/mandos/release

To get this branch, use:
bzr branch http://bzr.recompile.se/loggerhead/mandos/release

« back to all changes in this revision

Viewing changes to debian/mandos-client.postinst

  • Committer: Teddy Hogeborn
  • Date: 2015-01-25 00:02:51 UTC
  • mto: (237.7.304 trunk)
  • mto: This revision was merged to the branch mainline in revision 325.
  • Revision ID: teddy@recompile.se-20150125000251-j2bw50gfq9smqyxe
mandos.xml (SEE ALSO): Update links.

Update link to GnuPG home page, change reference from TLS 1.1 to TLS
1.2, and change to latest RFC for using OpenPGP keys with TLS (and use
its correct title).

Show diffs side-by-side

added added

removed removed

Lines of Context:
debian/mandos-client.postinst
15
15
# If prerm fails during replacement due to conflict:
16
16
#       <postinst> abort-remove in-favour <new-package> <version>
17
17
 
18
 
. /usr/share/debconf/confmodule
19
 
 
20
18
set -e
21
19
 
22
20
# Update the initial RAM file system image
23
21
update_initramfs()
24
22
{
25
 
    update-initramfs -u -k all
 
23
    if [ -x /usr/sbin/update-initramfs ]; then
 
24
        update-initramfs -u -k all
 
25
    fi
26
26
    
27
27
    if dpkg --compare-versions "$2" lt-nl "1.0.10-1"; then
28
28
        # Make old initrd.img files unreadable too, in case they were
52
52
    fi
53
53
}
54
54
 
55
 
# Create client key pairs
56
 
create_keys(){
57
 
    # If the OpenPGP key files do not exist, generate all keys using
58
 
    # mandos-keygen
59
 
    if ! [ -r /etc/keys/mandos/pubkey.txt \
60
 
              -a -r /etc/keys/mandos/seckey.txt ]; then
 
55
# Create client key pair
 
56
create_key(){
 
57
    if [ -r /etc/keys/mandos/pubkey.txt \
 
58
        -a -r /etc/keys/mandos/seckey.txt ]; then
 
59
        return 0
 
60
    fi
 
61
    if [ -x /usr/sbin/mandos-keygen ]; then
61
62
        mandos-keygen
62
 
        gpg-connect-agent KILLAGENT /bye || :
63
 
        return 0
64
 
    fi
65
 
 
66
 
    # Remove any bad TLS keys by 1.8.0-1
67
 
    if dpkg --compare-versions "$2" eq "1.8.0-1" \
68
 
       || dpkg --compare-versions "$2" eq "1.8.0-1~bpo9+1"; then
69
 
        # Is the key bad?
70
 
        if ! certtool --password='' \
71
 
             --load-privkey=/etc/keys/mandos/tls-privkey.pem \
72
 
             --outfile=/dev/null --pubkey-info --no-text \
73
 
             2>/dev/null; then
74
 
            shred --remove -- /etc/keys/mandos/tls-privkey.pem
75
 
            rm -- /etc/keys/mandos/tls-pubkey.pem
76
 
        fi
77
 
    fi
78
 
 
79
 
    # If the TLS keys already exists, do nothing
80
 
    if [ -r /etc/keys/mandos/tls-privkey.pem \
81
 
            -a -r /etc/keys/mandos/tls-pubkey.pem ]; then
82
 
        return 0
83
 
    fi
84
 
 
85
 
    # Try to create the TLS keys
86
 
 
87
 
    TLS_PRIVKEYTMP="`mktemp -t mandos-client-privkey.XXXXXXXXXX`"
88
 
 
89
 
    if certtool --generate-privkey --password='' \
90
 
                --outfile "$TLS_PRIVKEYTMP" --sec-param ultra \
91
 
                --key-type=ed25519 --pkcs8 --no-text 2>/dev/null; then
92
 
 
93
 
        local umask=$(umask)
94
 
        umask 077
95
 
        cp --archive "$TLS_PRIVKEYTMP" /etc/keys/mandos/tls-privkey.pem
96
 
        shred --remove -- "$TLS_PRIVKEYTMP"
97
 
 
98
 
        # First try certtool from GnuTLS
99
 
        if ! certtool --password='' \
100
 
             --load-privkey=/etc/keys/mandos/tls-privkey.pem \
101
 
             --outfile=/etc/keys/mandos/tls-pubkey.pem --pubkey-info \
102
 
             --no-text 2>/dev/null; then
103
 
            # Otherwise try OpenSSL
104
 
            if ! openssl pkey -in /etc/keys/mandos/tls-privkey.pem \
105
 
                 -out /etc/keys/mandos/tls-pubkey.pem -pubout; then
106
 
                rm --force /etc/keys/mandos/tls-pubkey.pem
107
 
                # None of the commands succeded; give up
108
 
                umask $umask
109
 
                return 1
110
 
            fi
111
 
        fi
112
 
        umask $umask
113
 
 
114
 
        key_id=$(mandos-keygen --passfile=/dev/null \
115
 
                     | grep --regexp="^key_id[ =]")
116
 
 
117
 
        db_version 2.0
118
 
        db_fset mandos-client/key_id seen false
119
 
        db_reset mandos-client/key_id
120
 
        db_subst mandos-client/key_id key_id $key_id
121
 
        db_input critical mandos-client/key_id || true
122
 
        db_go
123
 
        db_stop
124
 
    else
125
 
        shred --remove -- "$TLS_PRIVKEYTMP"
126
 
    fi
127
 
}
128
 
 
129
 
create_dh_params(){
130
 
    if [ -r /etc/keys/mandos/dhparams.pem ]; then
131
 
        return 0
132
 
    fi
133
 
    # Create a Diffe-Hellman parameters file
134
 
    DHFILE="`mktemp -t mandos-client-dh-parameters.XXXXXXXXXX.pem`"
135
 
    # First try certtool from GnuTLS
136
 
    if ! certtool --generate-dh-params --sec-param high \
137
 
         --outfile "$DHFILE"; then
138
 
        # Otherwise try OpenSSL
139
 
        if ! openssl genpkey -genparam -algorithm DH -out "$DHFILE" \
140
 
             -pkeyopt dh_paramgen_prime_len:3072; then
141
 
            # None of the commands succeded; give up
142
 
            rm -- "$DHFILE"
143
 
            return 1
144
 
        fi
145
 
    fi
146
 
    sed --in-place --expression='0,/^-----BEGIN DH PARAMETERS-----$/d' \
147
 
        "$DHFILE"
148
 
    sed --in-place --expression='1i-----BEGIN DH PARAMETERS-----' \
149
 
            "$DHFILE"
150
 
    cp --archive "$DHFILE" /etc/keys/mandos/dhparams.pem
151
 
    rm -- "$DHFILE"
 
63
    fi
152
64
}
153
65
 
154
66
case "$1" in
155
67
    configure)
156
68
        add_mandos_user "$@"
157
 
        create_keys "$@"
158
 
        create_dh_params "$@" || :
 
69
        create_key "$@"
159
70
        update_initramfs "$@"
160
 
        if dpkg --compare-versions "$2" lt-nl "1.7.10-1"; then
161
 
            PLUGINHELPERDIR=/usr/lib/$(dpkg-architecture -qDEB_HOST_MULTIARCH 2>/dev/null)/mandos/plugin-helpers
162
 
            if ! dpkg-statoverride --list "$PLUGINHELPERDIR" \
163
 
                 >/dev/null 2>&1; then
164
 
                chmod u=rwx,go= -- "$PLUGINHELPERDIR"
165
 
            fi
166
 
            if ! dpkg-statoverride --list /etc/mandos/plugin-helpers \
167
 
                 >/dev/null 2>&1; then
168
 
                chmod u=rwx,go= -- /etc/mandos/plugin-helpers
169
 
            fi
170
 
        fi
171
71
        ;;
172
72
    abort-upgrade|abort-deconfigure|abort-remove)
173
73
        ;;