/mandos/release

To get this branch, use:
bzr branch http://bzr.recompile.se/loggerhead/mandos/release

« back to all changes in this revision

Viewing changes to debian/mandos-client.postinst

  • Committer: Teddy Hogeborn
  • Date: 2017-08-20 14:14:14 UTC
  • mto: (237.7.594 trunk)
  • mto: This revision was merged to the branch mainline in revision 360.
  • Revision ID: teddy@recompile.se-20170820141414-m034xuebg7ccaeui
Add some more restrictions to the systemd service file.

* mandos.service ([Service]/ProtectKernelTunables): New; set to "yes".
  ([Service]/ProtectControlGroups): - '' -

Show diffs side-by-side

added added

removed removed

Lines of Context:
debian/mandos-client.postinst
50
50
    fi
51
51
}
52
52
 
53
 
# Create client key pairs
54
 
create_keys(){
55
 
    # If the OpenPGP key files do not exist, generate all keys using
56
 
    # mandos-keygen
57
 
    if ! [ -r /etc/keys/mandos/pubkey.txt \
58
 
              -a -r /etc/keys/mandos/seckey.txt ]; then
59
 
        mandos-keygen
60
 
        gpg-connect-agent KILLAGENT /bye || :
61
 
        return 0
62
 
    fi
63
 
 
64
 
    # If the TLS keys already exists, do nothing
65
 
    if [ -r /etc/keys/mandos/tls-privkey.pem \
66
 
            -a -r /etc/keys/mandos/tls-pubkey.pem ]; then
67
 
        return 0
68
 
    fi
69
 
 
70
 
    # If this is an upgrade from an old installation, the TLS keys
71
 
    # will not exist; create them.
72
 
 
73
 
    # First try certtool from GnuTLS
74
 
    if ! certtool --generate-privkey --password='' \
75
 
         --outfile /etc/keys/mandos/tls-privkey.pem \
76
 
         --sec-param ultra --key-type=ed25519 --pkcs8 --no-text \
77
 
         2>/dev/null; then
78
 
        # Otherwise try OpenSSL
79
 
        if ! openssl genpkey -algorithm X25519 \
80
 
             -out /etc/keys/mandos/tls-privkey.pem; then
81
 
            rm --force /etc/keys/mandos/tls-privkey.pem
82
 
            # None of the commands succeded; give up
83
 
            return 1
84
 
        fi
85
 
    fi
86
 
 
87
 
    local umask=$(umask)
88
 
    umask 077
89
 
    # First try certtool from GnuTLS
90
 
    if ! certtool --password='' \
91
 
         --load-privkey=/etc/keys/mandos/tls-privkey.pem \
92
 
         --outfile=/etc/keys/mandos/tls-pubkey.pem --pubkey-info \
93
 
         --no-text 2>/dev/null; then
94
 
        # Otherwise try OpenSSL
95
 
        if ! openssl pkey -in /etc/keys/mandos/tls-privkey.pem \
96
 
             -out /etc/keys/mandos/tls-pubkey.pem -pubout; then
97
 
            rm --force /etc/keys/mandos/tls-pubkey.pem
98
 
            # None of the commands succeded; give up
99
 
            umask $umask
100
 
            return 1
101
 
        fi
102
 
    fi
103
 
    umask $umask
 
53
# Create client key pair
 
54
create_key(){
 
55
    if [ -r /etc/keys/mandos/pubkey.txt \
 
56
        -a -r /etc/keys/mandos/seckey.txt ]; then
 
57
        return 0
 
58
    fi
 
59
    mandos-keygen
 
60
    gpg-connect-agent KILLAGENT /bye || :
104
61
}
105
62
 
106
63
create_dh_params(){
131
88
case "$1" in
132
89
    configure)
133
90
        add_mandos_user "$@"
134
 
        create_keys "$@"
 
91
        create_key "$@"
135
92
        create_dh_params "$@" || :
136
93
        update_initramfs "$@"
137
94
        if dpkg --compare-versions "$2" lt-nl "1.7.10-1"; then