/mandos/release

To get this branch, use:
bzr branch http://bzr.recompile.se/loggerhead/mandos/release

« back to all changes in this revision

Viewing changes to mandos-clients.conf.xml

  • Committer: Teddy Hogeborn
  • Date: 2024-11-24 00:44:25 UTC
  • mto: This revision was merged to the branch mainline in revision 412.
  • Revision ID: teddy@recompile.se-20241124004425-6k3y0ir1ksyjq3c4
mandos-keygen: Show warning about old OpenSSH versions

When generating a config file snippet on the Mandos client system
using mandos-keygen, and the default ssh-keyscan checker is used, and
if the OpenSSH version is 9.8 or later, the "checker" command
generated for the config file on the Mandos server will include the
"-q" option for ssh-keyscan.  This option did not exist on ssh-keyscan
from OpenSSH older than version 9.8.  Therefore, if the Mandos
*server* is running an older version of OpenSSH, where ssh-keyscan
does not support the "-q" option, this option must be removed from the
generated "checker" setting.  Since we cannot know if this is the case
when running mandos-keygen on the Mandos client system, we print this
information as a comment above the generated "checker" setting.

* mandos-keygen: Show warning if the new "-q" options was used with
  ssh-keyscan in the generated "checker" setting.

Show diffs side-by-side

added added

removed removed

Lines of Context:
mandos-clients.conf.xml
228
228
        ><replaceable>HEXSTRING</replaceable></option></term>
229
229
        <listitem>
230
230
          <para>
231
 
            This option is <emphasis>required</emphasis>.
 
231
            This option is <emphasis>required</emphasis> if the
 
232
            <option>key_id</option> is not set, and
 
233
            <emphasis>optional</emphasis> otherwise.
232
234
          </para>
233
235
          <para>
234
 
            This option sets the OpenPGP fingerprint that identifies
235
 
            the public key that clients authenticate themselves with
236
 
            through TLS.  The string needs to be in hexadecimal form,
237
 
            but spaces or upper/lower case are not significant.
 
236
            This option sets the OpenPGP fingerprint that (before
 
237
            GnuTLS 3.6.0) identified the public key that clients
 
238
            authenticate themselves with through TLS.  The string
 
239
            needs to be in hexadecimal form, but spaces or upper/lower
 
240
            case are not significant.
238
241
          </para>
239
242
        </listitem>
240
243
      </varlistentry>
244
247
        ><replaceable>HEXSTRING</replaceable></option></term>
245
248
        <listitem>
246
249
          <para>
247
 
            This option is <emphasis>optional</emphasis>.
 
250
            This option is <emphasis>required</emphasis> if the
 
251
            <option>fingerprint</option> is not set, and
 
252
            <emphasis>optional</emphasis> otherwise.
248
253
          </para>
249
254
          <para>
250
 
            This option sets the certificate key ID that identifies
251
 
            the public key that clients authenticate themselves with
252
 
            through TLS.  The string needs to be in hexadecimal form,
253
 
            but spaces or upper/lower case are not significant.
 
255
            This option sets the certificate key ID that (with GnuTLS
 
256
            3.6.6 or later) identifies the public key that clients
 
257
            authenticate themselves with through TLS.  The string
 
258
            needs to be in hexadecimal form, but spaces or upper/lower
 
259
            case are not significant.
254
260
          </para>
255
261
        </listitem>
256
262
      </varlistentry>