/mandos/release

To get this branch, use:
bzr branch http://bzr.recompile.se/loggerhead/mandos/release

« back to all changes in this revision

Viewing changes to mandos.xml

  • Committer: Teddy Hogeborn
  • Date: 2025-06-27 19:49:05 UTC
  • mto: This revision was merged to the branch mainline in revision 414.
  • Revision ID: teddy@recompile.se-20250627194905-ijufqn8ytzdgkf34
Update copyright year

* dracut-module/ask-password-mandos.service: Update copyright year to
  2024.
* dracut-module/password-agent.c: Update copyright year to 2023.
* initramfs-unpack: Update copyright year to 2024.
* mandos: - '' -
* mandos-clients.conf.xml: Update copyright year to 2023.
* mandos-ctl: Update copyright year to 2024.
* mandos-keygen: - '' -
* mandos-monitor: - '' -
* mandos.conf.xml: - '' -
* mandos.xml: Update copyright year to 2022.
* plugin-runner.xml: Update copyright year to 2024.
* plugins.d/mandos-client.xml: - '' -
* plugins.d/plymouth.c: - '' -

Show diffs side-by-side

added added

removed removed

Lines of Context:
mandos.xml
1
1
<?xml version="1.0" encoding="UTF-8"?>
2
2
<!DOCTYPE refentry PUBLIC "-//OASIS//DTD DocBook XML V4.5//EN"
3
3
"http://www.oasis-open.org/docbook/xml/4.5/docbookx.dtd" [
4
 
<!ENTITY VERSION "1.0">
5
4
<!ENTITY COMMANDNAME "mandos">
6
 
<!ENTITY TIMESTAMP "2008-09-03">
 
5
<!ENTITY TIMESTAMP "2025-06-27">
 
6
<!ENTITY % common SYSTEM "common.ent">
 
7
%common;
7
8
]>
8
9
 
9
10
<refentry xmlns:xi="http://www.w3.org/2001/XInclude">
10
 
  <refentryinfo>
 
11
   <refentryinfo>
11
12
    <title>Mandos Manual</title>
12
13
    <!-- NWalsh’s docbook scripts use this to generate the footer: -->
13
14
    <productname>Mandos</productname>
14
 
    <productnumber>&VERSION;</productnumber>
 
15
    <productnumber>&version;</productnumber>
15
16
    <date>&TIMESTAMP;</date>
16
17
    <authorgroup>
17
18
      <author>
18
19
        <firstname>Björn</firstname>
19
20
        <surname>Påhlsson</surname>
20
21
        <address>
21
 
          <email>belorn@fukt.bsnet.se</email>
 
22
          <email>belorn@recompile.se</email>
22
23
        </address>
23
24
      </author>
24
25
      <author>
25
26
        <firstname>Teddy</firstname>
26
27
        <surname>Hogeborn</surname>
27
28
        <address>
28
 
          <email>teddy@fukt.bsnet.se</email>
 
29
          <email>teddy@recompile.se</email>
29
30
        </address>
30
31
      </author>
31
32
    </authorgroup>
32
33
    <copyright>
33
34
      <year>2008</year>
 
35
      <year>2009</year>
 
36
      <year>2010</year>
 
37
      <year>2011</year>
 
38
      <year>2012</year>
 
39
      <year>2013</year>
 
40
      <year>2014</year>
 
41
      <year>2015</year>
 
42
      <year>2016</year>
 
43
      <year>2017</year>
 
44
      <year>2018</year>
 
45
      <year>2019</year>
 
46
      <year>2020</year>
 
47
      <year>2021</year>
 
48
      <year>2022</year>
34
49
      <holder>Teddy Hogeborn</holder>
35
50
      <holder>Björn Påhlsson</holder>
36
51
    </copyright>
37
52
    <xi:include href="legalnotice.xml"/>
38
53
  </refentryinfo>
39
 
 
 
54
  
40
55
  <refmeta>
41
56
    <refentrytitle>&COMMANDNAME;</refentrytitle>
42
57
    <manvolnum>8</manvolnum>
48
63
      Gives encrypted passwords to authenticated Mandos clients
49
64
    </refpurpose>
50
65
  </refnamediv>
51
 
 
 
66
  
52
67
  <refsynopsisdiv>
53
68
    <cmdsynopsis>
54
69
      <command>&COMMANDNAME;</command>
83
98
      <replaceable>DIRECTORY</replaceable></option></arg>
84
99
      <sbr/>
85
100
      <arg><option>--debug</option></arg>
 
101
      <sbr/>
 
102
      <arg><option>--debuglevel
 
103
      <replaceable>LEVEL</replaceable></option></arg>
 
104
      <sbr/>
 
105
      <arg><option>--no-dbus</option></arg>
 
106
      <sbr/>
 
107
      <arg><option>--no-ipv6</option></arg>
 
108
      <sbr/>
 
109
      <arg><option>--no-restore</option></arg>
 
110
      <sbr/>
 
111
      <arg><option>--statedir
 
112
      <replaceable>DIRECTORY</replaceable></option></arg>
 
113
      <sbr/>
 
114
      <arg><option>--socket
 
115
      <replaceable>FD</replaceable></option></arg>
 
116
      <sbr/>
 
117
      <arg><option>--foreground</option></arg>
 
118
      <sbr/>
 
119
      <arg><option>--no-zeroconf</option></arg>
86
120
    </cmdsynopsis>
87
121
    <cmdsynopsis>
88
122
      <command>&COMMANDNAME;</command>
100
134
      <arg choice="plain"><option>--check</option></arg>
101
135
    </cmdsynopsis>
102
136
  </refsynopsisdiv>
103
 
 
 
137
  
104
138
  <refsect1 id="description">
105
139
    <title>DESCRIPTION</title>
106
140
    <para>
107
141
      <command>&COMMANDNAME;</command> is a server daemon which
108
 
      handles incoming request for passwords for a pre-defined list of
109
 
      client host computers.  The Mandos server uses Zeroconf to
110
 
      announce itself on the local network, and uses TLS to
111
 
      communicate securely with and to authenticate the clients.  The
112
 
      Mandos server uses IPv6 to allow Mandos clients to use IPv6
113
 
      link-local addresses, since the clients will probably not have
114
 
      any other addresses configured (see <xref linkend="overview"/>).
115
 
      Any authenticated client is then given the stored pre-encrypted
116
 
      password for that specific client.
 
142
      handles incoming requests for passwords for a pre-defined list
 
143
      of client host computers. For an introduction, see
 
144
      <citerefentry><refentrytitle>intro</refentrytitle>
 
145
      <manvolnum>8mandos</manvolnum></citerefentry>. The Mandos server
 
146
      uses Zeroconf to announce itself on the local network, and uses
 
147
      TLS to communicate securely with and to authenticate the
 
148
      clients.  The Mandos server uses IPv6 to allow Mandos clients to
 
149
      use IPv6 link-local addresses, since the clients will probably
 
150
      not have any other addresses configured (see <xref
 
151
      linkend="overview"/>).  Any authenticated client is then given
 
152
      the stored pre-encrypted password for that specific client.
117
153
    </para>
118
154
  </refsect1>
119
155
  
186
222
          <xi:include href="mandos-options.xml" xpointer="debug"/>
187
223
        </listitem>
188
224
      </varlistentry>
189
 
 
 
225
      
 
226
      <varlistentry>
 
227
        <term><option>--debuglevel
 
228
        <replaceable>LEVEL</replaceable></option></term>
 
229
        <listitem>
 
230
          <para>
 
231
            Set the debugging log level.
 
232
            <replaceable>LEVEL</replaceable> is a string, one of
 
233
            <quote><literal>CRITICAL</literal></quote>,
 
234
            <quote><literal>ERROR</literal></quote>,
 
235
            <quote><literal>WARNING</literal></quote>,
 
236
            <quote><literal>INFO</literal></quote>, or
 
237
            <quote><literal>DEBUG</literal></quote>, in order of
 
238
            increasing verbosity.  The default level is
 
239
            <quote><literal>WARNING</literal></quote>.
 
240
          </para>
 
241
        </listitem>
 
242
      </varlistentry>
 
243
      
190
244
      <varlistentry>
191
245
        <term><option>--priority <replaceable>
192
246
        PRIORITY</replaceable></option></term>
194
248
          <xi:include href="mandos-options.xml" xpointer="priority"/>
195
249
        </listitem>
196
250
      </varlistentry>
197
 
 
 
251
      
198
252
      <varlistentry>
199
253
        <term><option>--servicename
200
254
        <replaceable>NAME</replaceable></option></term>
203
257
                      xpointer="servicename"/>
204
258
        </listitem>
205
259
      </varlistentry>
206
 
 
 
260
      
207
261
      <varlistentry>
208
262
        <term><option>--configdir
209
263
        <replaceable>DIRECTORY</replaceable></option></term>
218
272
          </para>
219
273
        </listitem>
220
274
      </varlistentry>
221
 
 
 
275
      
222
276
      <varlistentry>
223
277
        <term><option>--version</option></term>
224
278
        <listitem>
227
281
          </para>
228
282
        </listitem>
229
283
      </varlistentry>
 
284
      
 
285
      <varlistentry>
 
286
        <term><option>--no-dbus</option></term>
 
287
        <listitem>
 
288
          <xi:include href="mandos-options.xml" xpointer="dbus"/>
 
289
          <para>
 
290
            See also <xref linkend="dbus_interface"/>.
 
291
          </para>
 
292
        </listitem>
 
293
      </varlistentry>
 
294
      
 
295
      <varlistentry>
 
296
        <term><option>--no-ipv6</option></term>
 
297
        <listitem>
 
298
          <xi:include href="mandos-options.xml" xpointer="ipv6"/>
 
299
        </listitem>
 
300
      </varlistentry>
 
301
      
 
302
      <varlistentry>
 
303
        <term><option>--no-restore</option></term>
 
304
        <listitem>
 
305
          <xi:include href="mandos-options.xml" xpointer="restore"/>
 
306
          <para>
 
307
            See also <xref linkend="persistent_state"/>.
 
308
          </para>
 
309
        </listitem>
 
310
      </varlistentry>
 
311
      
 
312
      <varlistentry>
 
313
        <term><option>--statedir
 
314
        <replaceable>DIRECTORY</replaceable></option></term>
 
315
        <listitem>
 
316
          <xi:include href="mandos-options.xml" xpointer="statedir"/>
 
317
        </listitem>
 
318
      </varlistentry>
 
319
      
 
320
      <varlistentry>
 
321
        <term><option>--socket
 
322
        <replaceable>FD</replaceable></option></term>
 
323
        <listitem>
 
324
          <xi:include href="mandos-options.xml" xpointer="socket"/>
 
325
        </listitem>
 
326
      </varlistentry>
 
327
      
 
328
      <varlistentry>
 
329
        <term><option>--foreground</option></term>
 
330
        <listitem>
 
331
          <xi:include href="mandos-options.xml"
 
332
                      xpointer="foreground"/>
 
333
        </listitem>
 
334
      </varlistentry>
 
335
      
 
336
      <varlistentry>
 
337
        <term><option>--no-zeroconf</option></term>
 
338
        <listitem>
 
339
          <xi:include href="mandos-options.xml" xpointer="zeroconf"/>
 
340
        </listitem>
 
341
      </varlistentry>
 
342
      
230
343
    </variablelist>
231
344
  </refsect1>
232
 
 
 
345
  
233
346
  <refsect1 id="overview">
234
347
    <title>OVERVIEW</title>
235
348
    <xi:include href="overview.xml"/>
239
352
      <acronym>RAM</acronym> disk environment.
240
353
    </para>
241
354
  </refsect1>
242
 
 
 
355
  
243
356
  <refsect1 id="protocol">
244
357
    <title>NETWORK PROTOCOL</title>
245
358
    <para>
252
365
      start a TLS protocol handshake with a slight quirk: the Mandos
253
366
      server program acts as a TLS <quote>client</quote> while the
254
367
      connecting Mandos client acts as a TLS <quote>server</quote>.
255
 
      The Mandos client must supply an OpenPGP certificate, and the
256
 
      fingerprint of this certificate is used by the Mandos server to
257
 
      look up (in a list read from <filename>clients.conf</filename>
258
 
      at start time) which binary blob to give the client.  No other
259
 
      authentication or authorization is done by the server.
 
368
      The Mandos client must supply a TLS public key, and the key ID
 
369
      of this public key is used by the Mandos server to look up (in a
 
370
      list read from <filename>clients.conf</filename> at start time)
 
371
      which binary blob to give the client.  No other authentication
 
372
      or authorization is done by the server.
260
373
    </para>
261
374
    <table>
262
375
      <title>Mandos Protocol (Version 1)</title><tgroup cols="3"><thead>
282
395
        </emphasis></entry>
283
396
      </row>
284
397
      <row>
285
 
        <entry>OpenPGP public key (part of TLS handshake)</entry>
 
398
        <entry>Public key (part of TLS handshake)</entry>
286
399
        <entry>-><!-- &rarr; --></entry>
287
400
      </row>
288
401
      <row>
297
410
      </row>
298
411
    </tbody></tgroup></table>
299
412
  </refsect1>
300
 
 
 
413
  
301
414
  <refsect1 id="checking">
302
415
    <title>CHECKING</title>
303
416
    <para>
304
417
      The server will, by default, continually check that the clients
305
418
      are still up.  If a client has not been confirmed as being up
306
419
      for some time, the client is assumed to be compromised and is no
307
 
      longer eligible to receive the encrypted password.  The timeout,
308
 
      checker program, and interval between checks can be configured
309
 
      both globally and per client; see <citerefentry>
 
420
      longer eligible to receive the encrypted password.  (Manual
 
421
      intervention is required to re-enable a client.)  The timeout,
 
422
      extended timeout, checker program, and interval between checks
 
423
      can be configured both globally and per client; see
 
424
      <citerefentry><refentrytitle>mandos-clients.conf</refentrytitle>
 
425
      <manvolnum>5</manvolnum></citerefentry>.
 
426
    </para>
 
427
  </refsect1>
 
428
  
 
429
  <refsect1 id="approval">
 
430
    <title>APPROVAL</title>
 
431
    <para>
 
432
      The server can be configured to require manual approval for a
 
433
      client before it is sent its secret.  The delay to wait for such
 
434
      approval and the default action (approve or deny) can be
 
435
      configured both globally and per client; see <citerefentry>
310
436
      <refentrytitle>mandos-clients.conf</refentrytitle>
311
 
      <manvolnum>5</manvolnum></citerefentry>.
312
 
    </para>
 
437
      <manvolnum>5</manvolnum></citerefentry>.  By default all clients
 
438
      will be approved immediately without delay.
 
439
    </para>
 
440
    <para>
 
441
      This can be used to deny a client its secret if not manually
 
442
      approved within a specified time.  It can also be used to make
 
443
      the server delay before giving a client its secret, allowing
 
444
      optional manual denying of this specific client.
 
445
    </para>
 
446
    
313
447
  </refsect1>
314
 
 
 
448
  
315
449
  <refsect1 id="logging">
316
450
    <title>LOGGING</title>
317
451
    <para>
318
452
      The server will send log message with various severity levels to
319
 
      <filename>/dev/log</filename>.  With the
 
453
      <filename class="devicefile">/dev/log</filename>.  With the
320
454
      <option>--debug</option> option, it will log even more messages,
321
455
      and also show them on the console.
322
456
    </para>
323
457
  </refsect1>
324
 
 
 
458
  
 
459
  <refsect1 id="persistent_state">
 
460
    <title>PERSISTENT STATE</title>
 
461
    <para>
 
462
      Client settings, initially read from
 
463
      <filename>clients.conf</filename>, are persistent across
 
464
      restarts, and run-time changes will override settings in
 
465
      <filename>clients.conf</filename>.  However, if a setting is
 
466
      <emphasis>changed</emphasis> (or a client added, or removed) in
 
467
      <filename>clients.conf</filename>, this will take precedence.
 
468
    </para>
 
469
  </refsect1>
 
470
  
 
471
  <refsect1 id="dbus_interface">
 
472
    <title>D-BUS INTERFACE</title>
 
473
    <para>
 
474
      The server will by default provide a D-Bus system bus interface.
 
475
      This interface will only be accessible by the root user or a
 
476
      Mandos-specific user, if such a user exists.  For documentation
 
477
      of the D-Bus API, see the file <filename>DBUS-API</filename>.
 
478
    </para>
 
479
  </refsect1>
 
480
  
325
481
  <refsect1 id="exit_status">
326
482
    <title>EXIT STATUS</title>
327
483
    <para>
329
485
      critical error is encountered.
330
486
    </para>
331
487
  </refsect1>
332
 
 
 
488
  
333
489
  <refsect1 id="environment">
334
490
    <title>ENVIRONMENT</title>
335
491
    <variablelist>
349
505
      </varlistentry>
350
506
    </variablelist>
351
507
  </refsect1>
352
 
 
353
 
  <refsect1 id="file">
 
508
  
 
509
  <refsect1 id="files">
354
510
    <title>FILES</title>
355
511
    <para>
356
512
      Use the <option>--configdir</option> option to change where
379
535
        </listitem>
380
536
      </varlistentry>
381
537
      <varlistentry>
382
 
        <term><filename>/var/run/mandos/mandos.pid</filename></term>
383
 
        <listitem>
384
 
          <para>
385
 
            The file containing the process id of
386
 
            <command>&COMMANDNAME;</command>.
387
 
          </para>
388
 
        </listitem>
389
 
      </varlistentry>
390
 
      <varlistentry>
391
 
        <term><filename>/dev/log</filename></term>
 
538
        <term><filename>/run/mandos.pid</filename></term>
 
539
        <listitem>
 
540
          <para>
 
541
            The file containing the process id of the
 
542
            <command>&COMMANDNAME;</command> process started last.
 
543
            <emphasis >Note:</emphasis> If the <filename
 
544
            class="directory">/run</filename> directory does not
 
545
            exist, <filename>/var/run/mandos.pid</filename> will be
 
546
            used instead.
 
547
          </para>
 
548
        </listitem>
 
549
      </varlistentry>
 
550
      <varlistentry>
 
551
        <term><filename
 
552
        class="directory">/var/lib/mandos</filename></term>
 
553
        <listitem>
 
554
          <para>
 
555
            Directory where persistent state will be saved.  Change
 
556
            this with the <option>--statedir</option> option.  See
 
557
            also the <option>--no-restore</option> option.
 
558
          </para>
 
559
        </listitem>
 
560
      </varlistentry>
 
561
      <varlistentry>
 
562
        <term><filename class="devicefile">/dev/log</filename></term>
392
563
        <listitem>
393
564
          <para>
394
565
            The Unix domain socket to where local syslog messages are
417
588
      backtrace.  This could be considered a feature.
418
589
    </para>
419
590
    <para>
420
 
      Currently, if a client is declared <quote>invalid</quote> due to
421
 
      having timed out, the server does not record this fact onto
422
 
      permanent storage.  This has some security implications, see
423
 
      <xref linkend="CLIENTS"/>.
424
 
    </para>
425
 
    <para>
426
 
      There is currently no way of querying the server of the current
427
 
      status of clients, other than analyzing its <systemitem
428
 
      class="service">syslog</systemitem> output.
429
 
    </para>
430
 
    <para>
431
591
      There is no fine-grained control over logging and debug output.
432
592
    </para>
433
 
    <para>
434
 
      Debug mode is conflated with running in the foreground.
435
 
    </para>
436
 
    <para>
437
 
      The console log messages does not show a timestamp.
438
 
    </para>
439
 
    <para>
440
 
      This server does not check the expire time of clients’ OpenPGP
441
 
      keys.
442
 
    </para>
 
593
    <xi:include href="bugs.xml"/>
443
594
  </refsect1>
444
595
  
445
596
  <refsect1 id="example">
455
606
    <informalexample>
456
607
      <para>
457
608
        Run the server in debug mode, read configuration files from
458
 
        the <filename>~/mandos</filename> directory, and use the
459
 
        Zeroconf service name <quote>Test</quote> to not collide with
460
 
        any other official Mandos server on this host:
 
609
        the <filename class="directory">~/mandos</filename> directory,
 
610
        and use the Zeroconf service name <quote>Test</quote> to not
 
611
        collide with any other official Mandos server on this host:
461
612
      </para>
462
613
      <para>
463
614
 
479
630
      </para>
480
631
    </informalexample>
481
632
  </refsect1>
482
 
 
 
633
  
483
634
  <refsect1 id="security">
484
635
    <title>SECURITY</title>
485
 
    <refsect2 id="SERVER">
 
636
    <refsect2 id="server">
486
637
      <title>SERVER</title>
487
638
      <para>
488
639
        Running this <command>&COMMANDNAME;</command> server program
489
640
        should not in itself present any security risk to the host
490
 
        computer running it.  The program does not need any special
491
 
        privileges to run, and is designed to run as a non-root user.
 
641
        computer running it.  The program switches to a non-root user
 
642
        soon after startup.
492
643
      </para>
493
644
    </refsect2>
494
 
    <refsect2 id="CLIENTS">
 
645
    <refsect2 id="clients">
495
646
      <title>CLIENTS</title>
496
647
      <para>
497
648
        The server only gives out its stored data to clients which
498
 
        does have the OpenPGP key of the stored fingerprint.  This is
499
 
        guaranteed by the fact that the client sends its OpenPGP
500
 
        public key in the TLS handshake; this ensures it to be
501
 
        genuine.  The server computes the fingerprint of the key
502
 
        itself and looks up the fingerprint in its list of
503
 
        clients. The <filename>clients.conf</filename> file (see
 
649
        does have the correct key ID of the stored key ID.  This is
 
650
        guaranteed by the fact that the client sends its public key in
 
651
        the TLS handshake; this ensures it to be genuine.  The server
 
652
        computes the key ID of the key itself and looks up the key ID
 
653
        in its list of clients. The <filename>clients.conf</filename>
 
654
        file (see
504
655
        <citerefentry><refentrytitle>mandos-clients.conf</refentrytitle>
505
656
        <manvolnum>5</manvolnum></citerefentry>)
506
657
        <emphasis>must</emphasis> be made non-readable by anyone
507
 
        except the user running the server.
 
658
        except the user starting the server (usually root).
508
659
      </para>
509
660
      <para>
510
661
        As detailed in <xref linkend="checking"/>, the status of all
512
663
        compromised if they are gone for too long.
513
664
      </para>
514
665
      <para>
515
 
        If a client is compromised, its downtime should be duly noted
516
 
        by the server which would therefore declare the client
517
 
        invalid.  But if the server was ever restarted, it would
518
 
        re-read its client list from its configuration file and again
519
 
        regard all clients therein as valid, and hence eligible to
520
 
        receive their passwords.  Therefore, be careful when
521
 
        restarting servers if it is suspected that a client has, in
522
 
        fact, been compromised by parties who may now be running a
523
 
        fake Mandos client with the keys from the non-encrypted
524
 
        initial <acronym>RAM</acronym> image of the client host.  What
525
 
        should be done in that case (if restarting the server program
526
 
        really is necessary) is to stop the server program, edit the
527
 
        configuration file to omit any suspect clients, and restart
528
 
        the server program.
529
 
      </para>
530
 
      <para>
531
666
        For more details on client-side security, see
532
 
        <citerefentry><refentrytitle>password-request</refentrytitle>
 
667
        <citerefentry><refentrytitle>mandos-client</refentrytitle>
533
668
        <manvolnum>8mandos</manvolnum></citerefentry>.
534
669
      </para>
535
670
    </refsect2>
536
671
  </refsect1>
537
 
 
 
672
  
538
673
  <refsect1 id="see_also">
539
674
    <title>SEE ALSO</title>
540
675
    <para>
541
 
      <citerefentry>
542
 
        <refentrytitle>mandos-clients.conf</refentrytitle>
543
 
        <manvolnum>5</manvolnum></citerefentry>, <citerefentry>
544
 
        <refentrytitle>mandos.conf</refentrytitle>
545
 
        <manvolnum>5</manvolnum></citerefentry>, <citerefentry>
546
 
        <refentrytitle>password-request</refentrytitle>
547
 
        <manvolnum>8mandos</manvolnum></citerefentry>, <citerefentry>
548
 
        <refentrytitle>sh</refentrytitle><manvolnum>1</manvolnum>
549
 
      </citerefentry>
 
676
      <citerefentry><refentrytitle>intro</refentrytitle>
 
677
      <manvolnum>8mandos</manvolnum></citerefentry>,
 
678
      <citerefentry><refentrytitle>mandos-clients.conf</refentrytitle>
 
679
      <manvolnum>5</manvolnum></citerefentry>,
 
680
      <citerefentry><refentrytitle>mandos.conf</refentrytitle>
 
681
      <manvolnum>5</manvolnum></citerefentry>,
 
682
      <citerefentry><refentrytitle>mandos-client</refentrytitle>
 
683
      <manvolnum>8mandos</manvolnum></citerefentry>,
 
684
      <citerefentry><refentrytitle>sh</refentrytitle>
 
685
      <manvolnum>1</manvolnum></citerefentry>
550
686
    </para>
551
687
    <variablelist>
552
688
      <varlistentry>
562
698
      </varlistentry>
563
699
      <varlistentry>
564
700
        <term>
565
 
          <ulink url="http://www.avahi.org/">Avahi</ulink>
 
701
          <ulink url="https://www.avahi.org/">Avahi</ulink>
566
702
        </term>
567
703
      <listitem>
568
704
        <para>
573
709
      </varlistentry>
574
710
      <varlistentry>
575
711
        <term>
576
 
          <ulink url="http://www.gnu.org/software/gnutls/"
577
 
          >GnuTLS</ulink>
 
712
          <ulink url="https://gnutls.org/">GnuTLS</ulink>
578
713
        </term>
579
714
      <listitem>
580
715
        <para>
581
716
          GnuTLS is the library this server uses to implement TLS for
582
717
          communicating securely with the client, and at the same time
583
 
          confidently get the client’s public OpenPGP key.
 
718
          confidently get the client’s public key.
584
719
        </para>
585
720
      </listitem>
586
721
      </varlistentry>
607
742
            <listitem>
608
743
              <para>
609
744
                The clients use IPv6 link-local addresses, which are
610
 
                immediately usable since a link-local addresses is
 
745
                immediately usable since a link-local address is
611
746
                automatically assigned to a network interfaces when it
612
747
                is brought up.
613
748
              </para>
618
753
      </varlistentry>
619
754
      <varlistentry>
620
755
        <term>
621
 
          RFC 4346: <citetitle>The Transport Layer Security (TLS)
622
 
          Protocol Version 1.1</citetitle>
 
756
          RFC 5246: <citetitle>The Transport Layer Security (TLS)
 
757
          Protocol Version 1.2</citetitle>
623
758
        </term>
624
759
      <listitem>
625
760
        <para>
626
 
          TLS 1.1 is the protocol implemented by GnuTLS.
 
761
          TLS 1.2 is the protocol implemented by GnuTLS.
627
762
        </para>
628
763
      </listitem>
629
764
      </varlistentry>
639
774
      </varlistentry>
640
775
      <varlistentry>
641
776
        <term>
642
 
          RFC 5081: <citetitle>Using OpenPGP Keys for Transport Layer
643
 
          Security</citetitle>
644
 
        </term>
645
 
      <listitem>
646
 
        <para>
647
 
          This is implemented by GnuTLS and used by this server so
648
 
          that OpenPGP keys can be used.
 
777
          RFC 7250: <citetitle>Using Raw Public Keys in Transport
 
778
          Layer Security (TLS) and Datagram Transport Layer Security
 
779
          (DTLS)</citetitle>
 
780
        </term>
 
781
      <listitem>
 
782
        <para>
 
783
          This is implemented by GnuTLS version 3.6.6 and is, if
 
784
          present, used by this server so that raw public keys can be
 
785
          used.
 
786
        </para>
 
787
      </listitem>
 
788
      </varlistentry>
 
789
      <varlistentry>
 
790
        <term>
 
791
          RFC 6091: <citetitle>Using OpenPGP Keys for Transport Layer
 
792
          Security (TLS) Authentication</citetitle>
 
793
        </term>
 
794
      <listitem>
 
795
        <para>
 
796
          This is implemented by GnuTLS before version 3.6.0 and is,
 
797
          if present, used by this server so that OpenPGP keys can be
 
798
          used.
649
799
        </para>
650
800
      </listitem>
651
801
      </varlistentry>