/mandos/release

To get this branch, use:
bzr branch http://bzr.recompile.se/loggerhead/mandos/release

« back to all changes in this revision

Viewing changes to plugins.d/password-request.xml

  • Committer: Teddy Hogeborn
  • Date: 2008-09-03 17:34:29 UTC
  • Revision ID: teddy@fukt.bsnet.se-20080903173429-db2mjtddf7mgbx8z
* plugins.d/password-request.xml (OVERVIEW): Refer to
                                             password-prompt(8) by
                                             name.
  (SECURITY): Improved wording.  Add paragraph about insecurity of
              ping.
  (SEE ALSO): Add references to cryptsetup(8) and crypttab(5).
              Changed to be a <variablelist> and added text.

Show diffs side-by-side

added added

removed removed

Lines of Context:
plugins.d/password-request.xml
1
1
<?xml version="1.0" encoding="UTF-8"?>
2
2
<!DOCTYPE refentry PUBLIC "-//OASIS//DTD DocBook XML V4.5//EN"
3
3
        "http://www.oasis-open.org/docbook/xml/4.5/docbookx.dtd" [
4
 
<!ENTITY COMMANDNAME "mandos-client">
5
 
<!ENTITY TIMESTAMP "2011-10-03">
6
 
<!ENTITY % common SYSTEM "../common.ent">
7
 
%common;
 
4
<!ENTITY VERSION "1.0">
 
5
<!ENTITY COMMANDNAME "password-request">
 
6
<!ENTITY TIMESTAMP "2008-09-03">
8
7
]>
9
8
 
10
9
<refentry xmlns:xi="http://www.w3.org/2001/XInclude">
11
10
  <refentryinfo>
12
11
    <title>Mandos Manual</title>
13
 
    <!-- NWalsh’s docbook scripts use this to generate the footer: -->
 
12
    <!-- Nwalsh’s docbook scripts use this to generate the footer: -->
14
13
    <productname>Mandos</productname>
15
 
    <productnumber>&version;</productnumber>
 
14
    <productnumber>&VERSION;</productnumber>
16
15
    <date>&TIMESTAMP;</date>
17
16
    <authorgroup>
18
17
      <author>
19
18
        <firstname>Björn</firstname>
20
19
        <surname>Påhlsson</surname>
21
20
        <address>
22
 
          <email>belorn@recompile.se</email>
 
21
          <email>belorn@fukt.bsnet.se</email>
23
22
        </address>
24
23
      </author>
25
24
      <author>
26
25
        <firstname>Teddy</firstname>
27
26
        <surname>Hogeborn</surname>
28
27
        <address>
29
 
          <email>teddy@recompile.se</email>
 
28
          <email>teddy@fukt.bsnet.se</email>
30
29
        </address>
31
30
      </author>
32
31
    </authorgroup>
33
32
    <copyright>
34
33
      <year>2008</year>
35
 
      <year>2009</year>
36
 
      <year>2011</year>
37
34
      <holder>Teddy Hogeborn</holder>
38
35
      <holder>Björn Påhlsson</holder>
39
36
    </copyright>
40
37
    <xi:include href="../legalnotice.xml"/>
41
38
  </refentryinfo>
42
 
  
 
39
 
43
40
  <refmeta>
44
41
    <refentrytitle>&COMMANDNAME;</refentrytitle>
45
42
    <manvolnum>8mandos</manvolnum>
48
45
  <refnamediv>
49
46
    <refname><command>&COMMANDNAME;</command></refname>
50
47
    <refpurpose>
51
 
      Client for <application>Mandos</application>
 
48
      Client for mandos
52
49
    </refpurpose>
53
50
  </refnamediv>
54
 
  
 
51
 
55
52
  <refsynopsisdiv>
56
53
    <cmdsynopsis>
57
54
      <command>&COMMANDNAME;</command>
58
55
      <group>
59
56
        <arg choice="plain"><option>--connect
60
 
        <replaceable>ADDRESS</replaceable><literal>:</literal
 
57
        <replaceable>IPADDR</replaceable><literal>:</literal
61
58
        ><replaceable>PORT</replaceable></option></arg>
62
59
        <arg choice="plain"><option>-c
63
 
        <replaceable>ADDRESS</replaceable><literal>:</literal
 
60
        <replaceable>IPADDR</replaceable><literal>:</literal
64
61
        ><replaceable>PORT</replaceable></option></arg>
65
62
      </group>
66
63
      <sbr/>
67
64
      <group>
 
65
        <arg choice="plain"><option>--keydir
 
66
        <replaceable>DIRECTORY</replaceable></option></arg>
 
67
        <arg choice="plain"><option>-d
 
68
        <replaceable>DIRECTORY</replaceable></option></arg>
 
69
      </group>
 
70
      <sbr/>
 
71
      <group>
68
72
        <arg choice="plain"><option>--interface
69
73
        <replaceable>NAME</replaceable></option></arg>
70
74
        <arg choice="plain"><option>-i
94
98
      </arg>
95
99
      <sbr/>
96
100
      <arg>
97
 
        <option>--delay <replaceable>SECONDS</replaceable></option>
98
 
      </arg>
99
 
      <sbr/>
100
 
      <arg>
101
 
        <option>--retry <replaceable>SECONDS</replaceable></option>
102
 
      </arg>
103
 
      <sbr/>
104
 
      <arg>
105
101
        <option>--debug</option>
106
102
      </arg>
107
103
    </cmdsynopsis>
124
120
      </group>
125
121
    </cmdsynopsis>
126
122
  </refsynopsisdiv>
127
 
  
 
123
 
128
124
  <refsect1 id="description">
129
125
    <title>DESCRIPTION</title>
130
126
    <para>
131
127
      <command>&COMMANDNAME;</command> is a client program that
132
128
      communicates with <citerefentry><refentrytitle
133
129
      >mandos</refentrytitle><manvolnum>8</manvolnum></citerefentry>
134
 
      to get a password.  In slightly more detail, this client program
135
 
      brings up a network interface, uses the interface’s IPv6
136
 
      link-local address to get network connectivity, uses Zeroconf to
137
 
      find servers on the local network, and communicates with servers
138
 
      using TLS with an OpenPGP key to ensure authenticity and
139
 
      confidentiality.  This client program keeps running, trying all
140
 
      servers on the network, until it receives a satisfactory reply
141
 
      or a TERM signal.  After all servers have been tried, all
142
 
      servers are periodically retried.  If no servers are found it
143
 
      will wait indefinitely for new servers to appear.
 
130
      to get a password.  It uses IPv6 link-local addresses to get
 
131
      network connectivity, Zeroconf to find servers, and TLS with an
 
132
      OpenPGP key to ensure authenticity and confidentiality.  It
 
133
      keeps running, trying all servers on the network, until it
 
134
      receives a satisfactory reply or a TERM signal is recieved.
144
135
    </para>
145
136
    <para>
146
137
      This program is not meant to be run directly; it is really meant
200
191
      </varlistentry>
201
192
      
202
193
      <varlistentry>
203
 
        <term><option>--interface=<replaceable
204
 
        >NAME</replaceable></option></term>
 
194
        <term><option>--keydir=<replaceable
 
195
        >DIRECTORY</replaceable></option></term>
 
196
        <term><option>-d
 
197
        <replaceable>DIRECTORY</replaceable></option></term>
 
198
        <listitem>
 
199
          <para>
 
200
            Directory to read the OpenPGP key files
 
201
            <filename>pubkey.txt</filename> and
 
202
            <filename>seckey.txt</filename> from.  The default is
 
203
            <filename>/conf/conf.d/mandos</filename> (in the initial
 
204
            <acronym>RAM</acronym> disk environment).
 
205
          </para>
 
206
        </listitem>
 
207
      </varlistentry>
 
208
 
 
209
      <varlistentry>
 
210
        <term><option>--interface=
 
211
        <replaceable>NAME</replaceable></option></term>
205
212
        <term><option>-i
206
213
        <replaceable>NAME</replaceable></option></term>
207
214
        <listitem>
208
215
          <para>
209
216
            Network interface that will be brought up and scanned for
210
 
            Mandos servers to connect to.  The default is the empty
211
 
            string, which will automatically choose an appropriate
212
 
            interface.
 
217
            Mandos servers to connect to.  The default it
 
218
            <quote><literal>eth0</literal></quote>.
213
219
          </para>
214
220
          <para>
215
221
            If the <option>--connect</option> option is used, this
216
222
            specifies the interface to use to connect to the address
217
223
            given.
218
224
          </para>
219
 
          <para>
220
 
            Note that since this program will normally run in the
221
 
            initial RAM disk environment, the interface must be an
222
 
            interface which exists at that stage.  Thus, the interface
223
 
            can not be a pseudo-interface such as <quote>br0</quote>
224
 
            or <quote>tun0</quote>; such interfaces will not exist
225
 
            until much later in the boot process, and can not be used
226
 
            by this program.
227
 
          </para>
228
 
          <para>
229
 
            <replaceable>NAME</replaceable> can be the string
230
 
            <quote><literal>none</literal></quote>; this will not use
231
 
            any specific interface, and will not bring up an interface
232
 
            on startup.  This is not recommended, and only meant for
233
 
            advanced users.
234
 
          </para>
235
225
        </listitem>
236
226
      </varlistentry>
237
227
      
242
232
        <replaceable>FILE</replaceable></option></term>
243
233
        <listitem>
244
234
          <para>
245
 
            OpenPGP public key file name.  The default name is
246
 
            <quote><filename>/conf/conf.d/mandos/pubkey.txt</filename
247
 
            ></quote>.
 
235
            OpenPGP public key file base name.  This will be combined
 
236
            with the directory from the <option>--keydir</option>
 
237
            option to form an absolute file name.  The default name is
 
238
            <quote><literal>pubkey.txt</literal></quote>.
248
239
          </para>
249
240
        </listitem>
250
241
      </varlistentry>
251
 
      
 
242
 
252
243
      <varlistentry>
253
244
        <term><option>--seckey=<replaceable
254
245
        >FILE</replaceable></option></term>
256
247
        <replaceable>FILE</replaceable></option></term>
257
248
        <listitem>
258
249
          <para>
259
 
            OpenPGP secret key file name.  The default name is
260
 
            <quote><filename>/conf/conf.d/mandos/seckey.txt</filename
261
 
            ></quote>.
 
250
            OpenPGP secret key file base name.  This will be combined
 
251
            with the directory from the <option>--keydir</option>
 
252
            option to form an absolute file name.  The default name is
 
253
            <quote><literal>seckey.txt</literal></quote>.
262
254
          </para>
263
255
        </listitem>
264
256
      </varlistentry>
271
263
                      xpointer="priority"/>
272
264
        </listitem>
273
265
      </varlistentry>
274
 
      
 
266
 
275
267
      <varlistentry>
276
268
        <term><option>--dh-bits=<replaceable
277
269
        >BITS</replaceable></option></term>
282
274
          </para>
283
275
        </listitem>
284
276
      </varlistentry>
285
 
 
286
 
      <varlistentry>
287
 
        <term><option>--delay=<replaceable
288
 
        >SECONDS</replaceable></option></term>
289
 
        <listitem>
290
 
          <para>
291
 
            After bringing the network interface up, the program waits
292
 
            for the interface to arrive in a <quote>running</quote>
293
 
            state before proceeding.  During this time, the kernel log
294
 
            level will be lowered to reduce clutter on the system
295
 
            console, alleviating any other plugins which might be
296
 
            using the system console.  This option sets the upper
297
 
            limit of seconds to wait.  The default is 2.5 seconds.
298
 
          </para>
299
 
        </listitem>
300
 
      </varlistentry>
301
 
 
302
 
      <varlistentry>
303
 
        <term><option>--retry=<replaceable
304
 
        >SECONDS</replaceable></option></term>
305
 
        <listitem>
306
 
          <para>
307
 
            All Mandos servers are tried repeatedly until a password
308
 
            is received.  This value specifies, in seconds, how long
309
 
            between each successive try <emphasis>for the same
310
 
            server</emphasis>.  The default is 10 seconds.
311
 
          </para>
312
 
        </listitem>
313
 
      </varlistentry>
314
277
      
315
278
      <varlistentry>
316
279
        <term><option>--debug</option></term>
346
309
          </para>
347
310
        </listitem>
348
311
      </varlistentry>
349
 
      
 
312
 
350
313
      <varlistentry>
351
314
        <term><option>--version</option></term>
352
315
        <term><option>-V</option></term>
358
321
      </varlistentry>
359
322
    </variablelist>
360
323
  </refsect1>
361
 
  
 
324
 
362
325
  <refsect1 id="overview">
363
326
    <title>OVERVIEW</title>
364
327
    <xi:include href="../overview.xml"/>
373
336
      <filename>/etc/crypttab</filename>, but it would then be
374
337
      impossible to enter a password for the encrypted root disk at
375
338
      the console, since this program does not read from the console
376
 
      at all.  This is why a separate plugin runner (<citerefentry>
377
 
      <refentrytitle>plugin-runner</refentrytitle>
378
 
      <manvolnum>8mandos</manvolnum></citerefentry>) is used to run
379
 
      both this program and others in in parallel,
380
 
      <emphasis>one</emphasis> of which will prompt for passwords on
381
 
      the system console.
 
339
      at all.  This is why a separate plugin (<citerefentry>
 
340
      <refentrytitle>password-prompt</refentrytitle>
 
341
      <manvolnum>8mandos</manvolnum></citerefentry>) does that, which
 
342
      will be run in parallell to this one by the plugin runner.
382
343
    </para>
383
344
  </refsect1>
384
345
  
389
350
      server could be found and the password received from it could be
390
351
      successfully decrypted and output on standard output.  The
391
352
      program will exit with a non-zero exit status only if a critical
392
 
      error occurs.  Otherwise, it will forever connect to any
393
 
      discovered <application>Mandos</application> servers, trying to
394
 
      get a decryptable password and print it.
 
353
      error occurs.  Otherwise, it will forever connect to new
 
354
      <application>Mandos</application> servers as they appear, trying
 
355
      to get a decryptable password.
395
356
    </para>
396
357
  </refsect1>
397
358
  
405
366
    </para>
406
367
  </refsect1>
407
368
  
408
 
  <refsect1 id="files">
 
369
  <refsect1 id="file">
409
370
    <title>FILES</title>
410
371
    <variablelist>
411
372
      <varlistentry>
430
391
<!--     <para> -->
431
392
<!--     </para> -->
432
393
<!--   </refsect1> -->
433
 
  
 
394
 
434
395
  <refsect1 id="example">
435
396
    <title>EXAMPLE</title>
436
397
    <para>
450
411
    </informalexample>
451
412
    <informalexample>
452
413
      <para>
453
 
        Search for Mandos servers (and connect to them) using another
454
 
        interface:
 
414
        Search for Mandos servers on another interface:
455
415
      </para>
456
416
      <para>
457
417
        <!-- do not wrap this line -->
460
420
    </informalexample>
461
421
    <informalexample>
462
422
      <para>
463
 
        Run in debug mode, and use a custom key:
 
423
        Run in debug mode, and use a custom key directory:
464
424
      </para>
465
425
      <para>
466
 
 
467
 
<!-- do not wrap this line -->
468
 
<userinput>&COMMANDNAME; --debug --pubkey keydir/pubkey.txt --seckey keydir/seckey.txt</userinput>
469
 
 
 
426
        <!-- do not wrap this line -->
 
427
        <userinput>&COMMANDNAME; --debug --keydir keydir</userinput>
470
428
      </para>
471
429
    </informalexample>
472
430
    <informalexample>
473
431
      <para>
474
 
        Run in debug mode, with a custom key, and do not use Zeroconf
475
 
        to locate a server; connect directly to the IPv6 link-local
 
432
        Run in debug mode, with a custom key directory, and do not use
 
433
        Zeroconf to locate a server; connect directly to the IPv6
476
434
        address <quote><systemitem class="ipaddress"
477
 
        >fe80::aede:48ff:fe71:f6f2</systemitem></quote>, port 4711,
478
 
        using interface eth2:
 
435
        >2001:db8:f983:bd0b:30de:ae4a:71f2:f672</systemitem></quote>,
 
436
        port 4711, using interface eth2:
479
437
      </para>
480
438
      <para>
481
439
 
482
440
<!-- do not wrap this line -->
483
 
<userinput>&COMMANDNAME; --debug --pubkey keydir/pubkey.txt --seckey keydir/seckey.txt --connect fe80::aede:48ff:fe71:f6f2:4711 --interface eth2</userinput>
 
441
<userinput>&COMMANDNAME; --debug --keydir keydir --connect 2001:db8:f983:bd0b:30de:ae4a:71f2:f672:4711 --interface eth2</userinput>
484
442
 
485
443
      </para>
486
444
    </informalexample>
487
445
  </refsect1>
488
 
  
 
446
 
489
447
  <refsect1 id="security">
490
448
    <title>SECURITY</title>
491
449
    <para>
511
469
      The only remaining weak point is that someone with physical
512
470
      access to the client hard drive might turn off the client
513
471
      computer, read the OpenPGP keys directly from the hard drive,
514
 
      and communicate with the server.  To safeguard against this, the
515
 
      server is supposed to notice the client disappearing and stop
516
 
      giving out the encrypted data.  Therefore, it is important to
517
 
      set the timeout and checker interval values tightly on the
518
 
      server.  See <citerefentry><refentrytitle
 
472
      and communicate with the server.  The defense against this is
 
473
      that the server is supposed to notice the client disappearing
 
474
      and will stop giving out the encrypted data.  Therefore, it is
 
475
      important to set the timeout and checker interval values tightly
 
476
      on the server.  See <citerefentry><refentrytitle
519
477
      >mandos</refentrytitle><manvolnum>8</manvolnum></citerefentry>.
520
478
    </para>
521
479
    <para>
532
490
      confidential.
533
491
    </para>
534
492
  </refsect1>
535
 
  
 
493
 
536
494
  <refsect1 id="see_also">
537
495
    <title>SEE ALSO</title>
538
496
    <para>
539
 
      <citerefentry><refentrytitle>intro</refentrytitle>
540
 
      <manvolnum>8mandos</manvolnum></citerefentry>,
541
497
      <citerefentry><refentrytitle>cryptsetup</refentrytitle>
542
498
      <manvolnum>8</manvolnum></citerefentry>,
543
499
      <citerefentry><refentrytitle>crypttab</refentrytitle>
665
621
      </varlistentry>
666
622
    </variablelist>
667
623
  </refsect1>
 
624
 
668
625
</refentry>
669
 
 
670
626
<!-- Local Variables: -->
671
627
<!-- time-stamp-start: "<!ENTITY TIMESTAMP [\"']" -->
672
628
<!-- time-stamp-end: "[\"']>" -->