/mandos/release

To get this branch, use:
bzr branch http://bzr.recompile.se/loggerhead/mandos/release

« back to all changes in this revision

Viewing changes to mandos-keygen

Merge new wireless network hook.  Fix bridge network hook to use
hardware addresses instead of interface names.  Implement and document
new "CONNECT" environment variable for network hooks.

Show diffs side-by-side

added added

removed removed

Lines of Context:
mandos-keygen
2
2
# 
3
3
# Mandos key generator - create a new OpenPGP key for a Mandos client
4
4
# 
5
 
# Copyright © 2008-2016 Teddy Hogeborn
6
 
# Copyright © 2008-2016 Björn Påhlsson
 
5
# Copyright © 2008-2011 Teddy Hogeborn
 
6
# Copyright © 2008-2011 Björn Påhlsson
7
7
# 
8
8
# This program is free software: you can redistribute it and/or modify
9
9
# it under the terms of the GNU General Public License as published by
21
21
# Contact the authors at <mandos@recompile.se>.
22
22
# 
23
23
 
24
 
VERSION="1.7.3"
 
24
VERSION="1.4.1"
25
25
 
26
26
KEYDIR="/etc/keys/mandos"
27
 
KEYTYPE=RSA
28
 
KEYLENGTH=4096
29
 
SUBKEYTYPE=RSA
30
 
SUBKEYLENGTH=4096
 
27
KEYTYPE=DSA
 
28
KEYLENGTH=2048
 
29
SUBKEYTYPE=ELG-E
 
30
SUBKEYLENGTH=2048
31
31
KEYNAME="`hostname --fqdn 2>/dev/null || hostname`"
32
32
KEYEMAIL=""
33
 
KEYCOMMENT=""
 
33
KEYCOMMENT="Mandos client key"
34
34
KEYEXPIRE=0
35
35
FORCE=no
36
 
SSH=yes
37
36
KEYCOMMENT_ORIG="$KEYCOMMENT"
38
37
mode=keygen
39
38
 
42
41
fi
43
42
 
44
43
# Parse options
45
 
TEMP=`getopt --options vhpF:d:t:l:s:L:n:e:c:x:fS \
46
 
    --longoptions version,help,password,passfile:,dir:,type:,length:,subtype:,sublength:,name:,email:,comment:,expire:,force,no-ssh \
 
44
TEMP=`getopt --options vhpF:d:t:l:s:L:n:e:c:x:f \
 
45
    --longoptions version,help,password,passfile:,dir:,type:,length:,subtype:,sublength:,name:,email:,comment:,expire:,force \
47
46
    --name "$0" -- "$@"`
48
47
 
49
48
help(){
50
 
basename="`basename "$0"`"
 
49
basename="`basename $0`"
51
50
cat <<EOF
52
51
Usage: $basename [ -v | --version ]
53
52
       $basename [ -h | --help ]
61
60
  -v, --version         Show program's version number and exit
62
61
  -h, --help            Show this help message and exit
63
62
  -d DIR, --dir DIR     Target directory for key files
64
 
  -t TYPE, --type TYPE  Key type.  Default is RSA.
 
63
  -t TYPE, --type TYPE  Key type.  Default is DSA.
65
64
  -l BITS, --length BITS
66
 
                        Key length in bits.  Default is 4096.
 
65
                        Key length in bits.  Default is 2048.
67
66
  -s TYPE, --subtype TYPE
68
 
                        Subkey type.  Default is RSA.
 
67
                        Subkey type.  Default is ELG-E.
69
68
  -L BITS, --sublength BITS
70
 
                        Subkey length in bits.  Default is 4096.
 
69
                        Subkey length in bits.  Default is 2048.
71
70
  -n NAME, --name NAME  Name of key.  Default is the FQDN.
72
71
  -e ADDRESS, --email ADDRESS
73
72
                        Email address of key.  Default is empty.
74
73
  -c TEXT, --comment TEXT
75
 
                        Comment field for key.  The default is empty.
 
74
                        Comment field for key.  The default value is
 
75
                        "Mandos client key".
76
76
  -x TIME, --expire TIME
77
77
                        Key expire time.  Default is no expiration.
78
78
                        See gpg(1) for syntax.
86
86
                        Encrypt a password from FILE using the key in
87
87
                        the key directory.  All options other than
88
88
                        --dir and --name are ignored.
89
 
  -S, --no-ssh          Don't get SSH key or set "checker" option.
90
89
EOF
91
90
}
92
91
 
105
104
        -c|--comment) KEYCOMMENT="$2"; shift 2;;
106
105
        -x|--expire) KEYEXPIRE="$2"; shift 2;;
107
106
        -f|--force) FORCE=yes; shift;;
108
 
        -S|--no-ssh) SSH=no; shift;;
109
107
        -v|--version) echo "$0 $VERSION"; exit;;
110
108
        -h|--help) help; exit;;
111
109
        --) shift; break;;
113
111
    esac
114
112
done
115
113
if [ "$#" -gt 0 ]; then
116
 
    echo "Unknown arguments: '$*'" >&2
 
114
    echo "Unknown arguments: '$@'" >&2
117
115
    exit 1
118
116
fi
119
117
 
191
189
trap "
192
190
set +e; \
193
191
test -n \"$SECFILE\" && shred --remove \"$SECFILE\"; \
194
 
shred --remove \"$RINGDIR\"/sec* 2>/dev/null;
 
192
shred --remove \"$RINGDIR\"/sec*;
195
193
test -n \"$BATCHFILE\" && rm --force \"$BATCHFILE\"; \
196
194
rm --recursive --force \"$RINGDIR\";
197
195
tty --quiet && stty echo; \
206
204
    cat >"$BATCHFILE" <<-EOF
207
205
        Key-Type: $KEYTYPE
208
206
        Key-Length: $KEYLENGTH
209
 
        Key-Usage: sign,auth
 
207
        #Key-Usage: encrypt,sign,auth
210
208
        Subkey-Type: $SUBKEYTYPE
211
209
        Subkey-Length: $SUBKEYLENGTH
212
 
        Subkey-Usage: encrypt
 
210
        #Subkey-Usage: encrypt,sign,auth
213
211
        Name-Real: $KEYNAME
214
212
        $KEYCOMMENTLINE
215
213
        $KEYEMAILLINE
231
229
        date
232
230
    fi
233
231
    
234
 
    # Make sure trustdb.gpg exists;
235
 
    # this is a workaround for Debian bug #737128
236
 
    gpg --quiet --batch --no-tty --no-options --enable-dsa2 \
237
 
        --homedir "$RINGDIR" \
238
 
        --import-ownertrust < /dev/null
239
232
    # Generate a new key in the key rings
240
233
    gpg --quiet --batch --no-tty --no-options --enable-dsa2 \
241
234
        --homedir "$RINGDIR" --trust-model always \
277
270
fi
278
271
 
279
272
if [ "$mode" = password ]; then
280
 
    
281
 
    # Make SSH be 0 or 1
282
 
    case "$SSH" in
283
 
        [Yy][Ee][Ss]|[Tt][Rr][Uu][Ee]) SSH=1;;
284
 
        [Nn][Oo]|[Ff][Aa][Ll][Ss][Ee]|*) SSH=0;;
285
 
    esac
286
 
    
287
 
    if [ $SSH -eq 1 ]; then
288
 
        for ssh_keytype in ed25519 rsa; do
289
 
            set +e
290
 
            ssh_fingerprint="`ssh-keyscan -t $ssh_keytype localhost 2>/dev/null`"
291
 
            set -e
292
 
            if [ $? -ne 0 ]; then
293
 
                ssh_fingerprint=""
294
 
                continue
295
 
            fi
296
 
            if [ -n "$ssh_fingerprint" ]; then
297
 
                ssh_fingerprint="${ssh_fingerprint#localhost }"
298
 
                break
299
 
            fi
300
 
        done
301
 
    fi
302
 
    
303
273
    # Import key into temporary key rings
304
274
    gpg --quiet --batch --no-tty --no-options --enable-dsa2 \
305
275
        --homedir "$RINGDIR" --trust-model always --armor \
310
280
    
311
281
    # Get fingerprint of key
312
282
    FINGERPRINT="`gpg --quiet --batch --no-tty --no-options \
313
 
        --enable-dsa2 --homedir "$RINGDIR" --trust-model always \
 
283
        --enable-dsa2 --homedir \"$RINGDIR\" --trust-model always \
314
284
        --fingerprint --with-colons \
315
285
        | sed --quiet \
316
286
        --expression='/^fpr:/{s/^fpr:.*:\\([0-9A-Z]*\\):\$/\\1/p;q}'`"
324
294
            cat "$PASSFILE"
325
295
        else
326
296
            tty --quiet && stty -echo
327
 
            echo -n "Enter passphrase: " >&2
328
 
            read first
 
297
            read -p "Enter passphrase: " first
329
298
            tty --quiet && echo >&2
330
 
            echo -n "Repeat passphrase: " >&2
331
 
            read second
 
299
            read -p "Repeat passphrase: " second
332
300
            if tty --quiet; then
333
301
                echo >&2
334
302
                stty echo
368
336
                /^[^-]/s/^/    /p
369
337
            }
370
338
        }' < "$SECFILE"
371
 
    if [ -n "$ssh_fingerprint" ]; then
372
 
        echo 'checker = ssh-keyscan -t '"$ssh_keytype"' %%(host)s 2>/dev/null | grep --fixed-strings --line-regexp --quiet --regexp=%%(host)s" %(ssh_fingerprint)s"'
373
 
        echo "ssh_fingerprint = ${ssh_fingerprint}"
374
 
    fi
375
339
fi
376
340
 
377
341
trap - EXIT
382
346
    shred --remove "$SECFILE"
383
347
fi
384
348
# Remove the key rings
385
 
shred --remove "$RINGDIR"/sec* 2>/dev/null
 
349
shred --remove "$RINGDIR"/sec*
386
350
rm --recursive --force "$RINGDIR"