/mandos/release

To get this branch, use:
bzr branch http://bzr.recompile.se/loggerhead/mandos/release

« back to all changes in this revision

Viewing changes to mandos-keygen

  • Committer: Teddy Hogeborn
  • Date: 2008-07-20 06:33:48 UTC
  • Revision ID: teddy@fukt.bsnet.se-20080720063348-jscgy5p0itrgvlo8
* mandos-clients.conf ([foo]): Uncommented.
  ([foo]/secret): New.
  ([foo]/secfile): Commented out.
  ([foo]/checker): Changed to "fping -q -- %%(fqdn)s".
  ([foo]/timeout): New.

* server.py: New modeline for Python and Emacs.  Set a logging format.
  (Client.__init__): Bug fix: Choose either the value from the options
                     object or pass the argument through string_to_delta
                     for both "timeout" and "interval".
  (Client.checker_callback): Bug fix: Do not log spurious "Checker for
                             <foo> failed" messages.
  (Client.start_checker): Moved "Starting checker" log message down to
                          just before actually starting the subprocess.
                          Do not redirect the subprocesses' stdout to a
                          pipe.
  (peer_certificate, fingerprint): Added docstrings.
  (entry_group_state_changed): Call "killme()" instead of
                               "main_loop.quit()".
  (daemon, killme): New functions.
  (exitstatus, main_loop_started): New global variables.
  (__main__): Removed the "--cert", "--key", "--ca", and "--crl"
              options.  Removed the sleep command from the default
              checker.  Add a console logger in debug mode.  Call
              "killme()" instead of "main_loop.quit()" when there are no
              more clients.  Call "daemon()" if not in debug mode.
              Register "cleanup()" to run at exit.  Ignore some
              signals.  Catch DBusException to detect another running
              server and exit cleanly.  Exit with "exitstatus".
  (cleanup): New function.

Show diffs side-by-side

added added

removed removed

Lines of Context:
mandos-keygen
1
 
#!/bin/sh -e
2
 
# 
3
 
# Mandos key generator - create a new OpenPGP key for a Mandos client
4
 
# 
5
 
# Copyright © 2007-2008 Teddy Hogeborn & Björn Påhlsson
6
 
# 
7
 
# This program is free software: you can redistribute it and/or modify
8
 
# it under the terms of the GNU General Public License as published by
9
 
# the Free Software Foundation, either version 3 of the License, or
10
 
# (at your option) any later version.
11
 
#
12
 
#     This program is distributed in the hope that it will be useful,
13
 
#     but WITHOUT ANY WARRANTY; without even the implied warranty of
14
 
#     MERCHANTABILITY or FITNESS FOR A PARTICULAR PURPOSE.  See the
15
 
#     GNU General Public License for more details.
16
 
# 
17
 
# You should have received a copy of the GNU General Public License
18
 
# along with this program.  If not, see <http://www.gnu.org/licenses/>.
19
 
# 
20
 
# Contact the authors at <mandos@fukt.bsnet.se>.
21
 
# 
22
 
 
23
 
VERSION="1.0"
24
 
 
25
 
KEYDIR="/etc/keys/mandos"
26
 
KEYTYPE=DSA
27
 
KEYLENGTH=2048
28
 
SUBKEYTYPE=ELG-E
29
 
SUBKEYLENGTH=2048
30
 
KEYNAME="`hostname --fqdn`"
31
 
KEYEMAIL=""
32
 
KEYCOMMENT="Mandos client key"
33
 
KEYEXPIRE=0
34
 
FORCE=no
35
 
KEYCOMMENT_ORIG="$KEYCOMMENT"
36
 
mode=keygen
37
 
 
38
 
if [ ! -d "$KEYDIR" ]; then
39
 
    KEYDIR="/etc/mandos/keys"
40
 
fi
41
 
 
42
 
# Parse options
43
 
TEMP=`getopt --options vhd:t:l:n:e:c:x:f \
44
 
    --longoptions version,help,password,dir:,type:,length:,subtype:,sublength:,name:,email:,comment:,expire:,force \
45
 
    --name "$0" -- "$@"`
46
 
 
47
 
help(){
48
 
basename="`basename $0`"
49
 
cat <<EOF
50
 
Usage: $basename [ -v | --version ]
51
 
       $basename [ -h | --help ]
52
 
   Key creation:
53
 
       $basename [ OPTIONS ]
54
 
   Encrypted password creation:
55
 
       $basename { -p | --password } [ --name NAME ] [ --dir DIR]
56
 
 
57
 
Key creation options:
58
 
  -v, --version         Show program's version number and exit
59
 
  -h, --help            Show this help message and exit
60
 
  -d DIR, --dir DIR     Target directory for key files
61
 
  -t TYPE, --type TYPE  Key type.  Default is DSA.
62
 
  -l BITS, --length BITS
63
 
                        Key length in bits.  Default is 2048.
64
 
  -s TYPE, --subtype TYPE
65
 
                        Subkey type.  Default is ELG-E.
66
 
  -L BITS, --sublength BITS
67
 
                        Subkey length in bits.  Default is 2048.
68
 
  -n NAME, --name NAME  Name of key.  Default is the FQDN.
69
 
  -e ADDRESS, --email ADDRESS
70
 
                        Email address of key.  Default is empty.
71
 
  -c TEXT, --comment TEXT
72
 
                        Comment field for key.  The default value is
73
 
                        "Mandos client key".
74
 
  -x TIME, --expire TIME
75
 
                        Key expire time.  Default is no expiration.
76
 
                        See gpg(1) for syntax.
77
 
  -f, --force           Force overwriting old keys.
78
 
 
79
 
Password creation options:
80
 
  -p, --password        Create an encrypted password using the keys in
81
 
                        the key directory.  All options other than
82
 
                        --dir and --name are ignored.
83
 
EOF
84
 
}
85
 
 
86
 
eval set -- "$TEMP"
87
 
while :; do
88
 
    case "$1" in
89
 
        -p|--password) mode=password; shift;;
90
 
        -d|--dir) KEYDIR="$2"; shift 2;;
91
 
        -t|--type) KEYTYPE="$2"; shift 2;;
92
 
        -s|--subtype) SUBKEYTYPE="$2"; shift 2;;
93
 
        -l|--length) KEYLENGTH="$2"; shift 2;;
94
 
        -L|--sublength) SUBKEYLENGTH="$2"; shift 2;;
95
 
        -n|--name) KEYNAME="$2"; shift 2;;
96
 
        -e|--email) KEYEMAIL="$2"; shift 2;;
97
 
        -c|--comment) KEYCOMMENT="$2"; shift 2;;
98
 
        -x|--expire) KEYEXPIRE="$2"; shift 2;;
99
 
        -f|--force) FORCE=yes; shift;;
100
 
        -v|--version) echo "$0 $VERSION"; exit;;
101
 
        -h|--help) help; exit;;
102
 
        --) shift; break;;
103
 
        *) echo "Internal error" >&2; exit 1;;
104
 
    esac
105
 
done
106
 
if [ "$#" -gt 0 ]; then
107
 
    echo "Unknown arguments: '$@'" >&2
108
 
    exit 1
109
 
fi
110
 
 
111
 
SECKEYFILE="$KEYDIR/seckey.txt"
112
 
PUBKEYFILE="$KEYDIR/pubkey.txt"
113
 
 
114
 
# Check for some invalid values
115
 
if [ ! -d "$KEYDIR" ]; then
116
 
    echo "$KEYDIR not a directory" >&2
117
 
    exit 1
118
 
fi
119
 
if [ ! -r "$KEYDIR" ]; then
120
 
    echo "Directory $KEYDIR not readable" >&2
121
 
    exit 1
122
 
fi
123
 
 
124
 
if [ "$mode" = keygen ]; then
125
 
    if [ ! -w "$KEYDIR" ]; then
126
 
        echo "Directory $KEYDIR not writeable" >&2
127
 
        exit 1
128
 
    fi
129
 
    if [ -z "$KEYTYPE" ]; then
130
 
        echo "Empty key type" >&2
131
 
        exit 1
132
 
    fi
133
 
    
134
 
    if [ -z "$KEYNAME" ]; then
135
 
        echo "Empty key name" >&2
136
 
        exit 1
137
 
    fi
138
 
    
139
 
    if [ -z "$KEYLENGTH" ] || [ "$KEYLENGTH" -lt 512 ]; then
140
 
        echo "Invalid key length" >&2
141
 
        exit 1
142
 
    fi
143
 
 
144
 
    if [ -z "$KEYEXPIRE" ]; then
145
 
        echo "Empty key expiration" >&2
146
 
        exit 1
147
 
    fi
148
 
    
149
 
    # Make FORCE be 0 or 1
150
 
    case "$FORCE" in
151
 
        [Yy][Ee][Ss]|[Tt][Rr][Uu][Ee]) FORCE=1;;
152
 
        [Nn][Oo]|[Ff][Aa][Ll][Ss][Ee]|*) FORCE=0;;
153
 
    esac
154
 
    
155
 
    if [ \( -e "$SECKEYFILE" -o -e "$PUBKEYFILE" \) \
156
 
        -a "$FORCE" -eq 0 ]; then
157
 
        echo "Refusing to overwrite old key files; use --force" >&2
158
 
        exit 1
159
 
    fi
160
 
    
161
 
    # Set lines for GnuPG batch file
162
 
    if [ -n "$KEYCOMMENT" ]; then
163
 
        KEYCOMMENTLINE="Name-Comment: $KEYCOMMENT"
164
 
    fi
165
 
    if [ -n "$KEYEMAIL" ]; then
166
 
        KEYEMAILLINE="Name-Email: $KEYEMAIL"
167
 
    fi
168
 
 
169
 
    # Create temporary gpg batch file
170
 
    BATCHFILE="`mktemp -t mandos-keygen-batch.XXXXXXXXXX`"
171
 
fi
172
 
 
173
 
if [ "$mode" = password ]; then
174
 
    # Create temporary encrypted password file
175
 
    SECFILE="`mktemp -t mandos-keygen-secfile.XXXXXXXXXX`"
176
 
fi
177
 
 
178
 
# Create temporary key ring directory
179
 
RINGDIR="`mktemp -d -t mandos-keygen-keyrings.XXXXXXXXXX`"
180
 
 
181
 
# Remove temporary files on exit
182
 
trap "
183
 
set +e; \
184
 
test -n \"$SECFILE\" && shred --remove \"$SECFILE\"; \
185
 
shred --remove \"$RINGDIR\"/sec*;
186
 
test -n \"$BATCHFILE\" && rm --force \"$BATCHFILE\"; \
187
 
rm --recursive --force \"$RINGDIR\";
188
 
stty echo; \
189
 
" EXIT
190
 
 
191
 
umask 077
192
 
 
193
 
if [ "$mode" = keygen ]; then
194
 
    # Create batch file for GnuPG
195
 
    cat >"$BATCHFILE" <<-EOF
196
 
        Key-Type: $KEYTYPE
197
 
        Key-Length: $KEYLENGTH
198
 
        #Key-Usage: encrypt,sign,auth
199
 
        Subkey-Type: $SUBKEYTYPE
200
 
        Subkey-Length: $SUBKEYLENGTH
201
 
        #Subkey-Usage: encrypt,sign,auth
202
 
        Name-Real: $KEYNAME
203
 
        $KEYCOMMENTLINE
204
 
        $KEYEMAILLINE
205
 
        Expire-Date: $KEYEXPIRE
206
 
        #Preferences: <string>
207
 
        #Handle: <no-spaces>
208
 
        #%pubring pubring.gpg
209
 
        #%secring secring.gpg
210
 
        %commit
211
 
        EOF
212
 
    
213
 
    # Generate a new key in the key rings
214
 
    gpg --quiet --batch --no-tty --no-options --enable-dsa2 \
215
 
        --homedir "$RINGDIR" --trust-model always \
216
 
        --gen-key "$BATCHFILE"
217
 
    rm --force "$BATCHFILE"
218
 
    
219
 
    # Backup any old key files
220
 
    if cp --backup=numbered --force "$SECKEYFILE" "$SECKEYFILE" \
221
 
        2>/dev/null; then
222
 
        shred --remove "$SECKEYFILE"
223
 
    fi
224
 
    if cp --backup=numbered --force "$PUBKEYFILE" "$PUBKEYFILE" \
225
 
        2>/dev/null; then
226
 
        rm --force "$PUBKEYFILE"
227
 
    fi
228
 
    
229
 
    FILECOMMENT="Mandos client key for $KEYNAME"
230
 
    if [ "$KEYCOMMENT" != "$KEYCOMMENT_ORIG" ]; then
231
 
        FILECOMMENT="$FILECOMMENT ($KEYCOMMENT)"
232
 
    fi
233
 
    
234
 
    if [ -n "$KEYEMAIL" ]; then
235
 
        FILECOMMENT="$FILECOMMENT <$KEYEMAIL>"
236
 
    fi
237
 
    
238
 
    # Export keys from key rings to key files
239
 
    gpg --quiet --batch --no-tty --no-options --enable-dsa2 \
240
 
        --homedir "$RINGDIR" --armor --export-options export-minimal \
241
 
        --comment "$FILECOMMENT" --output "$SECKEYFILE" \
242
 
        --export-secret-keys
243
 
    gpg --quiet --batch --no-tty --no-options --enable-dsa2 \
244
 
        --homedir "$RINGDIR" --armor --export-options export-minimal \
245
 
        --comment "$FILECOMMENT" --output "$PUBKEYFILE" --export
246
 
fi
247
 
 
248
 
if [ "$mode" = password ]; then
249
 
    # Import keys into temporary key rings
250
 
    gpg --quiet --batch --no-tty --no-options --enable-dsa2 \
251
 
        --homedir "$RINGDIR" --trust-model always --armor \
252
 
        --import "$SECKEYFILE"
253
 
    gpg --quiet --batch --no-tty --no-options --enable-dsa2 \
254
 
        --homedir "$RINGDIR" --trust-model always --armor \
255
 
        --import "$PUBKEYFILE"
256
 
    
257
 
    # Get fingerprint of key
258
 
    FINGERPRINT="`gpg --quiet --batch --no-tty --no-options \
259
 
        --enable-dsa2 --homedir \"$RINGDIR\" --trust-model always \
260
 
        --fingerprint --with-colons \
261
 
        | sed --quiet \
262
 
        --expression='/^fpr:/{s/^fpr:.*:\\([0-9A-Z]*\\):\$/\\1/p;q}'`"
263
 
    
264
 
    test -n "$FINGERPRINT"
265
 
    
266
 
    FILECOMMENT="Encrypted password for a Mandos client"
267
 
    
268
 
    stty -echo
269
 
    echo -n "Enter passphrase: " >&2
270
 
    head --lines=1 | tr --delete '\n' \
271
 
        | gpg --quiet --batch --no-tty --no-options --enable-dsa2 \
272
 
        --homedir "$RINGDIR" --trust-model always --armor --encrypt \
273
 
        --recipient "$FINGERPRINT" --comment "$FILECOMMENT" \
274
 
        > "$SECFILE"
275
 
    echo >&2
276
 
    stty echo
277
 
    
278
 
    cat <<-EOF
279
 
        [$KEYNAME]
280
 
        host = $KEYNAME
281
 
        fingerprint = $FINGERPRINT
282
 
        secret =
283
 
EOF
284
 
    sed --quiet --expression='
285
 
        /^-----BEGIN PGP MESSAGE-----$/,/^-----END PGP MESSAGE-----$/{
286
 
            /^$/,${
287
 
                # Remove 24-bit Radix-64 checksum
288
 
                s/=....$//
289
 
                # Indent four spaces
290
 
                /^[^-]/s/^/    /p
291
 
            }
292
 
        }' < "$SECFILE"
293
 
fi
294
 
 
295
 
trap - EXIT
296
 
 
297
 
set +e
298
 
# Remove the password file, if any
299
 
if [ -n "$SECFILE" ]; then
300
 
    shred --remove "$SECFILE"
301
 
fi
302
 
# Remove the key rings
303
 
shred --remove "$RINGDIR"/sec*
304
 
rm --recursive --force "$RINGDIR"