/mandos/trunk

To get this branch, use:
bzr branch http://bzr.recompile.se/loggerhead/mandos/trunk

« back to all changes in this revision

Viewing changes to NEWS

  • Committer: Teddy Hogeborn
  • Date: 2024-09-16 21:01:52 UTC
  • Revision ID: teddy@recompile.se-20240916210152-0xbv4b15jyho9ydk
Override lintian experimental tag "executable-in-usr-lib"

Lintian reports executable files in /usr/lib, since binaries which are
executed internally are supposed to be stored in /usr/libexec.  But
the executables we store in /usr/lib are all files to be copied into
the initial RAM disk image, and are never executed from their storage
location in /usr/lib.  Except one; the Dracut module-setup.sh file.
But that file seems to be required to be executable; the
module-setup.sh file of every other Dracut module is also an
executable file.

* debian/mandos-client.lintian-overrides: Override experimental tag
  "executable-in-usr-lib" about files which are not actually executed
  from this location, and only exist to be copied to the initial RAM
  disk image.  Also the Dracut module-setup.sh file, which merely
  follows the pattern of all other Dracut module-setup.sh files from
  other Dracut modules.

Show diffs side-by-side

added added

removed removed

Lines of Context:
NEWS
1
1
This NEWS file records noteworthy changes, very tersely.
2
2
See the manual for detailed information.
3
3
 
 
4
Version 1.8.17 (2024-09-12)
 
5
* Improve documentation slightly, especially how to add extra options
 
6
  to mandos-client when using dracut with systemd.
 
7
* Make life easier for distribution packagers by making sure that
 
8
  "make install" creates all required directories.
 
9
* Server
 
10
** When seeing clients.conf entries lacking both fingerprint and
 
11
   key_id, show a warning and ignore them instead of crashing,
 
12
* Client
 
13
** Suppress most spurious compiler warnings.
 
14
** Use 64-bit time.
 
15
** In initramfs-tools-hook, be aware of new name of GPGME library,
 
16
   libgpgme11t64.
 
17
** In password-agent(8mandos), look for a Plymouth process in
 
18
   alphabetical order, not in reverse alphabetical order.  This is
 
19
   technically a user-visible change, but should never matter in
 
20
   practice.
 
21
 
 
22
Version 1.8.16 (2023-02-08)
 
23
* Server
 
24
** Bug fix: Start client checkers after a random delay
 
25
 
 
26
Version 1.8.15 (2022-04-25)
 
27
* Server
 
28
** Bug fix: When running "mandos-keygen --password" to read a password
 
29
   interactively (to save in a section in the clients.conf file),
 
30
   backslashes in the password are no longer interpreted as backslash
 
31
   escapes.
 
32
** GnuTLS debug output no longer has a "b'" prefix.
 
33
 
 
34
Version 1.8.14 (2021-02-03)
 
35
* Client
 
36
** Create /dev/fd symlink (if necessary) in plugin-runner(8mandos) and
 
37
   mandos-client(8mandos) (Workaround for Debian bug #981302)
 
38
 
 
39
Version 1.8.13 (2020-11-30)
 
40
* Client
 
41
** Fix unreliable test in password-agent(8mandos).
 
42
 
 
43
Version 1.8.12 (2020-07-04)
 
44
* Client
 
45
** Fix compatibility with the GNU C Library version 2.31.
 
46
** In initramfs-tools boots, only use setsid(1) when available.
 
47
 
 
48
Version 1.8.11 (2020-04-08)
 
49
* Client
 
50
** Fix file descriptor leak when adding or removing local routes to
 
51
   unreachable hosts on the local network.
 
52
 
 
53
Version 1.8.10 (2020-03-21)
 
54
* Server
 
55
** Fix bug when setting a client's D-Bus "Secret" property
 
56
** Start client checkers after a random delay
 
57
** When using systemd, allow easier modification of server options
 
58
** Better log messages in mandos-monitor
 
59
* Client
 
60
** When using dracut & systemd, allow easier modification of options
 
61
 
 
62
Version 1.8.9 (2019-09-03)
 
63
* No user-visible changes
 
64
 
 
65
Version 1.8.8 (2019-08-18)
 
66
* No user-visible changes
 
67
 
 
68
Version 1.8.7 (2019-08-05)
 
69
* Client:
 
70
** Always compile with LFS (Large File Support) enabled.
 
71
* Server
 
72
** Improve intro(8mandos) manual page to cover dracut(8) support.
 
73
 
 
74
Version 1.8.6 (2019-08-03)
 
75
* Client:
 
76
** dracut support: In password-agent, properly ignore deleted and
 
77
   renamed question files, and also fix memory alignment issue.
 
78
 
 
79
Version 1.8.5 (2019-07-30)
 
80
* Client
 
81
** Support dracut(8) as well as initramfs-tools(7).
 
82
** Minor bug fix: Allow the mandos-keygen --passfile option to use
 
83
   passfiles with names starting with "-".
 
84
** Document known limitation of mandos-keygen --password; it strips
 
85
   white space from start and end of the password.
 
86
* Server
 
87
** Bug fix: The server used to fail to restart if the "port" setting
 
88
   was used.  This has been fixed.
 
89
** Minor bug fix: Reap zombies left over from checker runs.  (Debian
 
90
   bug #933387)
 
91
 
 
92
Version 1.8.4 (2019-04-09)
 
93
* Client
 
94
** Fix minor memory leak in plugin-runner.
 
95
* Server
 
96
** mandos-ctl now has a --debug option to show D-Bus calls.
 
97
 
 
98
Version 1.8.3 (2019-02-11)
 
99
* No user-visible changes.
 
100
 
 
101
Version 1.8.2 (2019-02-10)
 
102
* Client
 
103
** In mandos-keygen, ignore failures to remove files in some cases.
 
104
 
 
105
Version 1.8.1 (2019-02-10)
 
106
* Client
 
107
** Only generate TLS keys using GnuTLS' certtool, of sufficient
 
108
   version.  Key generation of TLS keys will not happen until a
 
109
   version of GnuTLS is installed with support for raw public keys.
 
110
** Remove any bad keys created by 1.8.0 and openssl.
 
111
* Server
 
112
** On installation, edit clients.conf and remove the same bad key ID
 
113
   which was erroneously reported by all 1.8.0 clients.  Also do not
 
114
   trust this key ID in the server.
 
115
 
 
116
Version 1.8.0 (2019-02-10)
 
117
* Client
 
118
** Use new TLS keys for server communication and identification.
 
119
   With GnuTLS 3.6 or later, OpenPGP keys are no longer supported.
 
120
   The client can now use the new "raw public keys" (RFC 7250) API
 
121
   instead, using GnuTLS 3.6.6.  Please note: This *requires* new key
 
122
   IDs to be added to server's client.conf file.
 
123
** New --tls-privkey and --tls-pubkey options to load TLS key files.
 
124
   If GnuTLS is too old, these options do nothing.
 
125
* Server
 
126
** Supports either old or new GnuTLS.
 
127
   The server now supports using GnuTLS 3.6.6 and clients connecting
 
128
   with "raw public keys" as identification.  The server will read
 
129
   both fingerprints and key IDs from clients.conf file, and will use
 
130
   either one or the other, depending on what is supported by GnuTLS
 
131
   on the system.  Please note: both are *not* supported at once; if
 
132
   one type is supported by GnuTLS, all values of the other type from
 
133
   clients.conf are ignored.
 
134
 
 
135
Version 1.7.20 (2018-08-19)
 
136
* Client
 
137
** Fix: Adapt to the Debian cryptsetup package 2.0.3 or later.
 
138
   Important: in that version or later, the plugins "askpass-fifo",
 
139
   "password-prompt", and "plymouth" will no longer be run, since they
 
140
   would conflict with what cryptsetup is doing.  Other plugins, such
 
141
   as mandos-client and any user-supplied plugins, will still run.
 
142
** Better error message if failing to decrypt secret data
 
143
** Check for (and report) any key import failure from GPGME
 
144
** Better error message if self-signature verification fails
 
145
** Set system clock if not set; required by GnuPG for key import
 
146
** When debugging plugin-runner, it will now show starting plugins
 
147
 
 
148
Version 1.7.19 (2018-02-22)
 
149
* Client
 
150
** Do not print "unlink(...): No such file or directory".
 
151
** Bug fixes: Fix file descriptor leaks.
 
152
** Bug fix: Don't use leak sanitizer with leaking libraries.
 
153
 
 
154
Version 1.7.18 (2018-02-12)
 
155
* Client
 
156
** Bug fix: Revert faulty fix for a nonexistent bug in the
 
157
   plugin-runner
 
158
 
 
159
Version 1.7.17 (2018-02-10)
 
160
* Client
 
161
** Bug fix: Fix a memory leak in the plugin-runner
 
162
** Bug fix: Fix memory leaks in the plymouth plugin
 
163
 
 
164
Version 1.7.16 (2017-08-20)
 
165
* Client
 
166
** Bug fix: ignore "resumedev" entries in initramfs' cryptroot file
 
167
** Bug fix in plymouth plugin: fix memory leak, avoid warning output
 
168
 
 
169
Version 1.7.15 (2017-02-23)
 
170
* Server
 
171
** Bug fix: Respect the mandos.conf "zeroconf" and "restore" options
 
172
* Client
 
173
** Bug fix in mandos-keygen: Handle backslashes in passphrases
 
174
 
 
175
Version 1.7.14 (2017-01-25)
 
176
* Server
 
177
** Use "Requisite" instead of "RequisiteOverridable" in systemd
 
178
   service file.
 
179
 
 
180
Version 1.7.13 (2016-10-08)
 
181
* Client
 
182
** Minor bug fix: Don't ask for passphrase or fail when generating
 
183
   keys using GnuPG 2.1 in a chrooted environment.
 
184
 
 
185
Version 1.7.12 (2016-10-05)
 
186
* Client
 
187
** Bug fix: Don't crash after exit() when using DH parameters file
 
188
 
 
189
Version 1.7.11 (2016-10-01)
 
190
* Client
 
191
** Security fix: Don't compile with AddressSanitizer
 
192
* Server
 
193
** Bug fix: Find GnuTLS library when gnutls28-dev is not installed
 
194
** Bug fix: Include "Expires" and "Last Checker Status" in mandos-ctl
 
195
   verbose output
 
196
** New option for mandos-ctl: --dump-json
 
197
 
 
198
Version 1.7.10 (2016-06-23)
 
199
* Client
 
200
** Security fix: restrict permissions of /etc/mandos/plugin-helpers
 
201
* Server
 
202
** Bug fix: Make the --interface flag work with Python 2.7 when "cc"
 
203
   is not installed
 
204
 
 
205
Version 1.7.9 (2016-06-22)
 
206
* Client
 
207
** Do not include intro(8mandos) man page
 
208
 
 
209
Version 1.7.8 (2016-06-21)
 
210
* Client
 
211
** Include intro(8mandos) man page
 
212
** mandos-keygen: Use ECDSA SSH keys by default
 
213
** Bug fix: Work with GnuPG 2 when booting (Debian bug #819982)
 
214
   by copying /usr/bin/gpg-agent into initramfs
 
215
* Server
 
216
** Bug fix: Work with GnuPG 2 (don't use --no-use-agent option)
 
217
** Bug fix: Make the --interface option work when using Python 2.7
 
218
   by trying harder to find SO_BINDTODEVICE
 
219
 
 
220
Version 1.7.7 (2016-03-19)
 
221
* Client
 
222
** Fix bug in Plymouth client, broken since 1.7.2
 
223
 
 
224
Version 1.7.6 (2016-03-13)
 
225
* Server
 
226
** Fix bug where stopping server would time out
 
227
** Make server runnable with Python 3
 
228
 
 
229
Version 1.7.5 (2016-03-08)
 
230
* Server
 
231
** Fix security restrictions in systemd service file.
 
232
** Work around bug where stopping server would time out
 
233
 
 
234
Version 1.7.4 (2016-03-05)
 
235
* Client
 
236
** Bug fix: Tolerate errors from configure_networking (Debian Bug
 
237
   #816513)
 
238
** Compilation: Only use sanitizing options which work with the
 
239
   compiler used when building.  This should fix compilation with GCC
 
240
   4.9 on mips, mipsel, and s390x.
 
241
* Server
 
242
** Add extra security restrictions in systemd service file.
 
243
 
 
244
Version 1.7.3 (2016-02-29)
 
245
* Client
 
246
** Bug fix: Remove new type of keyring directory user by GnuPG 2.1.
 
247
** Bug fix: Remove "nonnull" attribute from a function argument, which
 
248
   would otherwise generate a spurious runtime warning.
 
249
 
4
250
Version 1.7.2 (2016-02-28)
5
251
* Server
6
252
** Stop using python-gnutls library; it was not updated to GnuTLS 3.3.