اجازه استفاده از درخواست‌های آزادسازی فضا (TRIM/discard) را برای دستگاه صادر می‌کند. این گزینه برای دستگاه‌های LUKS2 دارای محافظت از یکپارچگی داده‌ها پشتیبانی نمی‌شود.

هشدار: این دستور می‌تواند پیامد منفی امنیتی داشته باشد زیرا می‌تواند عملیات در سطح سیستم‌فایل را روی دستگاه فیزیکی آشکار کند. برای نمونه، در صورتی که بلوک‌های دور انداخته‌شده بعداً مشخص شوند، ممکن است اطلاعاتی نظیر نوع سیستم‌فایل، فضای مصرفی و غیره از روی دستگاه فیزیکی قابل استخراج باشد. در صورت تردید، از آن استفاده نکنید.

نیازمند هسته نسخه ۳.۱ یا بالاتر است. برای هسته‌های قدیمی‌تر، این گزینه نادیده گرفته می‌شود.

تمام پرسش‌های تاییدیه را لغو می‌کند. با احتیاط استفاده کنید!

اگر گزینه --verify-passphrase مشخص نشده باشد، این گزینه تایید و اعتبارسنجی عبارت عبور را نیز غیرفعال می‌کند.

رشته مشخصات الگوریتم رمزنگاری را برای نوع دستگاه plain یا loopaes تعیین می‌کند.

برای نوع دستگاه tcrypt، زنجیره‌های رمزی را که هنگام جستجوی هدر بررسی می‌شوند محدود می‌کند.

دستور cryptsetup --help مقادیر پیش‌فرض تعیین‌شده در زمان کامپایل را نمایش می‌دهد.

اگر تابع هش بخشی از مشخصات الگوریتم رمز باشد، به عنوان بخشی از تولید IV استفاده می‌شود. برای مثال، ESSIV به یک تابع هش نیاز دارد، در حالی که "plain64" نیازی به آن ندارد و بنابراین هیچ هشی مشخص نمی‌شود.

برای حالت XTS می‌توانید به صورت اختیاری اندازه کلید ۵۱۲ بیتی را با گزینه -s تنظیم کنید. اندازه کلید در حالت XTS برای همان سطح امنیت، دو برابر سایر حالت‌ها است.

اجرا در حالت اشکال‌زدایی با گزارش‌های تشخیصی کامل. خطوط خروجی اشکال‌زدایی همیشه دارای پیشوند # هستند.

اگر از --debug-json استفاده شود، ساختارهای داده اضافی LUKS2 JSON نیز چاپ می‌شوند.

به جای اندازه واقعی دستگاه، از مقدار مشخص‌شده استفاده می‌کند. تنها با نوع دستگاه plain قابل استفاده است.

اگر هیچ پسوند واحدی مشخص نشود، اندازه بر حسب بایت در نظر گرفته می‌شود.

پسوند واحد می‌تواند S برای سکتورهای ۵۱۲ بایتی، K/M/G/T (یا KiB، MiB، GiB، TiB) برای واحدهای بر مبنای ۱۰۲۴، یا KB/MB/GB/TB برای مبنای ۱۰۰۰ (مقیاس SI) باشد.

بارگذاری افزونه‌ها برای توکن‌های خارجی LUKS2 را غیرفعال می‌کند.

کلید حجم را در جاکلیدی هسته (kernel keyring) بارگذاری نمی‌کند و در عوض آن را مستقیماً در هدف dm-crypt ذخیره می‌کند. این گزینه فقط برای نوع LUKS2 پشتیبانی می‌شود.

محافظت از طریق قفل را برای متاداده‌های روی دیسک غیرفعال می‌کند. این گزینه فقط برای LUKS2 معتبر است و برای سایر قالب‌ها نادیده گرفته می‌شود.

هشدار: از این گزینه استفاده نکنید مگر اینکه cryptsetup را در محیطی محدود اجرا کنید که امکان قفل‌گذاری در آن وجود ندارد (جایی که نمی‌توان از دایرکتوری ‎/run استفاده کرد).

از این گزینه می‌توان برای غیرفعال کردن حالت سازگار با VeraCrypt استفاده کرد (تنها دستگاه‌های TrueCrypt شناسایی می‌شوند). فقط برای افزونه TCRYPT کاربرد دارد. برای اطلاعات بیشتر بخش TCRYPT را در cryptsetup(8) ببینید.

مسیر دایرکتوری سیستمی را که cryptsetup در آن به دنبال گرداننده‌های توکن خارجی (یا افزونه‌های توکن) می‌گردد بازنویسی (override) می‌کند. این مسیر باید یک مسیر مطلق باشد (که با نویسه '/' آغاز می‌شود).

هش عبارت عبور را مشخص می‌کند. تنها برای انواع دستگاه plain و loopaes اعمال می‌شود.

برای نوع دستگاه tcrypt، گونه‌های PBKDF2 بررسی‌شده را هنگام جستجوی هدر محدود می‌کند.

دستگاه یا فایل متاداده جداگانه‌ای را که هدر در آن ذخیره شده است مشخص می‌کند.

هشدار: هیچ بررسی انجام نمی‌شود که آیا دستگاه متن رمزشده مشخص‌شده واقعاً متعلق به هدر داده‌شده است یا خیر. در واقع، با گزینه --header می‌توانید هر دستگاه دلخواهی را به عنوان دستگاه متن رمزشده تعیین کنید. با احتیاط استفاده کنید.

نمایش متن راهنما و پارامترهای پیش‌فرض.

بردار مقداردهی اولیه (IV) را به جای سکتورهای ۵۱۲ بایتی، در اندازه سکتور بزرگ‌تر (در صورت تنظیم) محاسبه می‌کند. این گزینه تنها با نوع دستگاه plain قابل استفاده است.

نکته: این گزینه هیچ تاثیری بر کارایی یا امنیت ندارد؛ تنها برای دسترسی به ایمیج‌های ناسازگار دیسک از سایر سیستم‌ها که نیازمند این گزینه هستند کاربرد دارد.

خواندن عبارت عبور از فایل.

اگر نام داده‌شده "-" باشد، عبارت عبور از ورودی استاندارد (stdin) خوانده خواهد شد. در این حالت، فرایند خواندن با رسیدن به نویسه خط جدید متوقف نمی‌شود.

نکته: در نوع دستگاه plain، عبارت عبور دریافت‌شده از طریق گزینه --key-file مستقیماً به dm-crypt تحویل داده می‌شود؛ بر خلاف حالت تعاملی (stdin) که در آن خلاصه (گزینه --hash) عبارت عبور به dm-crypt ارسال می‌گردد.

برای اطلاعات بیشتر، بخش NOTES ON PASSPHRASE PROCESSING را در cryptsetup(8) ببینید.

نادیده گرفتن مقدار بایت از ابتدای فایل کلید.

خواندن حداکثر مقدار بایت از فایل کلید. حالت پیش‌فرض خواندن کل فایل تا سقف حداکثر مقدار تعیین‌شده در زمان کامپایل است که می‌توان آن را با --help استعلام کرد. ارائه داده‌های بیشتر از حداکثر مقدار زمان کامپایل، عملیات را لغو می‌کند.

این گزینه به عنوان مثال برای حذف خطوط جدید پایانی مفید است. اگر --keyfile-offset نیز داده شده باشد، شمارش اندازه پس از آفست آغاز می‌شود.

اندازه کلید را بر حسب بیت تنظیم می‌کند. آرگومان باید مضربی از ۸ باشد. اندازه‌های مجاز کلید توسط الگوریتم رمز و حالت مورداستفاده محدود می‌شوند.

برای اطلاعات بیشتر فایل ‎/proc/crypto را ببینید. توجه داشته باشید که اندازه کلید در ‎/proc/crypto بر حسب بایت ذکر می‌شود.

این گزینه برای انواع دستگاه plain و loopaes قابل استفاده است.

این گزینه یک اسلات کلید خاص را برای مقایسه عبارت عبور با آن انتخاب می‌کند. اگر عبارت عبور داده‌شده تنها با یک اسلات کلید دیگر مطابقت داشته باشد، عملیات با شکست مواجه می‌شود.

حداکثر تعداد اسلات‌های کلید به نسخه LUKS بستگی دارد. LUKS1 می‌تواند تا ۸ اسلات کلید داشته باشد. LUKS2 بر اساس اندازه ناحیه اسلات کلید و اندازه کلید می‌تواند تا ۳۲ اسلات کلید داشته باشد، اما شناسه اسلات کلید معتبر برای LUKS2 همواره بین ۰ تا ۳۱ است.

پیوند دادن کلید حجم در یک جاکلیدی (keyring) با نام کلید مشخص‌شده. کلید حجم تنها در صورتی پیوند داده می‌شود که اقدام درخواستی با موفقیت پایان یابد (با --test-passphrase کلید حجم اعتبارسنجی‌شده بدون اقدام دیگری در جاکلیدی پیوند می‌یابد).

رشته <شرح_جاکلیدی> باید حاوی توصیف یک جاکلیدی موجود در هسته باشد. نام جاکلیدی ممکن است به صورت اختیاری دارای پیشوند نوع "%:" یا "%keyring:" باشد. همچنین جاکلیدی می‌تواند مستقیماً با شناسه عددی کلید مشخص شود. علاوه بر این، می‌توان از نشانه‌گذاری‌های خاص جاکلیدی که با "@" آغاز می‌شوند برای انتخاب جاکلیدی‌های از پیش تعریف‌شده موجود در هسته استفاده کرد.

رشته "::" جداکننده‌ای است که برای تفکیک شرح جاکلیدی و شرح کلید استفاده می‌شود.

بخش <شرح_کلید> نوع کلید و نام کلید مربوط به کلید حجم پیوند‌یافته در جاکلیدی شرح داده شده در <شرح_جاکلیدی> را توصیف می‌کند. نوع را می‌توان با افزودن پیشوند "%<نام_نوع>:" در ابتدای نام کلید تعیین کرد. اگر نوع مشخص نشده باشد، نوع پیش‌فرض user اعمال می‌شود. اگر کلیدی با همان نام و همان نوع از قبل موجود باشد (قبلاً در جاکلیدی پیوند یافته باشد)، در طی این فرایند جایگزین خواهد شد.

همچنین بخش KEY IDENTIFIERS را در keyctl(1) ببینید.

آفست شروع در دستگاه پشتیبان بر حسب سکتورهای ۵۱۲ بایتی. این گزینه تنها با انواع دستگاه plain یا loopaes مرتبط است.

دور زدن صف کاری داخلی dm-crypt و پردازش همگام درخواست‌های خواندن یا نوشتن.

نکته: این گزینه‌ها تنها برای تنظیم دقیق کارایی سطح پایین dm-crypt در دسترس هستند؛ تنها در صورتی از آن‌ها استفاده کنید که نیازمند تغییر رفتار پیش‌فرض dm-crypt باشید. به هسته نسخه ۵.۹ یا بالاتر نیاز دارد.

انجام رمزنگاری با استفاده از همان پردازنده‌ای (CPU) که درخواست ورودی/خروجی (IO) روی آن ارسال شده است. حالت پیش‌فرض استفاده از یک صف کاری نامقید (unbound workqueue) است تا پردازش رمزنگاری به صورت خودکار بین پردازنده‌های موجود متعادل گردد.

نکته: این گزینه تنها برای تنظیم دقیق کارایی سطح پایین dm-crypt در دسترس است؛ تنها در صورتی از آن استفاده کنید که نیازمند تغییر رفتار پیش‌فرض dm-crypt باشید. به هسته نسخه ۴.۰ یا بالاتر نیاز دارد.

غیرفعال کردن برون‌سپاری عملیات نوشتن به یک ریسه (thread) جداگانه پس از رمزنگاری. شرایطی وجود دارد که در آن برون‌سپاری bios نوشتن از ریسه‌های رمزنگاری به یک ریسه واحد، کارایی را به شدت کاهش می‌دهد. حالت پیش‌فرض برون‌سپاری bios نوشتن به همان ریسه است.

نکته: این گزینه تنها برای تنظیم دقیق کارایی سطح پایین dm-crypt در دسترس است؛ تنها در صورتی از آن استفاده کنید که به تغییر رفتار پیش‌فرض dm-crypt نیاز داشته باشید. به هسته نسخه ۴.۰ یا بالاتر نیاز دارد.

در صورت استفاده با دستگاه‌های LUKS2 و دستورهای فعال‌سازی نظیر open یا refresh، پرچم‌های فعال‌سازی تعیین‌شده به صورت دائمی در متاداده نوشته می‌شوند و در دفعات بعد حتی برای فعال‌سازی عادی نیز به طور خودکار اعمال می‌گردند (بدون نیاز به استفاده از crypttab یا سایر فایل‌های پیکربندی سیستم).

اگر نیاز به حذف یک پرچم دائمی دارید، از --persistent بدون پرچمی که می‌خواهید حذف شود استفاده کنید (به عنوان مثال برای غیرفعال کردن پرچم discard که به صورت دائمی ذخیره شده، از --persistent بدون --allow-discards استفاده نمایید).

تنها گزینه‌های --allow-discards، --perf-same_cpu_crypt، --perf-submit_from_crypt_cpus، --perf-no_read_workqueue، --perf-no_write_workqueue و --integrity-no-journal می‌توانند به صورت دائمی ذخیره شوند.

برپایی یک نگاشت فقط‌خواندنی.

نوسازی یک دستگاه فعال با مجموعه پارامترهای جدید. برای جزئیات بیشتر به cryptsetup-refresh(8) مراجعه کنید.

تنظیم اندازه سکتور رمزنگاری برای استفاده با نوع دستگاه plain. این مقدار باید توانی از دو و در محدوده ۵۱۲ تا ۴۰۹۶ بایت باشد. حالت پیش‌فرض ۵۱۲ بایت است.

توجه داشته باشید که اگر اندازه سکتور بزرگ‌تر از سکتور سخت‌افزاری دستگاه زیربنایی باشد، استفاده از این گزینه می‌تواند خطر نوشتن ناقص سکتور در هنگام قطعی برق را افزایش دهد.

افزایش اندازه سکتور از ۵۱۲ بایت به ۴۰۹۶ بایت می‌تواند کارایی بهتری را در اغلب دستگاه‌های ذخیره‌سازی مدرن و همچنین در برخی شتاب‌دهنده‌های سخت‌افزاری رمزنگاری فراهم کند.

استفاده از یک قفل سراسری برای زنجیره‌ای و متوالی کردن بازگشایی اسلات‌های کلید با استفاده از PBKDF وابسته به حافظه (memory-hard).

نکته: این یک راهکار موقت برای شرایط خاصی است که در آن چندین دستگاه به طور هم‌زمان فعال می‌شوند و سیستم به جای گزارش کمبود حافظه، فرایندها را با استفاده از قاتل حافظه (out-of-memory killer) بدون قید و شرط متوقف می‌کند.

از این گزینه استفاده نکنید مگر اینکه در حال پیاده‌سازی محیط بوت با فعال‌سازی هم‌زمان دستگاه‌ها باشید!

یک نگاشت اضافی برای یک دستگاه متن رمزشده مشترک ایجاد می‌کند. نگاشت‌های دلخواه پشتیبانی می‌شوند. این گزینه تنها برای نوع دستگاه plain مرتبط است. از --offset، --size و --skip برای مشخص کردن ناحیه نگاشت‌شده استفاده کنید.

تنظیم اندازه دستگاه بر حسب سکتورهای ۵۱۲ بایتی. تنها با نوع دستگاه plain قابل استفاده است.

آفست شروع مورد استفاده در محاسبات بردار مقداردهی اولیه (IV) بر حسب سکتورهای ۵۱۲ بایتی (تعداد سکتورهایی از داده‌های رمزنگاری‌شده که در ابتدا باید نادیده گرفته شوند). این گزینه تنها با انواع دستگاه plain یا loopaes مرتبط است.

بنابراین، اگر --offset n و --skip s باشد، سکتور n (نخستین سکتور دستگاه رمزشده) شماره سکتور s را برای محاسبات IV دریافت خواهد کرد.

مشخص می‌کند کدام هدر TrueCrypt روی دیسک برای باز کردن دستگاه استفاده شود. برای اطلاعات بیشتر بخش TCRYPT را در cryptsetup(8) ببینید.

دستگاه را فعال نمی‌کند، بلکه تنها عبارت عبور را بررسی و اعتبارسنجی می‌کند. در صورت استفاده از این گزینه، تعیین نام نگاشت دستگاه اجباری نیست.

تعداد ثانیه‌های انتظار قبل از سرآمدن زمان مهلت (تایم‌اوت) برای ورود عبارت عبور از طریق ترمینال. این مقدار هر بار که عبارت عبوری درخواست شود اعمال می‌گردد. در صورت استفاده هم‌زمان با --key-file هیچ تاثیری ندارد.

این گزینه زمانی مفید است که سیستم در صورت عدم ورود عبارت عبور توسط کاربر نباید متوقف بماند؛ به عنوان مثال هنگام بالا آمدن و بوت سیستم. مقدار پیش‌فرض ۰ ثانیه است، به این معنی که تا ابد منتظر می‌ماند.

مشخص می‌کند از کدام توکن استفاده شود و اجازه می‌دهد درخواست پین توکن بر درخواست تعاملی عبارت عبور اسلات کلید اولویت پیدا کند. در صورت عدم تعیین، تمام توکن‌های موجود (که با پین محافظت نشده‌اند) قبل از ادامه با درخواست عبارت عبور بررسی خواهند شد.

اگر باز کردن اسلات کلید مبتنی بر توکن ناموفق بود، عملیات را ادامه ندهید. بدون این گزینه، دستور برای ادامه کار عبارت عبور را درخواست خواهد کرد.

این گزینه به توکن‌های LUKS2 محافظت‌شده با پین اجازه می‌دهد بر درخواست تعاملی عبارت عبور اسلات کلید اولویت داشته باشند.

محدود کردن توکن‌های واجد شرایط برای عملیات به یک نوع توکن مشخص. اغلب زمانی مفید است که گزینه --token-id تعیین نشده باشد.

این گزینه به توکن‌های نوع نوع در LUKS2 که با پین محافظت شده‌اند اجازه می‌دهد بر درخواست تعاملی عبارت عبور اسلات کلید اولویت داشته باشند.

تعداد دفعات مجاز برای تکرار ورود عبارت عبور. مقدار پیش‌فرض ۳ بار تلاش است.

نوع دستگاه مورد نظر را تعیین می‌کند؛ برای اطلاعات بیشتر بخش BASIC ACTIONS را در cryptsetup(8) مطالعه کنید.

تنها همراه با پارامتر --test-passphrase مجاز است؛ این گزینه امکان بررسی عبارت عبور را برای اسلات کلید غیرمقید (unbound) در LUKS2 فراهم می‌کند. در غیر این صورت، عبارت عبور اسلات کلید غیرمقید تنها زمانی قابل بررسی است که اسلات کلید مشخصی از طریق پارامتر --key-slot انتخاب شده باشد.

نمایش راهنمای کوتاه گزینه‌ها.

این گزینه نادیده گرفته می‌شود زیرا حالت سازگار با VeraCrypt به صورت پیش‌فرض پشتیبانی می‌شود.

استفاده از ضریب تکرار شخصی (PIM) سفارشی برای دستگاه VeraCrypt. برای جزئیات بیشتر بخش TCRYPT را در cryptsetup(8) ببینید.

هنگام درخواست تعاملی عبارت عبور، آن را دو بار می‌پرسد و در صورت عدم تطابق ورودی‌ها هشدار می‌دهد. استفاده از آن هنگام ایجاد نگاشت نوع plain برای نخستین بار توصیه می‌شود. در صورت ورود از فایل یا ورودی استاندارد (stdin) نادیده گرفته خواهد شد.

نمایش نسخه برنامه.

استفاده از کلید حجم ذخیره‌شده در یک فایل. این گزینه امکان باز کردن انواع دستگاه luks و bitlk را بدون ارائه عبارت عبور فراهم می‌کند.

استفاده از کلید حجم ذخیره‌شده در یک جاکلیدی (keyring). این گزینه امکان باز کردن انواع دستگاه و luks را بدون وارد کردن عبارت عبور فراهم می‌کند. کلید و نوع مربوطه باید از فضای کاربری قابل خواندن باشند تا خلاصه (digest) کلید حجم پیش از فعال‌سازی قابل اعتبارسنجی باشد.

شناسه <شرح کلید> از ساختار نحوی سازگار با keyctl استفاده می‌کند. این مقدار می‌تواند یک شناسه عددی کلید یا یک نام رشته‌ای با فرمت %<نام_نوع>:<نام_کلید> باشد. همچنین بخش KEY IDENTIFIERS در keyctl(1) را ببینید. در صورتی که هیچ پیشوند %<نام_نوع>: مشخص نشده باشد، فرض می‌شود که نوع کلید user (نوع پیش‌فرض) است.