/mandos/trunk

To get this branch, use:
bzr branch http://bzr.recompile.se/loggerhead/mandos/trunk

« back to all changes in this revision

Viewing changes to initramfs-tools-hook

  • Committer: Teddy Hogeborn
  • Date: 2019-07-14 22:39:15 UTC
  • Revision ID: teddy@recompile.se-20190714223915-aqjkms3t3taa6tye
Only use sanitizing options when debugging

The C compiler's sanitizing options introduce code in the output
binary which is fragile and not very security conscious.  It has
become clear that sanitizing is only really meant for use while
debugging.

As a side effect, this makes compilation faster, as the Makefile, for
production builds, no longer runs the compiler repeatedly to find all
its currently supported sanitizing options.

* Makefile (DEBUG): Add "$(SANITIZE)".
  (SANITIZE): Comment out.
  (CFLAGS): Remove "$(SANITIZE)".
  (plugins.d/mandos-client): Revert back to use plain $(LINK.c), since
                             we no longer need to remove the leak
                             sanitizer by overriding CFLAGS.

Show diffs side-by-side

added added

removed removed

Lines of Context:
initramfs-tools-hook
3
3
# This script will be run by 'mkinitramfs' when it creates the image.
4
4
# Its job is to decide which files to install, then install them into
5
5
# the staging area, where the initramfs is being created.  This
6
 
# happens when a new 'linux-image' package is installed, or when the
 
6
# happens when a new 'linux-image' package is installed, or when an
7
7
# administrator runs 'update-initramfs' by hand to update an initramfs
8
8
# image.
9
9
 
29
29
 
30
30
. /usr/share/initramfs-tools/hook-functions
31
31
 
32
 
for d in /usr /usr/local; do
33
 
    if [ -d "$d"/lib/mandos ]; then
34
 
        prefix="$d"
 
32
for d in /usr/lib \
 
33
    "/usr/lib/`dpkg-architecture -qDEB_HOST_MULTIARCH 2>/dev/null`" \
 
34
    "`rpm --eval='%{_libdir}' 2>/dev/null`" /usr/local/lib; do
 
35
    if [ -d "$d"/mandos ]; then
 
36
        libdir="$d"
35
37
        break
36
38
    fi
37
39
done
38
 
if [ -z "$prefix" ]; then
 
40
if [ -z "$libdir" ]; then
39
41
    # Mandos not found
40
42
    exit 1
41
43
fi
51
53
    exit 1
52
54
fi
53
55
 
54
 
mandos_user="`{ getent passwd mandos \
55
 
                || getent passwd nobody \
56
 
                || echo ::65534::::; } \
57
 
        | awk --field-separator=: '{ print $3 }'`" 
58
 
mandos_group="`{ getent group mandos \
59
 
                || getent group nogroup \
60
 
                || echo ::65534:; } \
61
 
        | awk --field-separator=: '{ print $3 }'`"
 
56
set `{ getent passwd _mandos \
 
57
    || getent passwd nobody \
 
58
    || echo ::65534:65534:::; } \
 
59
    | cut --delimiter=: --fields=3,4 --only-delimited \
 
60
    --output-delimiter=" "`
 
61
mandos_user="$1"
 
62
mandos_group="$2"
62
63
 
63
64
# The Mandos network client uses the network
64
65
auto_add_modules net
69
70
CONFDIR="/conf/conf.d/mandos"
70
71
MANDOSDIR="/lib/mandos"
71
72
PLUGINDIR="${MANDOSDIR}/plugins.d"
 
73
PLUGINHELPERDIR="${MANDOSDIR}/plugin-helpers"
 
74
HOOKDIR="${MANDOSDIR}/network-hooks.d"
72
75
 
73
76
# Make directories
74
77
install --directory --mode=u=rwx,go=rx "${DESTDIR}${CONFDIR}" \
75
 
        "${DESTDIR}${MANDOSDIR}"
 
78
        "${DESTDIR}${MANDOSDIR}" "${DESTDIR}${HOOKDIR}"
76
79
install --owner=${mandos_user} --group=${mandos_group} --directory \
77
 
    --mode=u=rwx "${DESTDIR}${PLUGINDIR}"
 
80
        --mode=u=rwx "${DESTDIR}${PLUGINDIR}" \
 
81
        "${DESTDIR}${PLUGINHELPERDIR}"
 
82
 
 
83
copy_exec "$libdir"/mandos/mandos-to-cryptroot-unlock "${MANDOSDIR}"
78
84
 
79
85
# Copy the Mandos plugin runner
80
 
copy_exec "$prefix"/lib/mandos/plugin-runner "${MANDOSDIR}"
 
86
copy_exec "$libdir"/mandos/plugin-runner "${MANDOSDIR}"
81
87
 
82
88
# Copy the plugins
83
89
 
84
90
# Copy the packaged plugins
85
 
for file in "$prefix"/lib/mandos/plugins.d/*; do
 
91
for file in "$libdir"/mandos/plugins.d/*; do
86
92
    base="`basename \"$file\"`"
87
93
    # Is this plugin overridden?
88
94
    if [ -e "/etc/mandos/plugins.d/$base" ]; then
89
95
        continue
90
96
    fi
91
97
    case "$base" in
92
 
        *~|.*|\#*\#|*.dpkg-old|*.dpkg-new|*.dpkg-divert) : ;;
93
 
        "*") :;;
94
 
        *) copy_exec "$file" "${PLUGINDIR}";;
 
98
        *~|.*|\#*\#|*.dpkg-old|*.dpkg-bak|*.dpkg-new|*.dpkg-divert)
 
99
            : ;;
 
100
        "*") echo "W: Mandos client plugin directory is empty." >&2 ;;
 
101
        *) copy_exec "$file" "${PLUGINDIR}" ;;
 
102
    esac
 
103
done
 
104
 
 
105
# Copy the packaged plugin helpers
 
106
for file in "$libdir"/mandos/plugin-helpers/*; do
 
107
    base="`basename \"$file\"`"
 
108
    # Is this plugin overridden?
 
109
    if [ -e "/etc/mandos/plugin-helpers/$base" ]; then
 
110
        continue
 
111
    fi
 
112
    case "$base" in
 
113
        *~|.*|\#*\#|*.dpkg-old|*.dpkg-bak|*.dpkg-new|*.dpkg-divert)
 
114
            : ;;
 
115
        "*") : ;;
 
116
        *) copy_exec "$file" "${PLUGINHELPERDIR}" ;;
95
117
    esac
96
118
done
97
119
 
99
121
for file in /etc/mandos/plugins.d/*; do
100
122
    base="`basename \"$file\"`"
101
123
    case "$base" in
102
 
        *~|.*|\#*\#|*.dpkg-old|*.dpkg-new|*.dpkg-divert) : ;;
103
 
        "*") :;;
104
 
        *) copy_exec "$file" "${PLUGINDIR}";;
105
 
    esac
106
 
done
107
 
 
108
 
# GPGME needs /usr/bin/gpg
109
 
if [ ! -e "${DESTDIR}/usr/bin/gpg" \
110
 
    -a -n "`ls \"${DESTDIR}\"/usr/lib/libgpgme.so* \
111
 
                2>/dev/null`" ]; then
112
 
    copy_exec /usr/bin/gpg
113
 
fi
 
124
        *~|.*|\#*\#|*.dpkg-old|*.dpkg-bak|*.dpkg-new|*.dpkg-divert)
 
125
            : ;;
 
126
        "*") : ;;
 
127
        *) copy_exec "$file" "${PLUGINDIR}" ;;
 
128
    esac
 
129
done
 
130
 
 
131
# Copy any user-supplied plugin helpers
 
132
for file in /etc/mandos/plugin-helpers/*; do
 
133
    base="`basename \"$file\"`"
 
134
    case "$base" in
 
135
        *~|.*|\#*\#|*.dpkg-old|*.dpkg-bak|*.dpkg-new|*.dpkg-divert)
 
136
            : ;;
 
137
        "*") : ;;
 
138
        *) copy_exec "$file" "${PLUGINHELPERDIR}" ;;
 
139
    esac
 
140
done
 
141
 
 
142
# Get DEVICE from initramfs.conf and other files
 
143
. /etc/initramfs-tools/initramfs.conf
 
144
for conf in /etc/initramfs-tools/conf.d/*; do
 
145
    if [ -n `basename \"$conf\" | grep '^[[:alnum:]][[:alnum:]\._-]*$' \
 
146
        | grep -v '\.dpkg-.*$'` ]; then
 
147
        [ -f "${conf}" ] && . "${conf}"
 
148
    fi
 
149
done
 
150
export DEVICE
 
151
 
 
152
# Copy network hooks
 
153
for hook in /etc/mandos/network-hooks.d/*; do
 
154
    case "`basename \"$hook\"`" in
 
155
        "*") continue ;;
 
156
        *[!A-Za-z0-9_.-]*) continue ;;
 
157
        *) test -d "$hook" || copy_exec "$hook" "${HOOKDIR}" ;;
 
158
    esac
 
159
    if [ -x "$hook" ]; then
 
160
        # Copy any files needed by the network hook
 
161
        MANDOSNETHOOKDIR=/etc/mandos/network-hooks.d MODE=files \
 
162
            VERBOSITY=0 "$hook" files | while read -r file target; do
 
163
            if [ ! -e "${file}" ]; then
 
164
                echo "WARNING: file ${file} not found, requested by Mandos network hook '${hook##*/}'" >&2
 
165
            fi
 
166
            if [ -z "${target}" ]; then
 
167
                copy_exec "$file"
 
168
            else
 
169
                copy_exec "$file" "$target"
 
170
            fi
 
171
        done
 
172
        # Copy and load any modules needed by the network hook
 
173
        MANDOSNETHOOKDIR=/etc/mandos/network-hooks.d MODE=modules \
 
174
            VERBOSITY=0 "$hook" modules | while read -r module; do
 
175
            force_load "$module"
 
176
        done
 
177
    fi
 
178
done
 
179
 
 
180
# GPGME needs GnuPG
 
181
gpg=/usr/bin/gpg
 
182
libgpgme11_version="`dpkg-query --showformat='${Version}' --show libgpgme11`"
 
183
if dpkg --compare-versions "$libgpgme11_version" ge 1.5.0-0.1; then
 
184
    if [ -e /usr/bin/gpgconf ]; then
 
185
        if [ ! -e "${DESTDIR}/usr/bin/gpgconf" ]; then
 
186
            copy_exec /usr/bin/gpgconf
 
187
        fi
 
188
        gpg="`/usr/bin/gpgconf|sed --quiet --expression='s/^gpg:[^:]*://p'`"
 
189
        gpgagent="`/usr/bin/gpgconf|sed --quiet --expression='s/^gpg-agent:[^:]*://p'`"
 
190
        # Newer versions of GnuPG 2 requires the gpg-agent binary
 
191
        if [ -e "$gpgagent" ] && [ ! -e "${DESTDIR}$gpgagent" ]; then
 
192
            copy_exec "$gpgagent"
 
193
        fi
 
194
    fi
 
195
elif dpkg --compare-versions "$libgpgme11_version" ge 1.4.1-0.1; then
 
196
    gpg=/usr/bin/gpg2
 
197
fi
 
198
if [ ! -e "${DESTDIR}$gpg" ]; then
 
199
    copy_exec "$gpg"
 
200
fi
 
201
unset gpg
 
202
unset libgpgme11_version
114
203
 
115
204
# Config files
116
 
for file in /etc/mandos/*; do
 
205
for file in /etc/mandos/plugin-runner.conf; do
117
206
    if [ -d "$file" ]; then
118
207
        continue
119
208
    fi
121
210
done
122
211
 
123
212
if [ ${mandos_user} != 65534 ]; then
124
 
    PLUGINRUNNERCONF="${DESTDIR}${CONFDIR}/plugin-runner.conf"
125
 
    echo "--userid=${mandos_user}" >> "$PLUGINRUNNERCONF"
 
213
    sed --in-place --expression="1i--userid=${mandos_user}" \
 
214
        "${DESTDIR}${CONFDIR}/plugin-runner.conf"
126
215
fi
127
216
 
128
217
if [ ${mandos_group} != 65534 ]; then
129
 
    PLUGINRUNNERCONF="${DESTDIR}${CONFDIR}/plugin-runner.conf"
130
 
    echo "--groupid=${mandos_group}" >> "$PLUGINRUNNERCONF"
 
218
    sed --in-place --expression="1i--groupid=${mandos_group}" \
 
219
        "${DESTDIR}${CONFDIR}/plugin-runner.conf"
131
220
fi
132
221
 
133
 
# Key files 
134
 
for file in  "$keydir"/*; do
 
222
# Key files
 
223
for file in "$keydir"/*; do
135
224
    if [ -d "$file" ]; then
136
225
        continue
137
226
    fi
138
 
    cp --archive --sparse=always "$file" "${DESTDIR}${CONFDIR}"
139
 
    chown ${mandos_user}:${mandos_group} \
140
 
        "${DESTDIR}${CONFDIR}/`basename \"$file\"`"
 
227
    case "$file" in
 
228
        *~|.*|\#*\#|*.dpkg-old|*.dpkg-bak|*.dpkg-new|*.dpkg-divert)
 
229
            : ;;
 
230
        "*") : ;;
 
231
        *)
 
232
            cp --archive --sparse=always "$file" \
 
233
               "${DESTDIR}${CONFDIR}"
 
234
            chown ${mandos_user}:${mandos_group} \
 
235
                  "${DESTDIR}${CONFDIR}/`basename \"$file\"`"
 
236
            ;;
 
237
    esac
141
238
done
 
239
# Use Diffie-Hellman parameters file if available
 
240
if [ -e "${DESTDIR}${CONFDIR}"/dhparams.pem ]; then
 
241
    sed --in-place \
 
242
        --expression="1i--options-for=mandos-client:--dh-params=${CONFDIR}/dhparams.pem" \
 
243
        "${DESTDIR}/${CONFDIR}/plugin-runner.conf"
 
244
fi
142
245
 
143
246
# /lib/mandos/plugin-runner will drop priviliges, but needs access to
144
247
# its plugin directory and its config file.  However, since almost all
149
252
# initrd; it is intended to affect the initrd.img file itself, since
150
253
# it now contains secret key files.  There is, however, no other way
151
254
# to set the permission of the initrd.img file without a race
152
 
# condition.  This umask is set by "initramfs-tools-hook-conf",
153
 
# installed as "/usr/share/initramfs-tools/conf-hooks.d/mandos".)
 
255
# condition.  This umask is set by "initramfs-tools-conf", installed
 
256
# as "/usr/share/initramfs-tools/conf.d/mandos-conf".)
154
257
# 
155
258
for full in "${MANDOSDIR}" "${CONFDIR}"; do
156
259
    while [ "$full" != "/" ]; do
166
269
        chmod a+rX "${DESTDIR}$dir"
167
270
    fi
168
271
done
169
 
for dir in /lib /usr/lib; do
170
 
    find "${DESTDIR}$dir" \! -perm -u+rw,g+r -prune -or -print0 \
171
 
        | xargs --null --no-run-if-empty chmod a+rX
 
272
for dir in "${DESTDIR}"/lib* "${DESTDIR}"/usr/lib*; do
 
273
    if [ -d "$dir" ]; then
 
274
        find "$dir" \! -perm -u+rw,g+r -prune -or \! -type l -print0 \
 
275
            | xargs --null --no-run-if-empty chmod a+rX --
 
276
    fi
172
277
done