail
 381 test_logging_tmpfs || fail
 382
 383 echo "[10] Removal of encryption"
 384 echo $PWD1 | $CRYPTSETUP -q luksFormat --type luks2 $FAST_PBKDF_ARGON $IMG --offset 8192 || fail
 385 wipe $PWD1
 386 check_hash $PWD1 $HASH5
 387 echo $PWD1 | $REENC $IMG -q --decrypt || fail
 388 check_hash_dev $IMG $HASH4
 389
 390 echo $PWD1 | $CRYPTSETUP -q luksFormat --type luks2 -S5 $FAST_PBKDF_ARGON $IMG --offset 8192 || fail
 391 wipe $PWD1
 392 check_hash $PWD1 $HASH5
 393 echo $PWD1 | $REENC $IMG -q --decrypt || fail
 394 check_hash_dev $IMG $HASH4
 395
 396 echo "[11] Reencryption with tokens"
 397 echo $PWD1 | $CRYPTSETUP -q luksFormat --type luks2 $FAST_PBKDF_ARGON $IMG --offset 8192 || fail
 398 wipe $PWD1
 399 check_hash $PWD1 $HASH5
 400 echo -e "$PWD1\n$PWD2" | $CRYPTSETUP -q luksAddKey -S23 $FAST_PBKDF_ARGON $IMG || fail
 401 echo -e "$PWD1\n$PWD3" | $CRYPTSETUP -q luksAddKey -S1 $FAST_PBKDF_ARGON $IMG || fail
 402 echo -e "$PWD1\n$PWD3" | $CRYPTSETUP -q luksAddKey -S3 $FAST_PBKDF_ARGON $IMG || fai
 403 $CRYPTSETUP token add --key-description key-name0 --key-slot 23 --token-id 0 $IMG
 404 $CRYPTSETUP token add --key-description key-name2 --key-slot 1 --token-id 2 $IMG
 405 $CRYPTSETUP token add --key-description key-name31 --token-id 31 $IMG
 406 echo $PWD1 | $CRYPTSETUP -q luksKillSlot $IMG 3 || fail
 407 echo $PWD2 | $REENC $FAST_PBKDF_ARGON -S 23 -q $IMG || fail
 408 $CRYPTSETUP luksDump $IMG | grep "0: luks2-keyring" >/dev/null || fail
 409 [ "$($CRYPTSETUP luksDump $IMG | grep -A2 -m1 "0: luks2-keyring" | grep Keyslot: | sed -e 's/[[[:space:]]\+Keyslot:\ \+//g')" -eq 23 ] || fail
 410 $CRYPTSETUP luksDump $IMG | grep "2: luks2-keyring" >/dev/null || fail
 411 $CRYPTSETUP luksDump $IMG | grep "31: luks2-keyring" >/dev/null || fail
 412 [ "$($CRYPTSETUP luksDump $IMG | grep -A2 -m1 "31: luks2-keyring" | grep Keyslot: | sed -e 's/[[[:space:]]\+Keyslot:\ \+//g')" -eq 23 ] || fail
 413
 414 echo "[12] Reencryption with persistent flags"
 415 dm_crypt_features
 416 echo $PWD1 | $CRYPTSETUP -q luksFormat --type luks2 $FAST_PBKDF_ARGON $IMG --offset 8192 || fail
 417 wipe $PWD1
 418 check_hash $PWD1 $HASH5
 419 echo $PWD1 | $CRYPTSETUP open $IMG $DEV_NAME $ALLOW_DISCARDS $PERF_CPU --persistent || fail
 420 $CRYPTSETUP close $DEV_NAME || fail
 421 echo $PWD1 | $REENC $FAST_PBKDF_ARGON -q $IMG || fail
 422 if [ -n "$PERF_CPU" ]; then
 423         $CRYPTSETUP luksDump $IMG | grep -m1 Flags: | grep same-cpu-crypt > /dev/null || fail
 424 fi
 425 if [ -n "$ALLOW_DISCARDS" ]; then
 426         $CRYPTSETUP luksDump $IMG | grep -m1 Flags: | grep allow-discards > /dev/null || fail
 427 fi
 428
 429 echo "[13] Detached header - adding encryption/reencryption/decryption"
 430 prepare 8192
 431 check_hash_dev $IMG $HASH4
 432 echo $PWD1 | $REENC --type luks2 $IMG -q $FAST_PBKDF_ARGON --header $IMG_HDR --new
 433 check_hash $PWD1 $HASH4 $IMG_HDR
 434 echo $PWD1 | $REENC $IMG -q $FAST_PBKDF_ARGON --header $IMG_HDR
 435 check_hash $PWD1 $HASH4 $IMG_HDR
 436 echo $PWD1 | $REENC $IMG -q --header $IMG_HDR --decrypt
 437 check_hash_dev $IMG $HASH4
 438 # existing header of zero size
 439 cat /dev/null >$IMG_HDR
 440 echo $PWD1 | $REENC --type luks2 $IMG -q $FAST_PBKDF_ARGON --header $IMG_HDR --new
 441 check_hash $PWD1 $HASH4 $IMG_HDR
 442 $CRYPTSETUP isLuks $IMG && fail
 443 $CRYPTSETUP isLuks $IMG_HDR || fail
 444 $CRYPTSETUP luksDump $IMG_HDR | grep -q "0: luks2" || fail
 445
 446 echo "[14] Reencryption with unbound keyslot"
 447 prepare 8192
 448 echo $PWD1 | $CRYPTSETUP -q luksFormat --type luks2 $FAST_PBKDF_ARGON $IMG --offset 8192 || fail
 449 echo $PWD2 | $CRYPTSETUP -q luksAddKey -S 3 --unbound --key-size 64 $FAST_PBKDF_ARGON $IMG || fail
 450 wipe $PWD1
 451 check_hash $PWD1 $HASH5
 452 $CRYPTSETUP luksDump $IMG | grep -q "3: luks2 (unbound)" || fail
 453 echo $PWD2 | $REENC $IMG -q $FAST_PBKDF_ARGON 2>/dev/null && fail
 454 echo -e "$PWD1\n$PWD2" | $REENC $IMG -q $FAST_PBKDF_ARGON || fail
 455 $CRYPTSETUP luksDump $IMG | grep -q "3: luks2 (unbound)" || fail
 456
 457 echo "[15] Reencryption after conversion"
 458 prepare 8192
 459 echo $PWD1 | $CRYPTSETUP -q luksFormat --type luks1 $FAST_PBKDF_PBKDF2 $IMG --offset 4096 || fail
 460 wipe $PWD1
 461 check_hash $PWD1 $HASH1
 462 $CRYPTSETUP -q convert --type luks2 $IMG || fail
 463 echo $PWD1 | $REENC $IMG -q $FAST_PBKDF_PBKDF2 || fail
 464 check_hash $PWD1 $HASH1
 465 echo $PWD1 | $CRYPTSETUP -q luksFormat --type luks2 $FAST_PBKDF_PBKDF2 $IMG --offset 8192 || fail
 466 wipe $PWD1
 467 check_hash $PWD1 $HASH5
 468 $CRYPTSETUP -q convert --type luks1 $IMG || fail
 469 echo $PWD1 | $REENC $IMG -q $FAST_PBKDF_PBKDF2 || fail
 470 check_hash $PWD1 $HASH5
 471
 472 remove_mapping
 473 exit 0