/mandos/release

To get this branch, use:
bzr branch http://bzr.recompile.se/loggerhead/mandos/release

« back to all changes in this revision

Viewing changes to plugins.d/password-request.c

  • Committer: Teddy Hogeborn
  • Date: 2008-09-03 05:04:40 UTC
  • Revision ID: teddy@fukt.bsnet.se-20080903050440-7cwzxestx6pvdy1i
* Makefile (mandos.8): Add dependency on "overview.xml" and
                       "legalnotice.xml".
  (mandos-keygen.8): New target.
  (mandos-conf.5): Added dependency on "legalnotice.xml".
  (plugin-runner.8mandos): New target
  (plugins.d/password-request.8mandos): - '' -

* mandos-options.xml (priority): Make wording server/client neutral.

* plugins.d/password-request.c (main): Changed .arg fields of the argp
                                       options struct to be more
                                       consistent with the manual.

* plugins.d/password-request.xml (OVERVIEW): Moved to after "OPTIONS".
  (OPTIONS): Improved wording and names of replaceables.

Show diffs side-by-side

added added

removed removed

Lines of Context:
plugins.d/password-request.c
1
 
/***
2
 
  This file is part of avahi.
3
 
 
4
 
  avahi is free software; you can redistribute it and/or modify it
5
 
  under the terms of the GNU Lesser General Public License as
6
 
  published by the Free Software Foundation; either version 2.1 of the
7
 
  License, or (at your option) any later version.
8
 
 
9
 
  avahi is distributed in the hope that it will be useful, but WITHOUT
10
 
  ANY WARRANTY; without even the implied warranty of MERCHANTABILITY
11
 
  or FITNESS FOR A PARTICULAR PURPOSE. See the GNU Lesser General
12
 
  Public License for more details.
13
 
 
14
 
  You should have received a copy of the GNU Lesser General Public
15
 
  License along with avahi; if not, write to the Free Software
16
 
  Foundation, Inc., 59 Temple Place, Suite 330, Boston, MA 02111-1307
17
 
  USA.
18
 
***/
 
1
/*  -*- coding: utf-8 -*- */
 
2
/*
 
3
 * Mandos client - get and decrypt data from a Mandos server
 
4
 *
 
5
 * This program is partly derived from an example program for an Avahi
 
6
 * service browser, downloaded from
 
7
 * <http://avahi.org/browser/examples/core-browse-services.c>.  This
 
8
 * includes the following functions: "resolve_callback",
 
9
 * "browse_callback", and parts of "main".
 
10
 * 
 
11
 * Everything else is
 
12
 * Copyright © 2007-2008 Teddy Hogeborn & Björn Påhlsson
 
13
 * 
 
14
 * This program is free software: you can redistribute it and/or
 
15
 * modify it under the terms of the GNU General Public License as
 
16
 * published by the Free Software Foundation, either version 3 of the
 
17
 * License, or (at your option) any later version.
 
18
 * 
 
19
 * This program is distributed in the hope that it will be useful, but
 
20
 * WITHOUT ANY WARRANTY; without even the implied warranty of
 
21
 * MERCHANTABILITY or FITNESS FOR A PARTICULAR PURPOSE.  See the GNU
 
22
 * General Public License for more details.
 
23
 * 
 
24
 * You should have received a copy of the GNU General Public License
 
25
 * along with this program.  If not, see
 
26
 * <http://www.gnu.org/licenses/>.
 
27
 * 
 
28
 * Contact the authors at <mandos@fukt.bsnet.se>.
 
29
 */
19
30
 
 
31
/* Needed by GPGME, specifically gpgme_data_seek() */
20
32
#define _LARGEFILE_SOURCE
21
33
#define _FILE_OFFSET_BITS 64
22
34
 
23
 
#include <stdio.h>
24
 
#include <assert.h>
25
 
#include <stdlib.h>
26
 
#include <time.h>
27
 
#include <net/if.h>             /* if_nametoindex */
28
 
 
 
35
#define _GNU_SOURCE             /* TEMP_FAILURE_RETRY(), asprintf() */
 
36
 
 
37
#include <stdio.h>              /* fprintf(), stderr, fwrite(),
 
38
                                   stdout, ferror() */
 
39
#include <stdint.h>             /* uint16_t, uint32_t */
 
40
#include <stddef.h>             /* NULL, size_t, ssize_t */
 
41
#include <stdlib.h>             /* free(), EXIT_SUCCESS, EXIT_FAILURE,
 
42
                                   srand() */
 
43
#include <stdbool.h>            /* bool, true */
 
44
#include <string.h>             /* memset(), strcmp(), strlen(),
 
45
                                   strerror(), asprintf(), strcpy() */
 
46
#include <sys/ioctl.h>          /* ioctl */
 
47
#include <sys/types.h>          /* socket(), inet_pton(), sockaddr,
 
48
                                   sockaddr_in6, PF_INET6,
 
49
                                   SOCK_STREAM, INET6_ADDRSTRLEN,
 
50
                                   uid_t, gid_t */
 
51
#include <inttypes.h>           /* PRIu16 */
 
52
#include <sys/socket.h>         /* socket(), struct sockaddr_in6,
 
53
                                   struct in6_addr, inet_pton(),
 
54
                                   connect() */
 
55
#include <assert.h>             /* assert() */
 
56
#include <errno.h>              /* perror(), errno */
 
57
#include <time.h>               /* time() */
 
58
#include <net/if.h>             /* ioctl, ifreq, SIOCGIFFLAGS, IFF_UP,
 
59
                                   SIOCSIFFLAGS, if_indextoname(),
 
60
                                   if_nametoindex(), IF_NAMESIZE */
 
61
#include <unistd.h>             /* close(), SEEK_SET, off_t, write(),
 
62
                                   getuid(), getgid(), setuid(),
 
63
                                   setgid() */
 
64
#include <netinet/in.h>
 
65
#include <arpa/inet.h>          /* inet_pton(), htons */
 
66
#include <iso646.h>             /* not, and */
 
67
#include <argp.h>               /* struct argp_option, error_t, struct
 
68
                                   argp_state, struct argp,
 
69
                                   argp_parse(), ARGP_KEY_ARG,
 
70
                                   ARGP_KEY_END, ARGP_ERR_UNKNOWN */
 
71
 
 
72
/* Avahi */
 
73
/* All Avahi types, constants and functions
 
74
 Avahi*, avahi_*,
 
75
 AVAHI_* */
29
76
#include <avahi-core/core.h>
30
77
#include <avahi-core/lookup.h>
31
78
#include <avahi-core/log.h>
33
80
#include <avahi-common/malloc.h>
34
81
#include <avahi-common/error.h>
35
82
 
36
 
//mandos client part
37
 
#include <sys/types.h>          /* socket(), setsockopt(), inet_pton() */
38
 
#include <sys/socket.h>         /* socket(), setsockopt(), struct sockaddr_in6, struct in6_addr, inet_pton() */
39
 
#include <gnutls/gnutls.h>      /* ALL GNUTLS STUFF */
40
 
#include <gnutls/openpgp.h>     /* gnutls with openpgp stuff */
41
 
 
42
 
#include <unistd.h>             /* close() */
43
 
#include <netinet/in.h>
44
 
#include <stdbool.h>            /* true */
45
 
#include <string.h>             /* memset */
46
 
#include <arpa/inet.h>          /* inet_pton() */
47
 
#include <iso646.h>             /* not */
48
 
 
49
 
// gpgme
50
 
#include <errno.h>              /* perror() */
51
 
#include <gpgme.h>
52
 
 
53
 
// getopt long
54
 
#include <getopt.h>
55
 
 
56
 
#ifndef CERT_ROOT
57
 
#define CERT_ROOT "/conf/conf.d/cryptkeyreq/"
58
 
#endif
59
 
#define CERTFILE CERT_ROOT "openpgp-client.txt"
60
 
#define KEYFILE CERT_ROOT "openpgp-client-key.txt"
 
83
/* GnuTLS */
 
84
#include <gnutls/gnutls.h>      /* All GnuTLS types, constants and
 
85
                                   functions:
 
86
                                   gnutls_*
 
87
                                   init_gnutls_session(),
 
88
                                   GNUTLS_* */
 
89
#include <gnutls/openpgp.h>     /* gnutls_certificate_set_openpgp_key_file(),
 
90
                                   GNUTLS_OPENPGP_FMT_BASE64 */
 
91
 
 
92
/* GPGME */
 
93
#include <gpgme.h>              /* All GPGME types, constants and
 
94
                                   functions:
 
95
                                   gpgme_*
 
96
                                   GPGME_PROTOCOL_OpenPGP,
 
97
                                   GPG_ERR_NO_* */
 
98
 
61
99
#define BUFFER_SIZE 256
62
 
#define DH_BITS 1024
63
100
 
64
101
bool debug = false;
65
 
char *interface = "eth0";
 
102
static const char *keydir = "/conf/conf.d/mandos";
 
103
static const char mandos_protocol_version[] = "1";
 
104
const char *argp_program_version = "password-request 1.0";
 
105
const char *argp_program_bug_address = "<mandos@fukt.bsnet.se>";
66
106
 
 
107
/* Used for passing in values through the Avahi callback functions */
67
108
typedef struct {
68
 
  gnutls_session_t session;
 
109
  AvahiSimplePoll *simple_poll;
 
110
  AvahiServer *server;
69
111
  gnutls_certificate_credentials_t cred;
 
112
  unsigned int dh_bits;
70
113
  gnutls_dh_params_t dh_params;
71
 
} encrypted_session;
72
 
 
73
 
 
74
 
ssize_t gpg_packet_decrypt (char *packet, size_t packet_size, char **new_packet, char *homedir){
 
114
  const char *priority;
 
115
} mandos_context;
 
116
 
 
117
/*
 
118
 * Make room in "buffer" for at least BUFFER_SIZE additional bytes.
 
119
 * "buffer_capacity" is how much is currently allocated,
 
120
 * "buffer_length" is how much is already used.
 
121
 */
 
122
size_t adjustbuffer(char **buffer, size_t buffer_length,
 
123
                  size_t buffer_capacity){
 
124
  if (buffer_length + BUFFER_SIZE > buffer_capacity){
 
125
    *buffer = realloc(*buffer, buffer_capacity + BUFFER_SIZE);
 
126
    if (buffer == NULL){
 
127
      return 0;
 
128
    }
 
129
    buffer_capacity += BUFFER_SIZE;
 
130
  }
 
131
  return buffer_capacity;
 
132
}
 
133
 
 
134
/* 
 
135
 * Decrypt OpenPGP data using keyrings in HOMEDIR.
 
136
 * Returns -1 on error
 
137
 */
 
138
static ssize_t pgp_packet_decrypt (const char *cryptotext,
 
139
                                   size_t crypto_size,
 
140
                                   char **plaintext,
 
141
                                   const char *homedir){
75
142
  gpgme_data_t dh_crypto, dh_plain;
76
143
  gpgme_ctx_t ctx;
77
144
  gpgme_error_t rc;
78
145
  ssize_t ret;
79
 
  size_t new_packet_capacity = 0;
80
 
  size_t new_packet_length = 0;
 
146
  size_t plaintext_capacity = 0;
 
147
  ssize_t plaintext_length = 0;
81
148
  gpgme_engine_info_t engine_info;
82
 
 
 
149
  
83
150
  if (debug){
84
 
    fprintf(stderr, "Attempting to decrypt password from gpg packet\n");
 
151
    fprintf(stderr, "Trying to decrypt OpenPGP data\n");
85
152
  }
86
153
  
87
154
  /* Init GPGME */
88
155
  gpgme_check_version(NULL);
89
 
  gpgme_engine_check_version(GPGME_PROTOCOL_OpenPGP);
 
156
  rc = gpgme_engine_check_version(GPGME_PROTOCOL_OpenPGP);
 
157
  if (rc != GPG_ERR_NO_ERROR){
 
158
    fprintf(stderr, "bad gpgme_engine_check_version: %s: %s\n",
 
159
            gpgme_strsource(rc), gpgme_strerror(rc));
 
160
    return -1;
 
161
  }
90
162
  
91
 
  /* Set GPGME home directory */
 
163
  /* Set GPGME home directory for the OpenPGP engine only */
92
164
  rc = gpgme_get_engine_info (&engine_info);
93
165
  if (rc != GPG_ERR_NO_ERROR){
94
166
    fprintf(stderr, "bad gpgme_get_engine_info: %s: %s\n",
104
176
    engine_info = engine_info->next;
105
177
  }
106
178
  if(engine_info == NULL){
107
 
    fprintf(stderr, "Could not set home dir to %s\n", homedir);
 
179
    fprintf(stderr, "Could not set GPGME home dir to %s\n", homedir);
108
180
    return -1;
109
181
  }
110
182
  
111
 
  /* Create new GPGME data buffer from packet buffer */
112
 
  rc = gpgme_data_new_from_mem(&dh_crypto, packet, packet_size, 0);
 
183
  /* Create new GPGME data buffer from memory cryptotext */
 
184
  rc = gpgme_data_new_from_mem(&dh_crypto, cryptotext, crypto_size,
 
185
                               0);
113
186
  if (rc != GPG_ERR_NO_ERROR){
114
187
    fprintf(stderr, "bad gpgme_data_new_from_mem: %s: %s\n",
115
188
            gpgme_strsource(rc), gpgme_strerror(rc));
121
194
  if (rc != GPG_ERR_NO_ERROR){
122
195
    fprintf(stderr, "bad gpgme_data_new: %s: %s\n",
123
196
            gpgme_strsource(rc), gpgme_strerror(rc));
 
197
    gpgme_data_release(dh_crypto);
124
198
    return -1;
125
199
  }
126
200
  
129
203
  if (rc != GPG_ERR_NO_ERROR){
130
204
    fprintf(stderr, "bad gpgme_new: %s: %s\n",
131
205
            gpgme_strsource(rc), gpgme_strerror(rc));
132
 
    return -1;
 
206
    plaintext_length = -1;
 
207
    goto decrypt_end;
133
208
  }
134
209
  
135
 
  /* Decrypt data from the FILE pointer to the plaintext data buffer */
 
210
  /* Decrypt data from the cryptotext data buffer to the plaintext
 
211
     data buffer */
136
212
  rc = gpgme_op_decrypt(ctx, dh_crypto, dh_plain);
137
213
  if (rc != GPG_ERR_NO_ERROR){
138
214
    fprintf(stderr, "bad gpgme_op_decrypt: %s: %s\n",
139
215
            gpgme_strsource(rc), gpgme_strerror(rc));
140
 
    return -1;
 
216
    plaintext_length = -1;
 
217
    if (debug){
 
218
      gpgme_decrypt_result_t result;
 
219
      result = gpgme_op_decrypt_result(ctx);
 
220
      if (result == NULL){
 
221
        fprintf(stderr, "gpgme_op_decrypt_result failed\n");
 
222
      } else {
 
223
        fprintf(stderr, "Unsupported algorithm: %s\n",
 
224
                result->unsupported_algorithm);
 
225
        fprintf(stderr, "Wrong key usage: %u\n",
 
226
                result->wrong_key_usage);
 
227
        if(result->file_name != NULL){
 
228
          fprintf(stderr, "File name: %s\n", result->file_name);
 
229
        }
 
230
        gpgme_recipient_t recipient;
 
231
        recipient = result->recipients;
 
232
        if(recipient){
 
233
          while(recipient != NULL){
 
234
            fprintf(stderr, "Public key algorithm: %s\n",
 
235
                    gpgme_pubkey_algo_name(recipient->pubkey_algo));
 
236
            fprintf(stderr, "Key ID: %s\n", recipient->keyid);
 
237
            fprintf(stderr, "Secret key available: %s\n",
 
238
                    recipient->status == GPG_ERR_NO_SECKEY
 
239
                    ? "No" : "Yes");
 
240
            recipient = recipient->next;
 
241
          }
 
242
        }
 
243
      }
 
244
    }
 
245
    goto decrypt_end;
141
246
  }
142
 
 
 
247
  
143
248
  if(debug){
144
 
    fprintf(stderr, "decryption of gpg packet succeeded\n");
145
 
  }
146
 
 
147
 
  if (debug){
148
 
    gpgme_decrypt_result_t result;
149
 
    result = gpgme_op_decrypt_result(ctx);
150
 
    if (result == NULL){
151
 
      fprintf(stderr, "gpgme_op_decrypt_result failed\n");
152
 
    } else {
153
 
      fprintf(stderr, "Unsupported algorithm: %s\n", result->unsupported_algorithm);
154
 
      fprintf(stderr, "Wrong key usage: %d\n", result->wrong_key_usage);
155
 
      if(result->file_name != NULL){
156
 
        fprintf(stderr, "File name: %s\n", result->file_name);
157
 
      }
158
 
      gpgme_recipient_t recipient;
159
 
      recipient = result->recipients;
160
 
      if(recipient){
161
 
        while(recipient != NULL){
162
 
          fprintf(stderr, "Public key algorithm: %s\n",
163
 
                  gpgme_pubkey_algo_name(recipient->pubkey_algo));
164
 
          fprintf(stderr, "Key ID: %s\n", recipient->keyid);
165
 
          fprintf(stderr, "Secret key available: %s\n",
166
 
                  recipient->status == GPG_ERR_NO_SECKEY ? "No" : "Yes");
167
 
          recipient = recipient->next;
168
 
        }
169
 
      }
170
 
    }
171
 
  }
172
 
  
173
 
  /* Delete the GPGME FILE pointer cryptotext data buffer */
174
 
  gpgme_data_release(dh_crypto);
 
249
    fprintf(stderr, "Decryption of OpenPGP data succeeded\n");
 
250
  }
175
251
  
176
252
  /* Seek back to the beginning of the GPGME plaintext data buffer */
177
 
  gpgme_data_seek(dh_plain, 0, SEEK_SET);
178
 
 
179
 
  *new_packet = 0;
 
253
  if (gpgme_data_seek(dh_plain, (off_t) 0, SEEK_SET) == -1){
 
254
    perror("pgpme_data_seek");
 
255
    plaintext_length = -1;
 
256
    goto decrypt_end;
 
257
  }
 
258
  
 
259
  *plaintext = NULL;
180
260
  while(true){
181
 
    if (new_packet_length + BUFFER_SIZE > new_packet_capacity){
182
 
      *new_packet = realloc(*new_packet, new_packet_capacity + BUFFER_SIZE);
183
 
      if (*new_packet == NULL){
184
 
        perror("realloc");
185
 
        return -1;
186
 
      }
187
 
      new_packet_capacity += BUFFER_SIZE;
 
261
    plaintext_capacity = adjustbuffer(plaintext,
 
262
                                      (size_t)plaintext_length,
 
263
                                      plaintext_capacity);
 
264
    if (plaintext_capacity == 0){
 
265
        perror("adjustbuffer");
 
266
        plaintext_length = -1;
 
267
        goto decrypt_end;
188
268
    }
189
269
    
190
 
    ret = gpgme_data_read(dh_plain, *new_packet + new_packet_length, BUFFER_SIZE);
 
270
    ret = gpgme_data_read(dh_plain, *plaintext + plaintext_length,
 
271
                          BUFFER_SIZE);
191
272
    /* Print the data, if any */
192
273
    if (ret == 0){
193
 
      /* If password is empty, then a incorrect error will be printed */
 
274
      /* EOF */
194
275
      break;
195
276
    }
196
277
    if(ret < 0){
197
278
      perror("gpgme_data_read");
198
 
      return -1;
199
 
    }
200
 
    new_packet_length += ret;
201
 
  }
202
 
 
203
 
  /* FIXME: check characters before printing to screen so to not print
204
 
     terminal control characters */
205
 
  /*   if(debug){ */
206
 
  /*     fprintf(stderr, "decrypted password is: "); */
207
 
  /*     fwrite(*new_packet, 1, new_packet_length, stderr); */
208
 
  /*     fprintf(stderr, "\n"); */
209
 
  /*   } */
 
279
      plaintext_length = -1;
 
280
      goto decrypt_end;
 
281
    }
 
282
    plaintext_length += ret;
 
283
  }
 
284
  
 
285
  if(debug){
 
286
    fprintf(stderr, "Decrypted password is: ");
 
287
    for(ssize_t i = 0; i < plaintext_length; i++){
 
288
      fprintf(stderr, "%02hhX ", (*plaintext)[i]);
 
289
    }
 
290
    fprintf(stderr, "\n");
 
291
  }
 
292
  
 
293
 decrypt_end:
 
294
  
 
295
  /* Delete the GPGME cryptotext data buffer */
 
296
  gpgme_data_release(dh_crypto);
210
297
  
211
298
  /* Delete the GPGME plaintext data buffer */
212
299
  gpgme_data_release(dh_plain);
213
 
  return new_packet_length;
 
300
  return plaintext_length;
214
301
}
215
302
 
216
303
static const char * safer_gnutls_strerror (int value) {
217
 
  const char *ret = gnutls_strerror (value);
 
304
  const char *ret = gnutls_strerror (value); /* Spurious warning */
218
305
  if (ret == NULL)
219
306
    ret = "(unknown)";
220
307
  return ret;
221
308
}
222
309
 
223
 
void debuggnutls(int level, const char* string){
224
 
  fprintf(stderr, "%s", string);
 
310
/* GnuTLS log function callback */
 
311
static void debuggnutls(__attribute__((unused)) int level,
 
312
                        const char* string){
 
313
  fprintf(stderr, "GnuTLS: %s", string);
225
314
}
226
315
 
227
 
int initgnutls(encrypted_session *es){
228
 
  const char *err;
 
316
static int init_gnutls_global(mandos_context *mc,
 
317
                              const char *pubkeyfilename,
 
318
                              const char *seckeyfilename){
229
319
  int ret;
230
 
 
 
320
  
231
321
  if(debug){
232
 
    fprintf(stderr, "Initializing gnutls\n");
 
322
    fprintf(stderr, "Initializing GnuTLS\n");
233
323
  }
234
 
 
235
324
  
236
 
  if ((ret = gnutls_global_init ())
237
 
      != GNUTLS_E_SUCCESS) {
238
 
    fprintf (stderr, "global_init: %s\n", safer_gnutls_strerror(ret));
 
325
  ret = gnutls_global_init();
 
326
  if (ret != GNUTLS_E_SUCCESS) {
 
327
    fprintf (stderr, "GnuTLS global_init: %s\n",
 
328
             safer_gnutls_strerror(ret));
239
329
    return -1;
240
330
  }
241
 
 
 
331
  
242
332
  if (debug){
 
333
    /* "Use a log level over 10 to enable all debugging options."
 
334
     * - GnuTLS manual
 
335
     */
243
336
    gnutls_global_set_log_level(11);
244
337
    gnutls_global_set_log_function(debuggnutls);
245
338
  }
246
339
  
247
 
 
248
 
  /* openpgp credentials */
249
 
  if ((ret = gnutls_certificate_allocate_credentials (&es->cred))
250
 
      != GNUTLS_E_SUCCESS) {
251
 
    fprintf (stderr, "memory error: %s\n", safer_gnutls_strerror(ret));
 
340
  /* OpenPGP credentials */
 
341
  gnutls_certificate_allocate_credentials(&mc->cred);
 
342
  if (ret != GNUTLS_E_SUCCESS){
 
343
    fprintf (stderr, "GnuTLS memory error: %s\n", /* Spurious
 
344
                                                     warning */
 
345
             safer_gnutls_strerror(ret));
 
346
    gnutls_global_deinit ();
252
347
    return -1;
253
348
  }
254
 
 
 
349
  
255
350
  if(debug){
256
 
    fprintf(stderr, "Attempting to use openpgp certificate %s"
257
 
            " and keyfile %s as gnutls credentials\n", CERTFILE, KEYFILE);
 
351
    fprintf(stderr, "Attempting to use OpenPGP certificate %s"
 
352
            " and keyfile %s as GnuTLS credentials\n", pubkeyfilename,
 
353
            seckeyfilename);
258
354
  }
259
 
 
 
355
  
260
356
  ret = gnutls_certificate_set_openpgp_key_file
261
 
    (es->cred, CERTFILE, KEYFILE, GNUTLS_OPENPGP_FMT_BASE64);
262
 
  if (ret != GNUTLS_E_SUCCESS) {
263
 
    fprintf
264
 
      (stderr, "Error[%d] while reading the OpenPGP key pair ('%s', '%s')\n",
265
 
       ret, CERTFILE, KEYFILE);
266
 
    fprintf(stdout, "The Error is: %s\n",
267
 
            safer_gnutls_strerror(ret));
268
 
    return -1;
269
 
  }
270
 
 
271
 
  //Gnutls server initialization
272
 
  if ((ret = gnutls_dh_params_init (&es->dh_params))
273
 
      != GNUTLS_E_SUCCESS) {
274
 
    fprintf (stderr, "Error in dh parameter initialization: %s\n",
275
 
             safer_gnutls_strerror(ret));
276
 
    return -1;
277
 
  }
278
 
 
279
 
  if ((ret = gnutls_dh_params_generate2 (es->dh_params, DH_BITS))
280
 
      != GNUTLS_E_SUCCESS) {
281
 
    fprintf (stderr, "Error in prime generation: %s\n",
282
 
             safer_gnutls_strerror(ret));
283
 
    return -1;
284
 
  }
285
 
 
286
 
  gnutls_certificate_set_dh_params (es->cred, es->dh_params);
287
 
 
288
 
  // Gnutls session creation
289
 
  if ((ret = gnutls_init (&es->session, GNUTLS_SERVER))
290
 
      != GNUTLS_E_SUCCESS){
291
 
    fprintf(stderr, "Error in gnutls session initialization: %s\n",
292
 
            safer_gnutls_strerror(ret));
293
 
  }
294
 
 
295
 
  if ((ret = gnutls_priority_set_direct (es->session, "NORMAL", &err))
296
 
      != GNUTLS_E_SUCCESS) {
297
 
    fprintf(stderr, "Syntax error at: %s\n", err);
298
 
    fprintf(stderr, "Gnutls error: %s\n",
299
 
            safer_gnutls_strerror(ret));
300
 
    return -1;
301
 
  }
302
 
 
303
 
  if ((ret = gnutls_credentials_set
304
 
       (es->session, GNUTLS_CRD_CERTIFICATE, es->cred))
305
 
      != GNUTLS_E_SUCCESS) {
306
 
    fprintf(stderr, "Error setting a credentials set: %s\n",
307
 
            safer_gnutls_strerror(ret));
308
 
    return -1;
309
 
  }
310
 
 
 
357
    (mc->cred, pubkeyfilename, seckeyfilename,
 
358
     GNUTLS_OPENPGP_FMT_BASE64);
 
359
  if (ret != GNUTLS_E_SUCCESS) {
 
360
    fprintf(stderr,
 
361
            "Error[%d] while reading the OpenPGP key pair ('%s',"
 
362
            " '%s')\n", ret, pubkeyfilename, seckeyfilename);
 
363
    fprintf(stdout, "The GnuTLS error is: %s\n",
 
364
            safer_gnutls_strerror(ret));
 
365
    goto globalfail;
 
366
  }
 
367
  
 
368
  /* GnuTLS server initialization */
 
369
  ret = gnutls_dh_params_init(&mc->dh_params);
 
370
  if (ret != GNUTLS_E_SUCCESS) {
 
371
    fprintf (stderr, "Error in GnuTLS DH parameter initialization:"
 
372
             " %s\n", safer_gnutls_strerror(ret));
 
373
    goto globalfail;
 
374
  }
 
375
  ret = gnutls_dh_params_generate2(mc->dh_params, mc->dh_bits);
 
376
  if (ret != GNUTLS_E_SUCCESS) {
 
377
    fprintf (stderr, "Error in GnuTLS prime generation: %s\n",
 
378
             safer_gnutls_strerror(ret));
 
379
    goto globalfail;
 
380
  }
 
381
  
 
382
  gnutls_certificate_set_dh_params(mc->cred, mc->dh_params);
 
383
  
 
384
  return 0;
 
385
  
 
386
 globalfail:
 
387
  
 
388
  gnutls_certificate_free_credentials(mc->cred);
 
389
  gnutls_global_deinit();
 
390
  return -1;
 
391
}
 
392
 
 
393
static int init_gnutls_session(mandos_context *mc,
 
394
                               gnutls_session_t *session){
 
395
  int ret;
 
396
  /* GnuTLS session creation */
 
397
  ret = gnutls_init(session, GNUTLS_SERVER);
 
398
  if (ret != GNUTLS_E_SUCCESS){
 
399
    fprintf(stderr, "Error in GnuTLS session initialization: %s\n",
 
400
            safer_gnutls_strerror(ret));
 
401
  }
 
402
  
 
403
  {
 
404
    const char *err;
 
405
    ret = gnutls_priority_set_direct(*session, mc->priority, &err);
 
406
    if (ret != GNUTLS_E_SUCCESS) {
 
407
      fprintf(stderr, "Syntax error at: %s\n", err);
 
408
      fprintf(stderr, "GnuTLS error: %s\n",
 
409
              safer_gnutls_strerror(ret));
 
410
      gnutls_deinit (*session);
 
411
      return -1;
 
412
    }
 
413
  }
 
414
  
 
415
  ret = gnutls_credentials_set(*session, GNUTLS_CRD_CERTIFICATE,
 
416
                               mc->cred);
 
417
  if (ret != GNUTLS_E_SUCCESS) {
 
418
    fprintf(stderr, "Error setting GnuTLS credentials: %s\n",
 
419
            safer_gnutls_strerror(ret));
 
420
    gnutls_deinit (*session);
 
421
    return -1;
 
422
  }
 
423
  
311
424
  /* ignore client certificate if any. */
312
 
  gnutls_certificate_server_set_request (es->session, GNUTLS_CERT_IGNORE);
 
425
  gnutls_certificate_server_set_request (*session,
 
426
                                         GNUTLS_CERT_IGNORE);
313
427
  
314
 
  gnutls_dh_set_prime_bits (es->session, DH_BITS);
 
428
  gnutls_dh_set_prime_bits (*session, mc->dh_bits);
315
429
  
316
430
  return 0;
317
431
}
318
432
 
319
 
void empty_log(AvahiLogLevel level, const char *txt){}
 
433
/* Avahi log function callback */
 
434
static void empty_log(__attribute__((unused)) AvahiLogLevel level,
 
435
                      __attribute__((unused)) const char *txt){}
320
436
 
321
 
int start_mandos_communcation(char *ip, uint16_t port){
 
437
/* Called when a Mandos server is found */
 
438
static int start_mandos_communication(const char *ip, uint16_t port,
 
439
                                      AvahiIfIndex if_index,
 
440
                                      mandos_context *mc){
322
441
  int ret, tcp_sd;
323
 
  struct sockaddr_in6 to;
324
 
  struct in6_addr ip_addr;
325
 
  encrypted_session es;
 
442
  union { struct sockaddr in; struct sockaddr_in6 in6; } to;
326
443
  char *buffer = NULL;
327
444
  char *decrypted_buffer;
328
445
  size_t buffer_length = 0;
329
446
  size_t buffer_capacity = 0;
330
447
  ssize_t decrypted_buffer_size;
 
448
  size_t written;
331
449
  int retval = 0;
332
 
 
 
450
  char interface[IF_NAMESIZE];
 
451
  gnutls_session_t session;
 
452
  
 
453
  ret = init_gnutls_session (mc, &session);
 
454
  if (ret != 0){
 
455
    return -1;
 
456
  }
 
457
  
333
458
  if(debug){
334
 
    fprintf(stderr, "Setting up a tcp connection to %s\n", ip);
 
459
    fprintf(stderr, "Setting up a tcp connection to %s, port %" PRIu16
 
460
            "\n", ip, port);
335
461
  }
336
462
  
337
463
  tcp_sd = socket(PF_INET6, SOCK_STREAM, 0);
339
465
    perror("socket");
340
466
    return -1;
341
467
  }
342
 
 
 
468
  
343
469
  if(debug){
 
470
    if(if_indextoname((unsigned int)if_index, interface) == NULL){
 
471
      perror("if_indextoname");
 
472
      return -1;
 
473
    }
344
474
    fprintf(stderr, "Binding to interface %s\n", interface);
345
475
  }
346
 
 
347
 
  ret = setsockopt(tcp_sd, SOL_SOCKET, SO_BINDTODEVICE, interface, 5);
348
 
  if(tcp_sd < 0) {
349
 
    perror("setsockopt bindtodevice");
350
 
    return -1;
351
 
  }
352
476
  
353
 
  memset(&to,0,sizeof(to));
354
 
  to.sin6_family = AF_INET6;
355
 
  ret = inet_pton(AF_INET6, ip, &ip_addr);
 
477
  memset(&to, 0, sizeof(to));
 
478
  to.in6.sin6_family = AF_INET6;
 
479
  /* It would be nice to have a way to detect if we were passed an
 
480
     IPv4 address here.   Now we assume an IPv6 address. */
 
481
  ret = inet_pton(AF_INET6, ip, &to.in6.sin6_addr);
356
482
  if (ret < 0 ){
357
483
    perror("inet_pton");
358
484
    return -1;
359
 
  }  
 
485
  }
360
486
  if(ret == 0){
361
487
    fprintf(stderr, "Bad address: %s\n", ip);
362
488
    return -1;
363
489
  }
364
 
  to.sin6_port = htons(port);
365
 
  to.sin6_scope_id = if_nametoindex(interface);
366
 
 
 
490
  to.in6.sin6_port = htons(port); /* Spurious warning */
 
491
  
 
492
  to.in6.sin6_scope_id = (uint32_t)if_index;
 
493
  
367
494
  if(debug){
368
 
    fprintf(stderr, "Connection to: %s\n", ip);
 
495
    fprintf(stderr, "Connection to: %s, port %" PRIu16 "\n", ip,
 
496
            port);
 
497
    char addrstr[INET6_ADDRSTRLEN] = "";
 
498
    if(inet_ntop(to.in6.sin6_family, &(to.in6.sin6_addr), addrstr,
 
499
                 sizeof(addrstr)) == NULL){
 
500
      perror("inet_ntop");
 
501
    } else {
 
502
      if(strcmp(addrstr, ip) != 0){
 
503
        fprintf(stderr, "Canonical address form: %s\n", addrstr);
 
504
      }
 
505
    }
369
506
  }
370
507
  
371
 
  ret = connect(tcp_sd, (struct sockaddr *) &to, sizeof(to));
 
508
  ret = connect(tcp_sd, &to.in, sizeof(to));
372
509
  if (ret < 0){
373
510
    perror("connect");
374
511
    return -1;
375
512
  }
376
513
  
377
 
  ret = initgnutls (&es);
378
 
  if (ret != 0){
379
 
    retval = -1;
380
 
    return -1;
 
514
  const char *out = mandos_protocol_version;
 
515
  written = 0;
 
516
  while (true){
 
517
    size_t out_size = strlen(out);
 
518
    ret = TEMP_FAILURE_RETRY(write(tcp_sd, out + written,
 
519
                                   out_size - written));
 
520
    if (ret == -1){
 
521
      perror("write");
 
522
      retval = -1;
 
523
      goto mandos_end;
 
524
    }
 
525
    written += (size_t)ret;
 
526
    if(written < out_size){
 
527
      continue;
 
528
    } else {
 
529
      if (out == mandos_protocol_version){
 
530
        written = 0;
 
531
        out = "\r\n";
 
532
      } else {
 
533
        break;
 
534
      }
 
535
    }
381
536
  }
382
 
    
383
537
  
384
 
  gnutls_transport_set_ptr (es.session, (gnutls_transport_ptr_t) tcp_sd);
385
 
 
386
538
  if(debug){
387
 
    fprintf(stderr, "Establishing tls session with %s\n", ip);
 
539
    fprintf(stderr, "Establishing TLS session with %s\n", ip);
388
540
  }
389
 
 
390
 
  
391
 
  ret = gnutls_handshake (es.session);
 
541
  
 
542
  gnutls_transport_set_ptr (session, (gnutls_transport_ptr_t) tcp_sd);
 
543
  
 
544
  do{
 
545
    ret = gnutls_handshake (session);
 
546
  } while(ret == GNUTLS_E_AGAIN or ret == GNUTLS_E_INTERRUPTED);
392
547
  
393
548
  if (ret != GNUTLS_E_SUCCESS){
394
 
    fprintf(stderr, "\n*** Handshake failed ***\n");
395
 
    gnutls_perror (ret);
 
549
    if(debug){
 
550
      fprintf(stderr, "*** GnuTLS Handshake failed ***\n");
 
551
      gnutls_perror (ret);
 
552
    }
396
553
    retval = -1;
397
 
    goto exit;
 
554
    goto mandos_end;
398
555
  }
399
 
 
400
 
  //Retrieve gpg packet that contains the wanted password
401
 
 
 
556
  
 
557
  /* Read OpenPGP packet that contains the wanted password */
 
558
  
402
559
  if(debug){
403
 
    fprintf(stderr, "Retrieving pgp encrypted password from %s\n", ip);
 
560
    fprintf(stderr, "Retrieving pgp encrypted password from %s\n",
 
561
            ip);
404
562
  }
405
 
 
 
563
  
406
564
  while(true){
407
 
    if (buffer_length + BUFFER_SIZE > buffer_capacity){
408
 
      buffer = realloc(buffer, buffer_capacity + BUFFER_SIZE);
409
 
      if (buffer == NULL){
410
 
        perror("realloc");
411
 
        goto exit;
412
 
      }
413
 
      buffer_capacity += BUFFER_SIZE;
 
565
    buffer_capacity = adjustbuffer(&buffer, buffer_length,
 
566
                                   buffer_capacity);
 
567
    if (buffer_capacity == 0){
 
568
      perror("adjustbuffer");
 
569
      retval = -1;
 
570
      goto mandos_end;
414
571
    }
415
572
    
416
 
    ret = gnutls_record_recv
417
 
      (es.session, buffer+buffer_length, BUFFER_SIZE);
 
573
    ret = gnutls_record_recv(session, buffer+buffer_length,
 
574
                             BUFFER_SIZE);
418
575
    if (ret == 0){
419
576
      break;
420
577
    }
424
581
      case GNUTLS_E_AGAIN:
425
582
        break;
426
583
      case GNUTLS_E_REHANDSHAKE:
427
 
        ret = gnutls_handshake (es.session);
 
584
        do{
 
585
          ret = gnutls_handshake (session);
 
586
        } while(ret == GNUTLS_E_AGAIN or ret == GNUTLS_E_INTERRUPTED);
428
587
        if (ret < 0){
429
 
          fprintf(stderr, "\n*** Handshake failed ***\n");
 
588
          fprintf(stderr, "*** GnuTLS Re-handshake failed ***\n");
430
589
          gnutls_perror (ret);
431
590
          retval = -1;
432
 
          goto exit;
 
591
          goto mandos_end;
433
592
        }
434
593
        break;
435
594
      default:
436
 
        fprintf(stderr, "Unknown error while reading data from encrypted session with mandos server\n");
 
595
        fprintf(stderr, "Unknown error while reading data from"
 
596
                " encrypted session with Mandos server\n");
437
597
        retval = -1;
438
 
        gnutls_bye (es.session, GNUTLS_SHUT_RDWR);
439
 
        goto exit;
 
598
        gnutls_bye (session, GNUTLS_SHUT_RDWR);
 
599
        goto mandos_end;
440
600
      }
441
601
    } else {
442
 
      buffer_length += ret;
 
602
      buffer_length += (size_t) ret;
443
603
    }
444
604
  }
445
605
  
 
606
  if(debug){
 
607
    fprintf(stderr, "Closing TLS session\n");
 
608
  }
 
609
  
 
610
  gnutls_bye (session, GNUTLS_SHUT_RDWR);
 
611
  
446
612
  if (buffer_length > 0){
447
 
    if ((decrypted_buffer_size = gpg_packet_decrypt(buffer, buffer_length, &decrypted_buffer, CERT_ROOT)) >= 0){
448
 
      fwrite (decrypted_buffer, 1, decrypted_buffer_size, stdout);
 
613
    decrypted_buffer_size = pgp_packet_decrypt(buffer,
 
614
                                               buffer_length,
 
615
                                               &decrypted_buffer,
 
616
                                               keydir);
 
617
    if (decrypted_buffer_size >= 0){
 
618
      written = 0;
 
619
      while(written < (size_t) decrypted_buffer_size){
 
620
        ret = (int)fwrite (decrypted_buffer + written, 1,
 
621
                           (size_t)decrypted_buffer_size - written,
 
622
                           stdout);
 
623
        if(ret == 0 and ferror(stdout)){
 
624
          if(debug){
 
625
            fprintf(stderr, "Error writing encrypted data: %s\n",
 
626
                    strerror(errno));
 
627
          }
 
628
          retval = -1;
 
629
          break;
 
630
        }
 
631
        written += (size_t)ret;
 
632
      }
449
633
      free(decrypted_buffer);
450
634
    } else {
451
635
      retval = -1;
452
636
    }
453
 
  }
454
 
 
455
 
  //shutdown procedure
456
 
 
457
 
  if(debug){
458
 
    fprintf(stderr, "Closing tls session\n");
459
 
  }
460
 
 
 
637
  } else {
 
638
    retval = -1;
 
639
  }
 
640
  
 
641
  /* Shutdown procedure */
 
642
  
 
643
 mandos_end:
461
644
  free(buffer);
462
 
  gnutls_bye (es.session, GNUTLS_SHUT_RDWR);
463
 
 exit:
464
645
  close(tcp_sd);
465
 
  gnutls_deinit (es.session);
466
 
  gnutls_certificate_free_credentials (es.cred);
467
 
  gnutls_global_deinit ();
 
646
  gnutls_deinit (session);
468
647
  return retval;
469
648
}
470
649
 
471
 
static AvahiSimplePoll *simple_poll = NULL;
472
 
static AvahiServer *server = NULL;
473
 
 
474
 
static void resolve_callback(
475
 
    AvahiSServiceResolver *r,
476
 
    AVAHI_GCC_UNUSED AvahiIfIndex interface,
477
 
    AVAHI_GCC_UNUSED AvahiProtocol protocol,
478
 
    AvahiResolverEvent event,
479
 
    const char *name,
480
 
    const char *type,
481
 
    const char *domain,
482
 
    const char *host_name,
483
 
    const AvahiAddress *address,
484
 
    uint16_t port,
485
 
    AvahiStringList *txt,
486
 
    AvahiLookupResultFlags flags,
487
 
    AVAHI_GCC_UNUSED void* userdata) {
488
 
    
489
 
    assert(r);
490
 
 
491
 
    /* Called whenever a service has been resolved successfully or timed out */
492
 
 
493
 
    switch (event) {
494
 
        case AVAHI_RESOLVER_FAILURE:
495
 
            fprintf(stderr, "(Resolver) Failed to resolve service '%s' of type '%s' in domain '%s': %s\n", name, type, domain, avahi_strerror(avahi_server_errno(server)));
496
 
            break;
497
 
 
498
 
        case AVAHI_RESOLVER_FOUND: {
499
 
          char ip[AVAHI_ADDRESS_STR_MAX];
500
 
            avahi_address_snprint(ip, sizeof(ip), address);
501
 
            if(debug){
502
 
              fprintf(stderr, "Mandos server found at %s on port %d\n", ip, port);
503
 
            }
504
 
            int ret = start_mandos_communcation(ip, port);
505
 
            if (ret == 0){
506
 
              exit(EXIT_SUCCESS);
507
 
            } else {
508
 
              exit(EXIT_FAILURE);
509
 
            }
510
 
        }
511
 
    }
512
 
    avahi_s_service_resolver_free(r);
513
 
}
514
 
 
515
 
static void browse_callback(
516
 
    AvahiSServiceBrowser *b,
517
 
    AvahiIfIndex interface,
518
 
    AvahiProtocol protocol,
519
 
    AvahiBrowserEvent event,
520
 
    const char *name,
521
 
    const char *type,
522
 
    const char *domain,
523
 
    AVAHI_GCC_UNUSED AvahiLookupResultFlags flags,
524
 
    void* userdata) {
525
 
    
526
 
    AvahiServer *s = userdata;
527
 
    assert(b);
528
 
 
529
 
    /* Called whenever a new services becomes available on the LAN or is removed from the LAN */
530
 
 
531
 
    switch (event) {
532
 
 
533
 
        case AVAHI_BROWSER_FAILURE:
534
 
            
535
 
            fprintf(stderr, "(Browser) %s\n", avahi_strerror(avahi_server_errno(server)));
536
 
            avahi_simple_poll_quit(simple_poll);
537
 
            return;
538
 
 
539
 
        case AVAHI_BROWSER_NEW:
540
 
            /* We ignore the returned resolver object. In the callback
541
 
               function we free it. If the server is terminated before
542
 
               the callback function is called the server will free
543
 
               the resolver for us. */
544
 
            
545
 
            if (!(avahi_s_service_resolver_new(s, interface, protocol, name, type, domain, AVAHI_PROTO_INET6, 0, resolve_callback, s)))
546
 
                fprintf(stderr, "Failed to resolve service '%s': %s\n", name, avahi_strerror(avahi_server_errno(s)));
547
 
            
548
 
            break;
549
 
 
550
 
        case AVAHI_BROWSER_REMOVE:
551
 
            break;
552
 
 
553
 
        case AVAHI_BROWSER_ALL_FOR_NOW:
554
 
        case AVAHI_BROWSER_CACHE_EXHAUSTED:
555
 
            break;
556
 
    }
557
 
}
558
 
 
559
 
int main(AVAHI_GCC_UNUSED int argc, AVAHI_GCC_UNUSED char*argv[]) {
560
 
    AvahiServerConfig config;
 
650
static void resolve_callback(AvahiSServiceResolver *r,
 
651
                             AvahiIfIndex interface,
 
652
                             AVAHI_GCC_UNUSED AvahiProtocol protocol,
 
653
                             AvahiResolverEvent event,
 
654
                             const char *name,
 
655
                             const char *type,
 
656
                             const char *domain,
 
657
                             const char *host_name,
 
658
                             const AvahiAddress *address,
 
659
                             uint16_t port,
 
660
                             AVAHI_GCC_UNUSED AvahiStringList *txt,
 
661
                             AVAHI_GCC_UNUSED AvahiLookupResultFlags
 
662
                             flags,
 
663
                             void* userdata) {
 
664
  mandos_context *mc = userdata;
 
665
  assert(r);
 
666
  
 
667
  /* Called whenever a service has been resolved successfully or
 
668
     timed out */
 
669
  
 
670
  switch (event) {
 
671
  default:
 
672
  case AVAHI_RESOLVER_FAILURE:
 
673
    fprintf(stderr, "(Avahi Resolver) Failed to resolve service '%s'"
 
674
            " of type '%s' in domain '%s': %s\n", name, type, domain,
 
675
            avahi_strerror(avahi_server_errno(mc->server)));
 
676
    break;
 
677
    
 
678
  case AVAHI_RESOLVER_FOUND:
 
679
    {
 
680
      char ip[AVAHI_ADDRESS_STR_MAX];
 
681
      avahi_address_snprint(ip, sizeof(ip), address);
 
682
      if(debug){
 
683
        fprintf(stderr, "Mandos server \"%s\" found on %s (%s, %"
 
684
                PRIu16 ") on port %d\n", name, host_name, ip,
 
685
                interface, port);
 
686
      }
 
687
      int ret = start_mandos_communication(ip, port, interface, mc);
 
688
      if (ret == 0){
 
689
        avahi_simple_poll_quit(mc->simple_poll);
 
690
      }
 
691
    }
 
692
  }
 
693
  avahi_s_service_resolver_free(r);
 
694
}
 
695
 
 
696
static void browse_callback( AvahiSServiceBrowser *b,
 
697
                             AvahiIfIndex interface,
 
698
                             AvahiProtocol protocol,
 
699
                             AvahiBrowserEvent event,
 
700
                             const char *name,
 
701
                             const char *type,
 
702
                             const char *domain,
 
703
                             AVAHI_GCC_UNUSED AvahiLookupResultFlags
 
704
                             flags,
 
705
                             void* userdata) {
 
706
  mandos_context *mc = userdata;
 
707
  assert(b);
 
708
  
 
709
  /* Called whenever a new services becomes available on the LAN or
 
710
     is removed from the LAN */
 
711
  
 
712
  switch (event) {
 
713
  default:
 
714
  case AVAHI_BROWSER_FAILURE:
 
715
    
 
716
    fprintf(stderr, "(Avahi browser) %s\n",
 
717
            avahi_strerror(avahi_server_errno(mc->server)));
 
718
    avahi_simple_poll_quit(mc->simple_poll);
 
719
    return;
 
720
    
 
721
  case AVAHI_BROWSER_NEW:
 
722
    /* We ignore the returned Avahi resolver object. In the callback
 
723
       function we free it. If the Avahi server is terminated before
 
724
       the callback function is called the Avahi server will free the
 
725
       resolver for us. */
 
726
    
 
727
    if (!(avahi_s_service_resolver_new(mc->server, interface,
 
728
                                       protocol, name, type, domain,
 
729
                                       AVAHI_PROTO_INET6, 0,
 
730
                                       resolve_callback, mc)))
 
731
      fprintf(stderr, "Avahi: Failed to resolve service '%s': %s\n",
 
732
              name, avahi_strerror(avahi_server_errno(mc->server)));
 
733
    break;
 
734
    
 
735
  case AVAHI_BROWSER_REMOVE:
 
736
    break;
 
737
    
 
738
  case AVAHI_BROWSER_ALL_FOR_NOW:
 
739
  case AVAHI_BROWSER_CACHE_EXHAUSTED:
 
740
    if(debug){
 
741
      fprintf(stderr, "No Mandos server found, still searching...\n");
 
742
    }
 
743
    break;
 
744
  }
 
745
}
 
746
 
 
747
/* Combines file name and path and returns the malloced new
 
748
   string. some sane checks could/should be added */
 
749
static char *combinepath(const char *first, const char *second){
 
750
  char *tmp;
 
751
  int ret = asprintf(&tmp, "%s/%s", first, second);
 
752
  if(ret < 0){
 
753
    return NULL;
 
754
  }
 
755
  return tmp;
 
756
}
 
757
 
 
758
 
 
759
int main(int argc, char *argv[]){
561
760
    AvahiSServiceBrowser *sb = NULL;
562
761
    int error;
563
762
    int ret;
564
 
    int returncode = EXIT_SUCCESS;
565
 
 
566
 
    while (true){
567
 
      static struct option long_options[] = {
568
 
        {"debug", no_argument, (int *)&debug, 1},
569
 
        {"interface", required_argument, 0, 'i'},
570
 
        {0, 0, 0, 0} };
571
 
 
572
 
      int option_index = 0;
573
 
      ret = getopt_long (argc, argv, "i:", long_options, &option_index);
574
 
 
575
 
      if (ret == -1){
576
 
        break;
577
 
      }
578
 
      
579
 
      switch(ret){
580
 
      case 0:
581
 
        break;
582
 
      case 'i':
583
 
        interface = optarg;
584
 
        break;
585
 
      default:
586
 
        exit(EXIT_FAILURE);
587
 
      }
 
763
    int exitcode = EXIT_SUCCESS;
 
764
    const char *interface = "eth0";
 
765
    struct ifreq network;
 
766
    int sd;
 
767
    uid_t uid;
 
768
    gid_t gid;
 
769
    char *connect_to = NULL;
 
770
    AvahiIfIndex if_index = AVAHI_IF_UNSPEC;
 
771
    char *pubkeyfilename = NULL;
 
772
    char *seckeyfilename = NULL;
 
773
    const char *pubkeyname = "pubkey.txt";
 
774
    const char *seckeyname = "seckey.txt";
 
775
    mandos_context mc = { .simple_poll = NULL, .server = NULL,
 
776
                          .dh_bits = 1024, .priority = "SECURE256"
 
777
                          ":!CTYPE-X.509:+CTYPE-OPENPGP" };
 
778
    bool gnutls_initalized = false;
 
779
    
 
780
    {
 
781
      struct argp_option options[] = {
 
782
        { .name = "debug", .key = 128,
 
783
          .doc = "Debug mode", .group = 3 },
 
784
        { .name = "connect", .key = 'c',
 
785
          .arg = "ADDRESS:PORT",
 
786
          .doc = "Connect directly to a specific Mandos server",
 
787
          .group = 1 },
 
788
        { .name = "interface", .key = 'i',
 
789
          .arg = "NAME",
 
790
          .doc = "Interface that will be used to search for Mandos"
 
791
          " servers",
 
792
          .group = 1 },
 
793
        { .name = "keydir", .key = 'd',
 
794
          .arg = "DIRECTORY",
 
795
          .doc = "Directory to read the OpenPGP key files from",
 
796
          .group = 1 },
 
797
        { .name = "seckey", .key = 's',
 
798
          .arg = "FILE",
 
799
          .doc = "OpenPGP secret key file base name",
 
800
          .group = 1 },
 
801
        { .name = "pubkey", .key = 'p',
 
802
          .arg = "FILE",
 
803
          .doc = "OpenPGP public key file base name",
 
804
          .group = 2 },
 
805
        { .name = "dh-bits", .key = 129,
 
806
          .arg = "BITS",
 
807
          .doc = "Bit length of the prime number used in the"
 
808
          " Diffie-Hellman key exchange",
 
809
          .group = 2 },
 
810
        { .name = "priority", .key = 130,
 
811
          .arg = "STRING",
 
812
          .doc = "GnuTLS priority string for the TLS handshake",
 
813
          .group = 1 },
 
814
        { .name = NULL }
 
815
      };
 
816
      
 
817
      error_t parse_opt (int key, char *arg,
 
818
                         struct argp_state *state) {
 
819
        /* Get the INPUT argument from `argp_parse', which we know is
 
820
           a pointer to our plugin list pointer. */
 
821
        switch (key) {
 
822
        case 128:               /* --debug */
 
823
          debug = true;
 
824
          break;
 
825
        case 'c':               /* --connect */
 
826
          connect_to = arg;
 
827
          break;
 
828
        case 'i':               /* --interface */
 
829
          interface = arg;
 
830
          break;
 
831
        case 'd':               /* --keydir */
 
832
          keydir = arg;
 
833
          break;
 
834
        case 's':               /* --seckey */
 
835
          seckeyname = arg;
 
836
          break;
 
837
        case 'p':               /* --pubkey */
 
838
          pubkeyname = arg;
 
839
          break;
 
840
        case 129:               /* --dh-bits */
 
841
          errno = 0;
 
842
          mc.dh_bits = (unsigned int) strtol(arg, NULL, 10);
 
843
          if (errno){
 
844
            perror("strtol");
 
845
            exit(EXIT_FAILURE);
 
846
          }
 
847
          break;
 
848
        case 130:               /* --priority */
 
849
          mc.priority = arg;
 
850
          break;
 
851
        case ARGP_KEY_ARG:
 
852
          argp_usage (state);
 
853
        case ARGP_KEY_END:
 
854
          break;
 
855
        default:
 
856
          return ARGP_ERR_UNKNOWN;
 
857
        }
 
858
        return 0;
 
859
      }
 
860
      
 
861
      struct argp argp = { .options = options, .parser = parse_opt,
 
862
                           .args_doc = "",
 
863
                           .doc = "Mandos client -- Get and decrypt"
 
864
                           " passwords from a Mandos server" };
 
865
      ret = argp_parse (&argp, argc, argv, 0, 0, NULL);
 
866
      if (ret == ARGP_ERR_UNKNOWN){
 
867
        fprintf(stderr, "Unknown error while parsing arguments\n");
 
868
        exitcode = EXIT_FAILURE;
 
869
        goto end;
 
870
      }
 
871
    }
 
872
    
 
873
    pubkeyfilename = combinepath(keydir, pubkeyname);
 
874
    if (pubkeyfilename == NULL){
 
875
      perror("combinepath");
 
876
      exitcode = EXIT_FAILURE;
 
877
      goto end;
 
878
    }
 
879
    
 
880
    seckeyfilename = combinepath(keydir, seckeyname);
 
881
    if (seckeyfilename == NULL){
 
882
      perror("combinepath");
 
883
      exitcode = EXIT_FAILURE;
 
884
      goto end;
 
885
    }
 
886
    
 
887
    ret = init_gnutls_global(&mc, pubkeyfilename, seckeyfilename);
 
888
    if (ret == -1){
 
889
      fprintf(stderr, "init_gnutls_global failed\n");
 
890
      exitcode = EXIT_FAILURE;
 
891
      goto end;
 
892
    } else {
 
893
      gnutls_initalized = true;
 
894
    }
 
895
    
 
896
    /* If the interface is down, bring it up */
 
897
    {
 
898
      sd = socket(PF_INET6, SOCK_DGRAM, IPPROTO_IP);
 
899
      if(sd < 0) {
 
900
        perror("socket");
 
901
        exitcode = EXIT_FAILURE;
 
902
        goto end;
 
903
      }
 
904
      strcpy(network.ifr_name, interface);
 
905
      ret = ioctl(sd, SIOCGIFFLAGS, &network);
 
906
      if(ret == -1){
 
907
        perror("ioctl SIOCGIFFLAGS");
 
908
        exitcode = EXIT_FAILURE;
 
909
        goto end;
 
910
      }
 
911
      if((network.ifr_flags & IFF_UP) == 0){
 
912
        network.ifr_flags |= IFF_UP;
 
913
        ret = ioctl(sd, SIOCSIFFLAGS, &network);
 
914
        if(ret == -1){
 
915
          perror("ioctl SIOCSIFFLAGS");
 
916
          exitcode = EXIT_FAILURE;
 
917
          goto end;
 
918
        }
 
919
      }
 
920
      close(sd);
 
921
    }
 
922
    
 
923
    uid = getuid();
 
924
    gid = getgid();
 
925
    
 
926
    ret = setuid(uid);
 
927
    if (ret == -1){
 
928
      perror("setuid");
 
929
    }
 
930
    
 
931
    setgid(gid);
 
932
    if (ret == -1){
 
933
      perror("setgid");
 
934
    }
 
935
    
 
936
    if_index = (AvahiIfIndex) if_nametoindex(interface);
 
937
    if(if_index == 0){
 
938
      fprintf(stderr, "No such interface: \"%s\"\n", interface);
 
939
      exit(EXIT_FAILURE);
 
940
    }
 
941
    
 
942
    if(connect_to != NULL){
 
943
      /* Connect directly, do not use Zeroconf */
 
944
      /* (Mainly meant for debugging) */
 
945
      char *address = strrchr(connect_to, ':');
 
946
      if(address == NULL){
 
947
        fprintf(stderr, "No colon in address\n");
 
948
        exitcode = EXIT_FAILURE;
 
949
        goto end;
 
950
      }
 
951
      errno = 0;
 
952
      uint16_t port = (uint16_t) strtol(address+1, NULL, 10);
 
953
      if(errno){
 
954
        perror("Bad port number");
 
955
        exitcode = EXIT_FAILURE;
 
956
        goto end;
 
957
      }
 
958
      *address = '\0';
 
959
      address = connect_to;
 
960
      ret = start_mandos_communication(address, port, if_index, &mc);
 
961
      if(ret < 0){
 
962
        exitcode = EXIT_FAILURE;
 
963
      } else {
 
964
        exitcode = EXIT_SUCCESS;
 
965
      }
 
966
      goto end;
588
967
    }
589
968
    
590
969
    if (not debug){
591
970
      avahi_set_log_function(empty_log);
592
971
    }
593
972
    
594
 
    /* Initialize the psuedo-RNG */
595
 
    srand(time(NULL));
596
 
 
597
 
    /* Allocate main loop object */
598
 
    if (!(simple_poll = avahi_simple_poll_new())) {
599
 
        fprintf(stderr, "Failed to create simple poll object.\n");
600
 
        
601
 
        goto exit;
602
 
    }
603
 
 
604
 
    /* Do not publish any local records */
605
 
    avahi_server_config_init(&config);
606
 
    config.publish_hinfo = 0;
607
 
    config.publish_addresses = 0;
608
 
    config.publish_workstation = 0;
609
 
    config.publish_domain = 0;
610
 
 
611
 
    /* Allocate a new server */
612
 
    server = avahi_server_new(avahi_simple_poll_get(simple_poll), &config, NULL, NULL, &error);
613
 
 
614
 
    /* Free the configuration data */
615
 
    avahi_server_config_free(&config);
616
 
 
617
 
    /* Check if creating the server object succeeded */
618
 
    if (!server) {
619
 
        fprintf(stderr, "Failed to create server: %s\n", avahi_strerror(error));
620
 
        returncode = EXIT_FAILURE;
621
 
        goto exit;
622
 
    }
623
 
    
624
 
    /* Create the service browser */
625
 
    if (!(sb = avahi_s_service_browser_new(server, if_nametoindex("eth0"), AVAHI_PROTO_INET6, "_mandos._tcp", NULL, 0, browse_callback, server))) {
626
 
        fprintf(stderr, "Failed to create service browser: %s\n", avahi_strerror(avahi_server_errno(server)));
627
 
        returncode = EXIT_FAILURE;
628
 
        goto exit;
 
973
    /* Initialize the pseudo-RNG for Avahi */
 
974
    srand((unsigned int) time(NULL));
 
975
    
 
976
    /* Allocate main Avahi loop object */
 
977
    mc.simple_poll = avahi_simple_poll_new();
 
978
    if (mc.simple_poll == NULL) {
 
979
        fprintf(stderr, "Avahi: Failed to create simple poll"
 
980
                " object.\n");
 
981
        exitcode = EXIT_FAILURE;
 
982
        goto end;
 
983
    }
 
984
    
 
985
    {
 
986
      AvahiServerConfig config;
 
987
      /* Do not publish any local Zeroconf records */
 
988
      avahi_server_config_init(&config);
 
989
      config.publish_hinfo = 0;
 
990
      config.publish_addresses = 0;
 
991
      config.publish_workstation = 0;
 
992
      config.publish_domain = 0;
 
993
      
 
994
      /* Allocate a new server */
 
995
      mc.server = avahi_server_new(avahi_simple_poll_get
 
996
                                   (mc.simple_poll), &config, NULL,
 
997
                                   NULL, &error);
 
998
      
 
999
      /* Free the Avahi configuration data */
 
1000
      avahi_server_config_free(&config);
 
1001
    }
 
1002
    
 
1003
    /* Check if creating the Avahi server object succeeded */
 
1004
    if (mc.server == NULL) {
 
1005
        fprintf(stderr, "Failed to create Avahi server: %s\n",
 
1006
                avahi_strerror(error));
 
1007
        exitcode = EXIT_FAILURE;
 
1008
        goto end;
 
1009
    }
 
1010
    
 
1011
    /* Create the Avahi service browser */
 
1012
    sb = avahi_s_service_browser_new(mc.server, if_index,
 
1013
                                     AVAHI_PROTO_INET6,
 
1014
                                     "_mandos._tcp", NULL, 0,
 
1015
                                     browse_callback, &mc);
 
1016
    if (sb == NULL) {
 
1017
        fprintf(stderr, "Failed to create service browser: %s\n",
 
1018
                avahi_strerror(avahi_server_errno(mc.server)));
 
1019
        exitcode = EXIT_FAILURE;
 
1020
        goto end;
629
1021
    }
630
1022
    
631
1023
    /* Run the main loop */
632
 
 
 
1024
    
633
1025
    if (debug){
634
 
      fprintf(stderr, "Starting avahi loop search\n");
 
1026
      fprintf(stderr, "Starting Avahi loop search\n");
635
1027
    }
636
1028
    
637
 
    avahi_simple_poll_loop(simple_poll);
638
 
    
639
 
exit:
640
 
 
 
1029
    avahi_simple_poll_loop(mc.simple_poll);
 
1030
    
 
1031
 end:
 
1032
    
641
1033
    if (debug){
642
1034
      fprintf(stderr, "%s exiting\n", argv[0]);
643
1035
    }
644
1036
    
645
1037
    /* Cleanup things */
646
 
    if (sb)
 
1038
    if (sb != NULL)
647
1039
        avahi_s_service_browser_free(sb);
648
1040
    
649
 
    if (server)
650
 
        avahi_server_free(server);
651
 
 
652
 
    if (simple_poll)
653
 
        avahi_simple_poll_free(simple_poll);
654
 
 
655
 
    return returncode;
 
1041
    if (mc.server != NULL)
 
1042
        avahi_server_free(mc.server);
 
1043
    
 
1044
    if (mc.simple_poll != NULL)
 
1045
        avahi_simple_poll_free(mc.simple_poll);
 
1046
    free(pubkeyfilename);
 
1047
    free(seckeyfilename);
 
1048
    
 
1049
    if (gnutls_initalized){
 
1050
      gnutls_certificate_free_credentials(mc.cred);
 
1051
      gnutls_global_deinit ();
 
1052
    }
 
1053
    
 
1054
    return exitcode;
656
1055
}