/mandos/release

To get this branch, use:
bzr branch http://bzr.recompile.se/loggerhead/mandos/release

« back to all changes in this revision

Viewing changes to initramfs-tools-hook

  • Committer: Teddy Hogeborn
  • Date: 2015-05-23 20:18:34 UTC
  • mto: (237.7.304 trunk)
  • mto: This revision was merged to the branch mainline in revision 325.
  • Revision ID: teddy@recompile.se-20150523201834-e89ex4ito93yni8x
mandos: Use multiprocessing module to run checkers.

For a long time, the Mandos server has occasionally logged the message
"ERROR: Child process vanished".  This was never a fatal error, but it
has been annoying and slightly worrying, since a definite cause was
not found.  One potential cause could be the "multiprocessing" and
"subprocess" modules conflicting w.r.t. SIGCHLD.  To avoid this,
change the running of checkers from using subprocess.Popen
asynchronously to instead first create a multiprocessing.Process()
(which is asynchronous) calling a function, and have that function
then call subprocess.call() (which is synchronous).  In this way, the
only thing using any asynchronous subprocesses is the multiprocessing
module.

This makes it necessary to change one small thing in the D-Bus API,
since the subprocesses.call() function does not expose the raw wait(2)
status value.

DBUS-API (CheckerCompleted): Change the second value provided by this
                             D-Bus signal from the raw wait(2) status
                             to the actual terminating signal number.
mandos (subprocess_call_pipe): New function to be called by
                               multiprocessing.Process (starting a
                               separate process).
(Client.last_checker signal): New attribute for signal which
                              terminated last checker.  Like
                              last_checker_status, only not accessible
                              via D-Bus.
(Client.checker_callback): Take new "connection" argument and use it
                           to get returncode; set last_checker_signal.
                           Return False so gobject does not call this
                           callback again.
(Client.start_checker): Start checker using a multiprocessing.Process
                        instead of a subprocess.Popen.
(ClientDBus.checker_callback): Take new "connection" argument.        Call
                               Client.checker_callback early to have
                               it set last_checker_status and
                               last_checker_signal; use those.  Change
                               second value provided to D-Bus signal
                               CheckerCompleted to use
                               last_checker_signal if checker was
                               terminated by signal.
mandos-monitor: Update to reflect DBus API change.
(MandosClientWidget.checker_completed): Take "signal" instead of
                                        "condition" argument.  Use it
                                        accordingly.  Remove dead code
                                        (os.WCOREDUMP case).

Show diffs side-by-side

added added

removed removed

Lines of Context:
3
3
# This script will be run by 'mkinitramfs' when it creates the image.
4
4
# Its job is to decide which files to install, then install them into
5
5
# the staging area, where the initramfs is being created.  This
6
 
# happens when a new 'linux-image' package is installed, or when the
 
6
# happens when a new 'linux-image' package is installed, or when an
7
7
# administrator runs 'update-initramfs' by hand to update an initramfs
8
8
# image.
9
9
 
29
29
 
30
30
. /usr/share/initramfs-tools/hook-functions
31
31
 
32
 
for d in /usr /usr/local; do
33
 
    if [ -d "$d"/lib/mandos ]; then
34
 
        prefix="$d"
 
32
for d in /usr/lib \
 
33
    "/usr/lib/`dpkg-architecture -qDEB_HOST_MULTIARCH 2>/dev/null`" \
 
34
    "`rpm --eval='%{_libdir}' 2>/dev/null`" /usr/local/lib; do
 
35
    if [ -d "$d"/mandos ]; then
 
36
        libdir="$d"
35
37
        break
36
38
    fi
37
39
done
38
 
if [ -z "$prefix" ]; then
 
40
if [ -z "$libdir" ]; then
39
41
    # Mandos not found
40
42
    exit 1
41
43
fi
51
53
    exit 1
52
54
fi
53
55
 
54
 
mandos_user="`{ getent passwd _mandos \
55
 
                || getent passwd mandos \
56
 
                || getent passwd nobody \
57
 
                || echo ::65534::::; } \
58
 
        | awk --field-separator=: '{ print $3 }'`" 
59
 
mandos_group="`{ getent group _mandos \
60
 
                || getent group mandos \
61
 
                || getent group nogroup \
62
 
                || echo ::65534:; } \
63
 
        | awk --field-separator=: '{ print $3 }'`"
 
56
set `{ getent passwd _mandos \
 
57
    || getent passwd nobody \
 
58
    || echo ::65534:65534:::; } \
 
59
    | cut --delimiter=: --fields=3,4 --only-delimited \
 
60
    --output-delimiter=" "`
 
61
mandos_user="$1"
 
62
mandos_group="$2"
64
63
 
65
64
# The Mandos network client uses the network
66
65
auto_add_modules net
71
70
CONFDIR="/conf/conf.d/mandos"
72
71
MANDOSDIR="/lib/mandos"
73
72
PLUGINDIR="${MANDOSDIR}/plugins.d"
 
73
HOOKDIR="${MANDOSDIR}/network-hooks.d"
74
74
 
75
75
# Make directories
76
76
install --directory --mode=u=rwx,go=rx "${DESTDIR}${CONFDIR}" \
77
 
        "${DESTDIR}${MANDOSDIR}"
 
77
        "${DESTDIR}${MANDOSDIR}" "${DESTDIR}${HOOKDIR}"
78
78
install --owner=${mandos_user} --group=${mandos_group} --directory \
79
79
    --mode=u=rwx "${DESTDIR}${PLUGINDIR}"
80
80
 
81
81
# Copy the Mandos plugin runner
82
 
copy_exec "$prefix"/lib/mandos/plugin-runner "${MANDOSDIR}"
 
82
copy_exec "$libdir"/mandos/plugin-runner "${MANDOSDIR}"
83
83
 
84
84
# Copy the plugins
85
85
 
86
86
# Copy the packaged plugins
87
 
for file in "$prefix"/lib/mandos/plugins.d/*; do
 
87
for file in "$libdir"/mandos/plugins.d/*; do
88
88
    base="`basename \"$file\"`"
89
89
    # Is this plugin overridden?
90
90
    if [ -e "/etc/mandos/plugins.d/$base" ]; then
91
91
        continue
92
92
    fi
93
93
    case "$base" in
94
 
        *~|.*|\#*\#|*.dpkg-old|*.dpkg-bak|*.dpkg-new|*.dpkg-divert) : ;;
95
 
        "*") :;;
96
 
        *) copy_exec "$file" "${PLUGINDIR}";;
 
94
        *~|.*|\#*\#|*.dpkg-old|*.dpkg-bak|*.dpkg-new|*.dpkg-divert)
 
95
            : ;;
 
96
        "*") echo "W: Mandos client plugin directory is empty." >&2 ;;
 
97
        *) copy_exec "$file" "${PLUGINDIR}" ;;
97
98
    esac
98
99
done
99
100
 
101
102
for file in /etc/mandos/plugins.d/*; do
102
103
    base="`basename \"$file\"`"
103
104
    case "$base" in
104
 
        *~|.*|\#*\#|*.dpkg-old|*.dpkg-bak|*.dpkg-new|*.dpkg-divert) : ;;
105
 
        "*") :;;
106
 
        *) copy_exec "$file" "${PLUGINDIR}";;
107
 
    esac
108
 
done
109
 
 
110
 
# GPGME needs /usr/bin/gpg
111
 
if [ ! -e "${DESTDIR}/usr/bin/gpg" \
112
 
    -a -n "`ls \"${DESTDIR}\"/usr/lib/libgpgme.so* \
113
 
                2>/dev/null`" ]; then
114
 
    copy_exec /usr/bin/gpg
115
 
fi
 
105
        *~|.*|\#*\#|*.dpkg-old|*.dpkg-bak|*.dpkg-new|*.dpkg-divert)
 
106
            : ;;
 
107
        "*") : ;;
 
108
        *) copy_exec "$file" "${PLUGINDIR}" ;;
 
109
    esac
 
110
done
 
111
 
 
112
# Get DEVICE from initramfs.conf and other files
 
113
. /etc/initramfs-tools/initramfs.conf
 
114
for conf in /etc/initramfs-tools/conf.d/*; do
 
115
    if [ -n `basename \"$conf\" | grep '^[[:alnum:]][[:alnum:]\._-]*$' \
 
116
        | grep -v '\.dpkg-.*$'` ]; then
 
117
        [ -f ${conf} ] && . ${conf}
 
118
    fi
 
119
done
 
120
export DEVICE
 
121
 
 
122
# Copy network hooks
 
123
for hook in /etc/mandos/network-hooks.d/*; do
 
124
    case "`basename \"$hook\"`" in
 
125
        "*") continue ;;
 
126
        *[!A-Za-z0-9_.-]*) continue ;;
 
127
        *) test -d "$hook" || copy_exec "$hook" "${HOOKDIR}" ;;
 
128
    esac
 
129
    if [ -x "$hook" ]; then
 
130
        # Copy any files needed by the network hook
 
131
        MANDOSNETHOOKDIR=/etc/mandos/network-hooks.d MODE=files \
 
132
            VERBOSITY=0 "$hook" files | while read file target; do
 
133
            if [ ! -e "${file}" ]; then
 
134
                echo "WARNING: file ${file} not found, requested by Mandos network hook '${hook##*/}'" >&2
 
135
            fi
 
136
            if [ -z "${target}" ]; then
 
137
                copy_exec "$file"
 
138
            else
 
139
                copy_exec "$file" "$target"
 
140
            fi
 
141
        done
 
142
        # Copy and load any modules needed by the network hook
 
143
        MANDOSNETHOOKDIR=/etc/mandos/network-hooks.d MODE=modules \
 
144
            VERBOSITY=0 "$hook" modules | while read module; do
 
145
            if [ -z "${target}" ]; then
 
146
                force_load "$module"
 
147
            fi
 
148
        done
 
149
    fi
 
150
done
 
151
 
 
152
# GPGME needs GnuPG
 
153
gpg=/usr/bin/gpg
 
154
libgpgme11_version="`dpkg-query --showformat='${Version}' --show libgpgme11`"
 
155
if dpkg --compare-versions "$libgpgme11_version" ge 1.5.0-0.1; then
 
156
    if [ -e /usr/bin/gpgconf ]; then
 
157
        if [ ! -e "${DESTDIR}/usr/bin/gpgconf" ]; then
 
158
            copy_exec /usr/bin/gpgconf
 
159
        fi
 
160
        gpg="`/usr/bin/gpgconf|sed --quiet --expression='s/^gpg:[^:]*://p'`"
 
161
    fi
 
162
elif dpkg --compare-versions "$libgpgme11_version" ge 1.4.1-0.1; then
 
163
    gpg=/usr/bin/gpg2
 
164
fi
 
165
if [ ! -e "${DESTDIR}$gpg" ]; then
 
166
    copy_exec "$gpg"
 
167
fi
 
168
unset gpg
 
169
unset libgpgme11_version
116
170
 
117
171
# Config files
118
 
for file in /etc/mandos/*; do
 
172
for file in /etc/mandos/plugin-runner.conf; do
119
173
    if [ -d "$file" ]; then
120
174
        continue
121
175
    fi
123
177
done
124
178
 
125
179
if [ ${mandos_user} != 65534 ]; then
126
 
    PLUGINRUNNERCONF="${DESTDIR}${CONFDIR}/plugin-runner.conf"
127
 
    echo "--userid=${mandos_user}" >> "$PLUGINRUNNERCONF"
 
180
    sed --in-place --expression="1i--userid=${mandos_user}" \
 
181
        "${DESTDIR}${CONFDIR}/plugin-runner.conf"
128
182
fi
129
183
 
130
184
if [ ${mandos_group} != 65534 ]; then
131
 
    PLUGINRUNNERCONF="${DESTDIR}${CONFDIR}/plugin-runner.conf"
132
 
    echo "--groupid=${mandos_group}" >> "$PLUGINRUNNERCONF"
 
185
    sed --in-place --expression="1i--groupid=${mandos_group}" \
 
186
        "${DESTDIR}${CONFDIR}/plugin-runner.conf"
133
187
fi
134
188
 
135
 
# Key files 
136
 
for file in  "$keydir"/*; do
 
189
# Key files
 
190
for file in "$keydir"/*; do
137
191
    if [ -d "$file" ]; then
138
192
        continue
139
193
    fi
168
222
        chmod a+rX "${DESTDIR}$dir"
169
223
    fi
170
224
done
171
 
for dir in /lib /usr/lib; do
172
 
    find "${DESTDIR}$dir" \! -perm -u+rw,g+r -prune -or -print0 \
173
 
        | xargs --null --no-run-if-empty chmod a+rX
 
225
for dir in "${DESTDIR}"/lib* "${DESTDIR}"/usr/lib*; do
 
226
    if [ -d "$dir" ]; then
 
227
        find "$dir" \! -perm -u+rw,g+r -prune -or -print0 \
 
228
            | xargs --null --no-run-if-empty chmod a+rX
 
229
    fi
174
230
done