/mandos/release

To get this branch, use:
bzr branch http://bzr.recompile.se/loggerhead/mandos/release

« back to all changes in this revision

Viewing changes to plugin-runner.xml

  • Committer: Teddy Hogeborn
  • Date: 2019-02-09 23:23:26 UTC
  • mto: (237.7.594 trunk)
  • mto: This revision was merged to the branch mainline in revision 370.
  • Revision ID: teddy@recompile.se-20190209232326-z1z2kzpgfixz7iaj
Add support for using raw public keys in TLS (RFC 7250)

Since GnuTLS removed support for OpenPGP keys in TLS (RFC 6091), and
no other library supports it, we have to change the protocol to use
something else.  We choose to use "raw public keys" (RFC 7250).  Since
we still use OpenPGP keys to decrypt the secret password, this means
that each client will have two keys: One OpenPGP key and one TLS
public/private key, and the key ID of the latter key is used to
identify clients instead of the fingerprint of the OpenPGP key.

Note that this code is still compatible with GnuTLS before version
3.6.0 (when OpenPGP key support was removed).  This commit merely adds
support for using raw pulic keys instead with GnuTLS 3.6.6. or later.

* DBUS-API (Signals/ClientNotFound): Change name of first parameter
                                     from "Fingerprint" to "KeyID".
  (Mandos Client Interface/Properties/KeyID): New.
* INSTALL: Document conflict with GnuTLS 3.6.0 (which removed OpenPGP
           key support) up until 3.6.6, when support for raw public
           keys was added.  Also document new dependency of client on
           "gnutls-bin" package (for certtool).
* Makefile (run-client): Depend on TLS key files, and also pass them
                         as arguments to client.
  (keydir/tls-privkey.pem, keydir/tls-pubkey.pem): New.
  (confdir/clients.conf): Add dependency on TLS public key.
  (purge-client): Add removal of TLS key files.
* clients.conf ([foo]/key_id, [bar]/key_id): New.
* debian/control (Source: mandos/Build-Depends): Also allow
                                                 libgnutls30 (>= 3.6.6)
  (Package: mandos/Depends): - '' -
  (Package: mandos/Description): Alter description to match new
                                 design.
  (Package: mandos-client/Description): - '' -
  (Package: mandos-client/Depends): Move "gnutls-bin | openssl" to
                                    here from "Recommends".
* debian/mandos-client.README.Debian: Add --tls-privkey and
                                      --tls-pubkey options to test
                                      command.
* debian/mandos-client.postinst (create_key): Renamed to "create_keys"
                                             (all callers changed),
                                             and also create TLS key.
* debian/mandos-client.postrm (purge): Also remove TLS key files.
* intro.xml (DESCRIPTION): Describe new dual-key design.
* mandos (GnuTLS): Define different functions depending on whether
                   support for raw public keys is detected.
  (Client.key_id): New attribute.
  (ClientDBus.KeyID_dbus_property): New method.
  (ProxyClient.__init__): Take new "key_id" parameter.
  (ClientHandler.handle): Use key IDs when using raw public keys and
                          use fingerprints when using OpenPGP keys.
  (ClientHandler.peer_certificate): Also handle raw public keys.
  (ClientHandler.key_id): New.
  (MandosServer.handle_ipc): Pass key ID over the pipe IPC.  Also
                             check for key ID matches when looking up
                             clients.
  (main): Default GnuTLS priority string depends on whether we are
          using raw public keys or not.  When unpickling clients, set
          key_id if not set in the pickle.
  (main/MandosDBusService.ClientNotFound): Change name of first
                                           parameter from
                                           "Fingerprint" to "KeyID".
* mandos-clients.conf.xml (OPTIONS): Document new "key_id" option.
  (OPTIONS/secret): Mention new key ID matchning.
  (EXPANSION/RUNTIME EXPANSION): Add new "key_id" option.
  (EXAMPLE): - '' -
* mandos-ctl (tablewords, main/keywords): Add new "KeyID" property.
* mandos-keygen: Create TLS key files.  New "--tls-keytype" (-T)
                 option.  Alter help text to be more clear about key
                 types.  When in password mode, also output "key_id"
                 option.
* mandos-keygen.xml (SYNOPSIS): Add new "--tls-keytype" (-T) option.
  (DESCRIPTION): Alter to match new dual-key design.
  (OVERVIEW): - '' -
  (FILES): Add TLS key files.
* mandos-options.xml (priority): Document new default priority string
                                 when using raw public keys.
* mandos.xml (NETWORK PROTOCOL): Describe new protocol using key ID.
  (BUGS): Remove issue about checking expire times of OpenPGP keys,
          since TLS public keys do not have expiration times.
  (SECURITY/CLIENT): Alter description to match new design.
  (SEE ALSO/GnuTLS): - '' -
  (SEE ALSO): Add reference to RFC 7250, and alter description of when
              RFC 6091 is used.
* overview.xml: Alter text to match new design.
* plugin-runner.xml (EXAMPLE): Add --tls-pubkey and --tls-privkey
                               options to mandos-client options.
* plugins.d/mandos-client.c: Use raw public keys when compiling with
                             supporting GnuTLS versions. Add new
                             "--tls-pubkey" and "--tls-privkey"
                             options (which do nothing if GnuTLS
                             library does not support raw public
                             keys).  Alter text throughout to reflect
                             new design.  Only generate new DH
                             parameters (based on size of OpenPGP key)
                             when using OpenPGP in TLS.  Default
                             GnuTLS priority string depends on whether
                             we are using raw public keys or not.
* plugins.d/mandos-client.xml (SYNOPSIS): Add new "--tls-privkey" (-t)
                                          and "--tls-pubkey" (-T)
                                          options.
  (DESCRIPTION): Describe new dual-key design.
  (OPTIONS): Document new "--tls-privkey" (-t) and "--tls-pubkey" (-T)
             options.
  (OPTIONS/--dh-bits): No longer necessarily depends on OpenPGP key
                       size.
  (FILES): Add default locations for TLS public and private key files.
  (EXAMPLE): Use new --tls-pubkey and --tls-privkey options.
  (SECURITY): Alter wording slightly to reflect new dual-key design.
  (SEE ALSO/GnuTLS): Alter description to match new design.
  (SEE ALSO): Add reference to RFC 7250, and alter description of when
              RFC 6091 is used.

Show diffs side-by-side

added added

removed removed

Lines of Context:
1
1
<?xml version="1.0" encoding="UTF-8"?>
2
2
<!DOCTYPE refentry PUBLIC "-//OASIS//DTD DocBook XML V4.5//EN"
3
3
        "http://www.oasis-open.org/docbook/xml/4.5/docbookx.dtd" [
4
 
<!ENTITY VERSION "1.0">
5
4
<!ENTITY COMMANDNAME "plugin-runner">
6
 
<!ENTITY TIMESTAMP "2008-09-02">
 
5
<!ENTITY TIMESTAMP "2019-02-09">
 
6
<!ENTITY % common SYSTEM "common.ent">
 
7
%common;
7
8
]>
8
9
 
9
10
<refentry xmlns:xi="http://www.w3.org/2001/XInclude">
11
12
    <title>Mandos Manual</title>
12
13
    <!-- Nwalsh’s docbook scripts use this to generate the footer: -->
13
14
    <productname>Mandos</productname>
14
 
    <productnumber>&VERSION;</productnumber>
 
15
    <productnumber>&version;</productnumber>
15
16
    <date>&TIMESTAMP;</date>
16
17
    <authorgroup>
17
18
      <author>
18
19
        <firstname>Björn</firstname>
19
20
        <surname>Påhlsson</surname>
20
21
        <address>
21
 
          <email>belorn@fukt.bsnet.se</email>
 
22
          <email>belorn@recompile.se</email>
22
23
        </address>
23
24
      </author>
24
25
      <author>
25
26
        <firstname>Teddy</firstname>
26
27
        <surname>Hogeborn</surname>
27
28
        <address>
28
 
          <email>teddy@fukt.bsnet.se</email>
 
29
          <email>teddy@recompile.se</email>
29
30
        </address>
30
31
      </author>
31
32
    </authorgroup>
32
33
    <copyright>
33
34
      <year>2008</year>
 
35
      <year>2009</year>
 
36
      <year>2010</year>
 
37
      <year>2011</year>
 
38
      <year>2012</year>
 
39
      <year>2013</year>
 
40
      <year>2014</year>
 
41
      <year>2015</year>
 
42
      <year>2016</year>
 
43
      <year>2017</year>
 
44
      <year>2018</year>
34
45
      <holder>Teddy Hogeborn</holder>
35
46
      <holder>Björn Påhlsson</holder>
36
47
    </copyright>
37
48
    <xi:include href="legalnotice.xml"/>
38
49
  </refentryinfo>
39
 
 
 
50
  
40
51
  <refmeta>
41
52
    <refentrytitle>&COMMANDNAME;</refentrytitle>
42
53
    <manvolnum>8mandos</manvolnum>
45
56
  <refnamediv>
46
57
    <refname><command>&COMMANDNAME;</command></refname>
47
58
    <refpurpose>
48
 
      Run Mandos plugins.  Pass data from first succesful one.
 
59
      Run Mandos plugins, pass data from first to succeed.
49
60
    </refpurpose>
50
61
  </refnamediv>
51
 
 
 
62
  
52
63
  <refsynopsisdiv>
53
64
    <cmdsynopsis>
54
65
      <command>&COMMANDNAME;</command>
55
66
      <group rep="repeat">
56
67
        <arg choice="plain"><option>--global-env=<replaceable
57
 
        >VAR</replaceable><literal>=</literal><replaceable
 
68
        >ENV</replaceable><literal>=</literal><replaceable
58
69
        >value</replaceable></option></arg>
59
70
        <arg choice="plain"><option>-G
60
 
        <replaceable>VAR</replaceable><literal>=</literal><replaceable
 
71
        <replaceable>ENV</replaceable><literal>=</literal><replaceable
61
72
        >value</replaceable> </option></arg>
62
73
      </group>
63
74
      <sbr/>
111
122
      <arg><option>--plugin-dir=<replaceable
112
123
      >DIRECTORY</replaceable></option></arg>
113
124
      <sbr/>
 
125
      <arg><option>--plugin-helper-dir=<replaceable
 
126
      >DIRECTORY</replaceable></option></arg>
 
127
      <sbr/>
114
128
      <arg><option>--config-file=<replaceable
115
129
      >FILE</replaceable></option></arg>
116
130
      <sbr/>
140
154
    <title>DESCRIPTION</title>
141
155
    <para>
142
156
      <command>&COMMANDNAME;</command> is a program which is meant to
143
 
      be specified as <quote>keyscript</quote> in <citerefentry>
144
 
      <refentrytitle>crypttab</refentrytitle>
145
 
      <manvolnum>5</manvolnum></citerefentry> for the root disk.  The
146
 
      aim of this program is therefore to output a password, which
147
 
      then <citerefentry><refentrytitle>cryptsetup</refentrytitle>
 
157
      be specified as a <quote>keyscript</quote> for the root disk in
 
158
      <citerefentry><refentrytitle>crypttab</refentrytitle>
 
159
      <manvolnum>5</manvolnum></citerefentry>.  The aim of this
 
160
      program is therefore to output a password, which then
 
161
      <citerefentry><refentrytitle>cryptsetup</refentrytitle>
148
162
      <manvolnum>8</manvolnum></citerefentry> will use to unlock the
149
163
      root disk.
150
164
    </para>
170
184
    <variablelist>
171
185
      <varlistentry>
172
186
        <term><option>--global-env
173
 
        <replaceable>VAR</replaceable><literal>=</literal><replaceable
 
187
        <replaceable>ENV</replaceable><literal>=</literal><replaceable
174
188
        >value</replaceable></option></term>
175
189
        <term><option>-G
176
 
        <replaceable>VAR</replaceable><literal>=</literal><replaceable
 
190
        <replaceable>ENV</replaceable><literal>=</literal><replaceable
177
191
        >value</replaceable></option></term>
178
192
        <listitem>
179
193
          <para>
247
261
          </para>
248
262
        </listitem>
249
263
      </varlistentry>
250
 
 
 
264
      
251
265
      <varlistentry>
252
266
        <term><option>--disable
253
267
        <replaceable>PLUGIN</replaceable></option></term>
258
272
            Disable the plugin named
259
273
            <replaceable>PLUGIN</replaceable>.  The plugin will not be
260
274
            started.
261
 
          </para>       
 
275
          </para>
262
276
        </listitem>
263
277
      </varlistentry>
264
 
 
 
278
      
265
279
      <varlistentry>
266
280
        <term><option>--enable
267
281
        <replaceable>PLUGIN</replaceable></option></term>
272
286
            Re-enable the plugin named
273
287
            <replaceable>PLUGIN</replaceable>.  This is only useful to
274
288
            undo a previous <option>--disable</option> option, maybe
275
 
            from the config file.
 
289
            from the configuration file.
276
290
          </para>
277
291
        </listitem>
278
292
      </varlistentry>
279
 
 
 
293
      
280
294
      <varlistentry>
281
295
        <term><option>--groupid
282
296
        <replaceable>ID</replaceable></option></term>
289
303
          </para>
290
304
        </listitem>
291
305
      </varlistentry>
292
 
 
 
306
      
293
307
      <varlistentry>
294
308
        <term><option>--userid
295
309
        <replaceable>ID</replaceable></option></term>
302
316
          </para>
303
317
        </listitem>
304
318
      </varlistentry>
305
 
 
 
319
      
306
320
      <varlistentry>
307
321
        <term><option>--plugin-dir
308
322
        <replaceable>DIRECTORY</replaceable></option></term>
317
331
      </varlistentry>
318
332
      
319
333
      <varlistentry>
 
334
        <term><option>--plugin-helper-dir
 
335
        <replaceable>DIRECTORY</replaceable></option></term>
 
336
        <listitem>
 
337
          <para>
 
338
            Specify a different plugin helper directory.  The default
 
339
            is <filename>/lib/mandos/plugin-helpers</filename>, which
 
340
            will exist in the initial <acronym>RAM</acronym> disk
 
341
            environment.  (This will simply be passed to all plugins
 
342
            via the <envar>MANDOSPLUGINHELPERDIR</envar> environment
 
343
            variable.  See <xref linkend="writing_plugins"/>)
 
344
          </para>
 
345
        </listitem>
 
346
      </varlistentry>
 
347
      
 
348
      <varlistentry>
320
349
        <term><option>--config-file
321
350
        <replaceable>FILE</replaceable></option></term>
322
351
        <listitem>
365
394
          </para>
366
395
        </listitem>
367
396
      </varlistentry>
368
 
 
 
397
      
369
398
      <varlistentry>
370
399
        <term><option>--version</option></term>
371
400
        <term><option>-V</option></term>
377
406
      </varlistentry>
378
407
    </variablelist>
379
408
  </refsect1>
380
 
 
 
409
  
381
410
  <refsect1 id="overview">
382
411
    <title>OVERVIEW</title>
383
412
    <xi:include href="overview.xml"/>
403
432
      code will make this plugin-runner output the password from that
404
433
      plugin, stop any other plugins, and exit.
405
434
    </para>
406
 
 
 
435
    
407
436
    <refsect2 id="writing_plugins">
408
437
      <title>WRITING PLUGINS</title>
409
438
      <para>
416
445
        console.
417
446
      </para>
418
447
      <para>
 
448
        If the password is a single-line, manually entered passprase,
 
449
        a final trailing newline character should
 
450
        <emphasis>not</emphasis> be printed.
 
451
      </para>
 
452
      <para>
419
453
        The plugin will run in the initial RAM disk environment, so
420
454
        care must be taken not to depend on any files or running
421
 
        services not available there.
 
455
        services not available there.  Any helper executables required
 
456
        by the plugin (which are not in the <envar>PATH</envar>) can
 
457
        be placed in the plugin helper directory, the name of which
 
458
        will be made available to the plugin via the
 
459
        <envar>MANDOSPLUGINHELPERDIR</envar> environment variable.
422
460
      </para>
423
461
      <para>
424
462
        The plugin must exit cleanly and free all allocated resources
428
466
      </para>
429
467
      <para>
430
468
        The plugin must not use resources, like for instance reading
431
 
        from the standard input, without knowing that no other plugins
432
 
        are also using it.
 
469
        from the standard input, without knowing that no other plugin
 
470
        is also using it.
433
471
      </para>
434
472
      <para>
435
473
        It is useful, but not required, for the plugin to take the
467
505
      only passes on its environment to all the plugins.  The
468
506
      environment passed to plugins can be modified using the
469
507
      <option>--global-env</option> and <option>--env-for</option>
470
 
      optins.
 
508
      options.  Also, the <option>--plugin-helper-dir</option> option
 
509
      will affect the environment variable
 
510
      <envar>MANDOSPLUGINHELPERDIR</envar> for the plugins.
471
511
    </para>
472
512
  </refsect1>
473
513
  
506
546
            </para>
507
547
          </listitem>
508
548
        </varlistentry>
 
549
        <varlistentry>
 
550
          <term><filename class="directory"
 
551
          >/lib/mandos/plugins.d</filename></term>
 
552
          <listitem>
 
553
            <para>
 
554
              The default plugin directory; can be changed by the
 
555
              <option>--plugin-dir</option> option.
 
556
            </para>
 
557
          </listitem>
 
558
        </varlistentry>
 
559
        <varlistentry>
 
560
          <term><filename class="directory"
 
561
          >/lib/mandos/plugin-helpers</filename></term>
 
562
          <listitem>
 
563
            <para>
 
564
              The default plugin helper directory; can be changed by
 
565
              the <option>--plugin-helper-dir</option> option.
 
566
            </para>
 
567
          </listitem>
 
568
        </varlistentry>
509
569
      </variablelist>
510
570
    </para>
511
571
  </refsect1>
512
572
  
513
 
<!--   <refsect1 id="bugs"> -->
514
 
<!--     <title>BUGS</title> -->
515
 
<!--     <para> -->
516
 
<!--     </para> -->
517
 
<!--   </refsect1> -->
 
573
  <refsect1 id="bugs">
 
574
    <title>BUGS</title>
 
575
    <para>
 
576
      The <option>--config-file</option> option is ignored when
 
577
      specified from within a configuration file.
 
578
    </para>
 
579
    <xi:include href="bugs.xml"/>
 
580
  </refsect1>
518
581
  
519
582
  <refsect1 id="examples">
520
583
    <title>EXAMPLE</title>
562
625
    </informalexample>
563
626
    <informalexample>
564
627
      <para>
565
 
        Run plugins from a different directory and add a special
566
 
        option to the <citerefentry><refentrytitle
567
 
        >password-request</refentrytitle>
 
628
        Read a different configuration file, run plugins from a
 
629
        different directory, specify an alternate plugin helper
 
630
        directory and add two options to the
 
631
        <citerefentry><refentrytitle >mandos-client</refentrytitle>
568
632
        <manvolnum>8mandos</manvolnum></citerefentry> plugin:
569
633
      </para>
570
634
      <para>
571
635
 
572
636
<!-- do not wrap this line -->
573
 
<userinput>&COMMANDNAME;  --plugin-dir=plugins.d --options-for=password-request:--keydir=keydir</userinput>
 
637
<userinput>cd /etc/keys/mandos; &COMMANDNAME;  --config-file=/etc/mandos/plugin-runner.conf --plugin-dir /usr/lib/x86_64-linux-gnu/mandos/plugins.d --plugin-helper-dir /usr/lib/x86_64-linux-gnu/mandos/plugin-helpers --options-for=mandos-client:--pubkey=pubkey.txt,--seckey=seckey.txt,--tls-pubkey=tls-pubkey.pem,--tls-privkey=tls-privkey.pem</userinput>
574
638
 
575
639
      </para>
576
640
    </informalexample>
584
648
      non-privileged.  This user and group is then what all plugins
585
649
      will be started as.  Therefore, the only way to run a plugin as
586
650
      a privileged user is to have the set-user-ID or set-group-ID bit
587
 
      set on the plugin executable files (see <citerefentry>
 
651
      set on the plugin executable file (see <citerefentry>
588
652
      <refentrytitle>execve</refentrytitle><manvolnum>2</manvolnum>
589
653
      </citerefentry>).
590
654
    </para>
591
655
    <para>
592
656
      If this program is used as a keyscript in <citerefentry
593
657
      ><refentrytitle>crypttab</refentrytitle><manvolnum>5</manvolnum>
594
 
      </citerefentry>, there is a risk that if this program fails to
595
 
      work, there might be no way to boot the system except for
596
 
      booting from another media and editing the initial RAM disk
 
658
      </citerefentry>, there is a slight risk that if this program
 
659
      fails to work, there might be no way to boot the system except
 
660
      for booting from another media and editing the initial RAM disk
597
661
      image to not run this program.  This is, however, unlikely,
598
662
      since the <citerefentry><refentrytitle
599
663
      >password-prompt</refentrytitle><manvolnum>8mandos</manvolnum>
608
672
  <refsect1 id="see_also">
609
673
    <title>SEE ALSO</title>
610
674
    <para>
 
675
      <citerefentry><refentrytitle>intro</refentrytitle>
 
676
      <manvolnum>8mandos</manvolnum></citerefentry>,
611
677
      <citerefentry><refentrytitle>cryptsetup</refentrytitle>
612
678
      <manvolnum>8</manvolnum></citerefentry>,
613
679
      <citerefentry><refentrytitle>crypttab</refentrytitle>
618
684
      <manvolnum>8</manvolnum></citerefentry>,
619
685
      <citerefentry><refentrytitle>password-prompt</refentrytitle>
620
686
      <manvolnum>8mandos</manvolnum></citerefentry>,
621
 
      <citerefentry><refentrytitle>password-request</refentrytitle>
 
687
      <citerefentry><refentrytitle>mandos-client</refentrytitle>
622
688
      <manvolnum>8mandos</manvolnum></citerefentry>
623
689
    </para>
624
690
  </refsect1>