/mandos/release

To get this branch, use:
bzr branch http://bzr.recompile.se/loggerhead/mandos/release

« back to all changes in this revision

Viewing changes to mandos.xml

* mandos: Tolerate restarting Avahi servers.  Also Changed to new
          "except x as y" exception syntax.
  (AvahiService.entry_group_state_changed_match): New; contains the
                                                  SignalMatch object.
  (AvahiService.remove): Really remove the group and the signal
                         connection, if any.
  (AvahiService.add): Always create a new group and signal connection.
  (AvahiService.cleanup): Changed to simply call remove().
  (AvahiService.server_state_changed): Handle and log more bad states.
  (AvahiService.activate): Set "follow_name_owner_changes=True" on the
                           Avahi Server proxy object.
  (ClientDBus.checked_ok): Do not return anything.
  (ClientDBus.CheckedOK): Do not return anything, as documented.
* mandos-monitor: Call D-Bus methods asynchronously.

Show diffs side-by-side

added added

removed removed

Lines of Context:
mandos.xml
2
2
<!DOCTYPE refentry PUBLIC "-//OASIS//DTD DocBook XML V4.5//EN"
3
3
"http://www.oasis-open.org/docbook/xml/4.5/docbookx.dtd" [
4
4
<!ENTITY COMMANDNAME "mandos">
5
 
<!ENTITY TIMESTAMP "2008-12-28">
 
5
<!ENTITY TIMESTAMP "2011-02-27">
6
6
<!ENTITY % common SYSTEM "common.ent">
7
7
%common;
8
8
]>
32
32
    </authorgroup>
33
33
    <copyright>
34
34
      <year>2008</year>
 
35
      <year>2009</year>
 
36
      <year>2010</year>
 
37
      <year>2011</year>
35
38
      <holder>Teddy Hogeborn</holder>
36
39
      <holder>Björn Påhlsson</holder>
37
40
    </copyright>
85
88
      <sbr/>
86
89
      <arg><option>--debug</option></arg>
87
90
      <sbr/>
 
91
      <arg><option>--debuglevel
 
92
      <replaceable>LEVEL</replaceable></option></arg>
 
93
      <sbr/>
88
94
      <arg><option>--no-dbus</option></arg>
 
95
      <sbr/>
 
96
      <arg><option>--no-ipv6</option></arg>
89
97
    </cmdsynopsis>
90
98
    <cmdsynopsis>
91
99
      <command>&COMMANDNAME;</command>
191
199
      </varlistentry>
192
200
      
193
201
      <varlistentry>
 
202
        <term><option>--debuglevel
 
203
        <replaceable>LEVEL</replaceable></option></term>
 
204
        <listitem>
 
205
          <para>
 
206
            Set the debugging log level.
 
207
            <replaceable>LEVEL</replaceable> is a string, one of
 
208
            <quote><literal>CRITICAL</literal></quote>,
 
209
            <quote><literal>ERROR</literal></quote>,
 
210
            <quote><literal>WARNING</literal></quote>,
 
211
            <quote><literal>INFO</literal></quote>, or
 
212
            <quote><literal>DEBUG</literal></quote>, in order of
 
213
            increasing verbosity.  The default level is
 
214
            <quote><literal>WARNING</literal></quote>.
 
215
          </para>
 
216
        </listitem>
 
217
      </varlistentry>
 
218
      
 
219
      <varlistentry>
194
220
        <term><option>--priority <replaceable>
195
221
        PRIORITY</replaceable></option></term>
196
222
        <listitem>
236
262
        <listitem>
237
263
          <xi:include href="mandos-options.xml" xpointer="dbus"/>
238
264
          <para>
239
 
            See also <xref linkend="dbus"/>.
 
265
            See also <xref linkend="dbus_interface"/>.
 
266
          </para>
 
267
        </listitem>
 
268
      </varlistentry>
 
269
      
 
270
      <varlistentry>
 
271
        <term><option>--no-ipv6</option></term>
 
272
        <listitem>
 
273
          <xi:include href="mandos-options.xml" xpointer="ipv6"/>
240
274
        </listitem>
241
275
      </varlistentry>
242
276
    </variablelist>
316
350
      The server will, by default, continually check that the clients
317
351
      are still up.  If a client has not been confirmed as being up
318
352
      for some time, the client is assumed to be compromised and is no
319
 
      longer eligible to receive the encrypted password.  The timeout,
 
353
      longer eligible to receive the encrypted password.  (Manual
 
354
      intervention is required to re-enable a client.)  The timeout,
320
355
      checker program, and interval between checks can be configured
321
356
      both globally and per client; see <citerefentry>
322
357
      <refentrytitle>mandos-clients.conf</refentrytitle>
323
 
      <manvolnum>5</manvolnum></citerefentry>.
324
 
    </para>
 
358
      <manvolnum>5</manvolnum></citerefentry>.  A client successfully
 
359
      receiving its password will also be treated as a successful
 
360
      checker run.
 
361
    </para>
 
362
  </refsect1>
 
363
  
 
364
  <refsect1 id="approval">
 
365
    <title>APPROVAL</title>
 
366
    <para>
 
367
      The server can be configured to require manual approval for a
 
368
      client before it is sent its secret.  The delay to wait for such
 
369
      approval and the default action (approve or deny) can be
 
370
      configured both globally and per client; see <citerefentry>
 
371
      <refentrytitle>mandos-clients.conf</refentrytitle>
 
372
      <manvolnum>5</manvolnum></citerefentry>.  By default all clients
 
373
      will be approved immediately without delay.
 
374
    </para>
 
375
    <para>
 
376
      This can be used to deny a client its secret if not manually
 
377
      approved within a specified time.  It can also be used to make
 
378
      the server delay before giving a client its secret, allowing
 
379
      optional manual denying of this specific client.
 
380
    </para>
 
381
    
325
382
  </refsect1>
326
383
  
327
384
  <refsect1 id="logging">
334
391
    </para>
335
392
  </refsect1>
336
393
  
337
 
  <refsect1 id="dbus">
 
394
  <refsect1 id="dbus_interface">
338
395
    <title>D-BUS INTERFACE</title>
339
396
    <para>
340
397
      The server will by default provide a D-Bus system bus interface.
341
398
      This interface will only be accessible by the root user or a
342
 
      Mandos-specific user, if such a user exists.
343
 
      <!-- XXX -->
 
399
      Mandos-specific user, if such a user exists.  For documentation
 
400
      of the D-Bus API, see the file <filename>DBUS-API</filename>.
344
401
    </para>
345
402
  </refsect1>
346
 
 
 
403
  
347
404
  <refsect1 id="exit_status">
348
405
    <title>EXIT STATUS</title>
349
406
    <para>
404
461
        <term><filename>/var/run/mandos.pid</filename></term>
405
462
        <listitem>
406
463
          <para>
407
 
            The file containing the process id of
408
 
            <command>&COMMANDNAME;</command>.
 
464
            The file containing the process id of the
 
465
            <command>&COMMANDNAME;</command> process started last.
409
466
          </para>
410
467
        </listitem>
411
468
      </varlistentry>
439
496
      backtrace.  This could be considered a feature.
440
497
    </para>
441
498
    <para>
442
 
      Currently, if a client is declared <quote>invalid</quote> due to
443
 
      having timed out, the server does not record this fact onto
444
 
      permanent storage.  This has some security implications, see
445
 
      <xref linkend="clients"/>.
446
 
    </para>
447
 
    <para>
448
 
      There is currently no way of querying the server of the current
449
 
      status of clients, other than analyzing its <systemitem
450
 
      class="service">syslog</systemitem> output.
 
499
      Currently, if a client is disabled due to having timed out, the
 
500
      server does not record this fact onto permanent storage.  This
 
501
      has some security implications, see <xref linkend="clients"/>.
451
502
    </para>
452
503
    <para>
453
504
      There is no fine-grained control over logging and debug output.
456
507
      Debug mode is conflated with running in the foreground.
457
508
    </para>
458
509
    <para>
459
 
      The console log messages does not show a time stamp.
 
510
      The console log messages do not show a time stamp.
460
511
    </para>
461
512
    <para>
462
513
      This server does not check the expire time of clients’ OpenPGP
535
586
      </para>
536
587
      <para>
537
588
        If a client is compromised, its downtime should be duly noted
538
 
        by the server which would therefore declare the client
539
 
        invalid.  But if the server was ever restarted, it would
540
 
        re-read its client list from its configuration file and again
541
 
        regard all clients therein as valid, and hence eligible to
542
 
        receive their passwords.  Therefore, be careful when
543
 
        restarting servers if it is suspected that a client has, in
544
 
        fact, been compromised by parties who may now be running a
545
 
        fake Mandos client with the keys from the non-encrypted
546
 
        initial <acronym>RAM</acronym> image of the client host.  What
547
 
        should be done in that case (if restarting the server program
548
 
        really is necessary) is to stop the server program, edit the
549
 
        configuration file to omit any suspect clients, and restart
550
 
        the server program.
 
589
        by the server which would therefore disable the client.  But
 
590
        if the server was ever restarted, it would re-read its client
 
591
        list from its configuration file and again regard all clients
 
592
        therein as enabled, and hence eligible to receive their
 
593
        passwords.  Therefore, be careful when restarting servers if
 
594
        it is suspected that a client has, in fact, been compromised
 
595
        by parties who may now be running a fake Mandos client with
 
596
        the keys from the non-encrypted initial <acronym>RAM</acronym>
 
597
        image of the client host.  What should be done in that case
 
598
        (if restarting the server program really is necessary) is to
 
599
        stop the server program, edit the configuration file to omit
 
600
        any suspect clients, and restart the server program.
551
601
      </para>
552
602
      <para>
553
603
        For more details on client-side security, see