/mandos/trunk

To get this branch, use:
bzr branch http://bzr.recompile.se/loggerhead/mandos/trunk

« back to all changes in this revision

Viewing changes to NEWS

  • Committer: Teddy Hogeborn
  • Date: 2024-11-24 22:19:53 UTC
  • mfrom: (237.4.144 release)
  • Revision ID: teddy@recompile.se-20241124221953-qu9unqqbgi456wrx
Merge from release branch

Show diffs side-by-side

added added

removed removed

Lines of Context:
1
1
This NEWS file records noteworthy changes, very tersely.
2
2
See the manual for detailed information.
3
3
 
 
4
Version 1.8.18 (2024-11-24)
 
5
* Client
 
6
** Detect GPGME version correctly when building initramfs.
 
7
* Server
 
8
** Only connect D-Bus when necessary.
 
9
** If a network socket is externally configured, avoid closing it, and
 
10
   also make it non-inheritable.
 
11
** mandos-keygen: Support ssh-keyscan from OpenSSH 9.8 or later.
 
12
** mandos-monitor: Avoid debug messages and deprecation warnings from
 
13
   Urwid.
 
14
 
 
15
Version 1.8.17 (2024-09-12)
 
16
* Improve documentation slightly, especially how to add extra options
 
17
  to mandos-client when using dracut with systemd.
 
18
* Make life easier for distribution packagers by making sure that
 
19
  "make install" creates all required directories.
 
20
* Server
 
21
** When seeing clients.conf entries lacking both fingerprint and
 
22
   key_id, show a warning and ignore them instead of crashing,
 
23
* Client
 
24
** Suppress most spurious compiler warnings.
 
25
** Use 64-bit time.
 
26
** In initramfs-tools-hook, be aware of new name of GPGME library,
 
27
   libgpgme11t64.
 
28
** In password-agent(8mandos), look for a Plymouth process in
 
29
   alphabetical order, not in reverse alphabetical order.  This is
 
30
   technically a user-visible change, but should never matter in
 
31
   practice.
 
32
 
 
33
Version 1.8.16 (2023-02-08)
 
34
* Server
 
35
** Bug fix: Start client checkers after a random delay
 
36
 
 
37
Version 1.8.15 (2022-04-25)
 
38
* Server
 
39
** Bug fix: When running "mandos-keygen --password" to read a password
 
40
   interactively (to save in a section in the clients.conf file),
 
41
   backslashes in the password are no longer interpreted as backslash
 
42
   escapes.
 
43
** GnuTLS debug output no longer has a "b'" prefix.
 
44
 
 
45
Version 1.8.14 (2021-02-03)
 
46
* Client
 
47
** Create /dev/fd symlink (if necessary) in plugin-runner(8mandos) and
 
48
   mandos-client(8mandos) (Workaround for Debian bug #981302)
 
49
 
 
50
Version 1.8.13 (2020-11-30)
 
51
* Client
 
52
** Fix unreliable test in password-agent(8mandos).
 
53
 
 
54
Version 1.8.12 (2020-07-04)
 
55
* Client
 
56
** Fix compatibility with the GNU C Library version 2.31.
 
57
** In initramfs-tools boots, only use setsid(1) when available.
 
58
 
 
59
Version 1.8.11 (2020-04-08)
 
60
* Client
 
61
** Fix file descriptor leak when adding or removing local routes to
 
62
   unreachable hosts on the local network.
 
63
 
 
64
Version 1.8.10 (2020-03-21)
 
65
* Server
 
66
** Fix bug when setting a client's D-Bus "Secret" property
 
67
** Start client checkers after a random delay
 
68
** When using systemd, allow easier modification of server options
 
69
** Better log messages in mandos-monitor
 
70
* Client
 
71
** When using dracut & systemd, allow easier modification of options
 
72
 
 
73
Version 1.8.9 (2019-09-03)
 
74
* No user-visible changes
 
75
 
 
76
Version 1.8.8 (2019-08-18)
 
77
* No user-visible changes
 
78
 
 
79
Version 1.8.7 (2019-08-05)
 
80
* Client:
 
81
** Always compile with LFS (Large File Support) enabled.
 
82
* Server
 
83
** Improve intro(8mandos) manual page to cover dracut(8) support.
 
84
 
 
85
Version 1.8.6 (2019-08-03)
 
86
* Client:
 
87
** dracut support: In password-agent, properly ignore deleted and
 
88
   renamed question files, and also fix memory alignment issue.
 
89
 
 
90
Version 1.8.5 (2019-07-30)
 
91
* Client
 
92
** Support dracut(8) as well as initramfs-tools(7).
 
93
** Minor bug fix: Allow the mandos-keygen --passfile option to use
 
94
   passfiles with names starting with "-".
 
95
** Document known limitation of mandos-keygen --password; it strips
 
96
   white space from start and end of the password.
 
97
* Server
 
98
** Bug fix: The server used to fail to restart if the "port" setting
 
99
   was used.  This has been fixed.
 
100
** Minor bug fix: Reap zombies left over from checker runs.  (Debian
 
101
   bug #933387)
 
102
 
 
103
Version 1.8.4 (2019-04-09)
 
104
* Client
 
105
** Fix minor memory leak in plugin-runner.
 
106
* Server
 
107
** mandos-ctl now has a --debug option to show D-Bus calls.
 
108
 
 
109
Version 1.8.3 (2019-02-11)
 
110
* No user-visible changes.
 
111
 
 
112
Version 1.8.2 (2019-02-10)
 
113
* Client
 
114
** In mandos-keygen, ignore failures to remove files in some cases.
 
115
 
 
116
Version 1.8.1 (2019-02-10)
 
117
* Client
 
118
** Only generate TLS keys using GnuTLS' certtool, of sufficient
 
119
   version.  Key generation of TLS keys will not happen until a
 
120
   version of GnuTLS is installed with support for raw public keys.
 
121
** Remove any bad keys created by 1.8.0 and openssl.
 
122
* Server
 
123
** On installation, edit clients.conf and remove the same bad key ID
 
124
   which was erroneously reported by all 1.8.0 clients.  Also do not
 
125
   trust this key ID in the server.
 
126
 
 
127
Version 1.8.0 (2019-02-10)
 
128
* Client
 
129
** Use new TLS keys for server communication and identification.
 
130
   With GnuTLS 3.6 or later, OpenPGP keys are no longer supported.
 
131
   The client can now use the new "raw public keys" (RFC 7250) API
 
132
   instead, using GnuTLS 3.6.6.  Please note: This *requires* new key
 
133
   IDs to be added to server's client.conf file.
 
134
** New --tls-privkey and --tls-pubkey options to load TLS key files.
 
135
   If GnuTLS is too old, these options do nothing.
 
136
* Server
 
137
** Supports either old or new GnuTLS.
 
138
   The server now supports using GnuTLS 3.6.6 and clients connecting
 
139
   with "raw public keys" as identification.  The server will read
 
140
   both fingerprints and key IDs from clients.conf file, and will use
 
141
   either one or the other, depending on what is supported by GnuTLS
 
142
   on the system.  Please note: both are *not* supported at once; if
 
143
   one type is supported by GnuTLS, all values of the other type from
 
144
   clients.conf are ignored.
 
145
 
 
146
Version 1.7.20 (2018-08-19)
 
147
* Client
 
148
** Fix: Adapt to the Debian cryptsetup package 2.0.3 or later.
 
149
   Important: in that version or later, the plugins "askpass-fifo",
 
150
   "password-prompt", and "plymouth" will no longer be run, since they
 
151
   would conflict with what cryptsetup is doing.  Other plugins, such
 
152
   as mandos-client and any user-supplied plugins, will still run.
 
153
** Better error message if failing to decrypt secret data
 
154
** Check for (and report) any key import failure from GPGME
 
155
** Better error message if self-signature verification fails
 
156
** Set system clock if not set; required by GnuPG for key import
 
157
** When debugging plugin-runner, it will now show starting plugins
 
158
 
 
159
Version 1.7.19 (2018-02-22)
 
160
* Client
 
161
** Do not print "unlink(...): No such file or directory".
 
162
** Bug fixes: Fix file descriptor leaks.
 
163
** Bug fix: Don't use leak sanitizer with leaking libraries.
 
164
 
 
165
Version 1.7.18 (2018-02-12)
 
166
* Client
 
167
** Bug fix: Revert faulty fix for a nonexistent bug in the
 
168
   plugin-runner
 
169
 
 
170
Version 1.7.17 (2018-02-10)
 
171
* Client
 
172
** Bug fix: Fix a memory leak in the plugin-runner
 
173
** Bug fix: Fix memory leaks in the plymouth plugin
 
174
 
 
175
Version 1.7.16 (2017-08-20)
 
176
* Client
 
177
** Bug fix: ignore "resumedev" entries in initramfs' cryptroot file
 
178
** Bug fix in plymouth plugin: fix memory leak, avoid warning output
 
179
 
 
180
Version 1.7.15 (2017-02-23)
 
181
* Server
 
182
** Bug fix: Respect the mandos.conf "zeroconf" and "restore" options
 
183
* Client
 
184
** Bug fix in mandos-keygen: Handle backslashes in passphrases
 
185
 
 
186
Version 1.7.14 (2017-01-25)
 
187
* Server
 
188
** Use "Requisite" instead of "RequisiteOverridable" in systemd
 
189
   service file.
 
190
 
 
191
Version 1.7.13 (2016-10-08)
 
192
* Client
 
193
** Minor bug fix: Don't ask for passphrase or fail when generating
 
194
   keys using GnuPG 2.1 in a chrooted environment.
 
195
 
 
196
Version 1.7.12 (2016-10-05)
 
197
* Client
 
198
** Bug fix: Don't crash after exit() when using DH parameters file
 
199
 
 
200
Version 1.7.11 (2016-10-01)
 
201
* Client
 
202
** Security fix: Don't compile with AddressSanitizer
 
203
* Server
 
204
** Bug fix: Find GnuTLS library when gnutls28-dev is not installed
 
205
** Bug fix: Include "Expires" and "Last Checker Status" in mandos-ctl
 
206
   verbose output
 
207
** New option for mandos-ctl: --dump-json
 
208
 
 
209
Version 1.7.10 (2016-06-23)
 
210
* Client
 
211
** Security fix: restrict permissions of /etc/mandos/plugin-helpers
 
212
* Server
 
213
** Bug fix: Make the --interface flag work with Python 2.7 when "cc"
 
214
   is not installed
 
215
 
 
216
Version 1.7.9 (2016-06-22)
 
217
* Client
 
218
** Do not include intro(8mandos) man page
 
219
 
 
220
Version 1.7.8 (2016-06-21)
 
221
* Client
 
222
** Include intro(8mandos) man page
 
223
** mandos-keygen: Use ECDSA SSH keys by default
 
224
** Bug fix: Work with GnuPG 2 when booting (Debian bug #819982)
 
225
   by copying /usr/bin/gpg-agent into initramfs
 
226
* Server
 
227
** Bug fix: Work with GnuPG 2 (don't use --no-use-agent option)
 
228
** Bug fix: Make the --interface option work when using Python 2.7
 
229
   by trying harder to find SO_BINDTODEVICE
 
230
 
 
231
Version 1.7.7 (2016-03-19)
 
232
* Client
 
233
** Fix bug in Plymouth client, broken since 1.7.2
 
234
 
 
235
Version 1.7.6 (2016-03-13)
 
236
* Server
 
237
** Fix bug where stopping server would time out
 
238
** Make server runnable with Python 3
 
239
 
 
240
Version 1.7.5 (2016-03-08)
 
241
* Server
 
242
** Fix security restrictions in systemd service file.
 
243
** Work around bug where stopping server would time out
 
244
 
 
245
Version 1.7.4 (2016-03-05)
 
246
* Client
 
247
** Bug fix: Tolerate errors from configure_networking (Debian Bug
 
248
   #816513)
 
249
** Compilation: Only use sanitizing options which work with the
 
250
   compiler used when building.  This should fix compilation with GCC
 
251
   4.9 on mips, mipsel, and s390x.
 
252
* Server
 
253
** Add extra security restrictions in systemd service file.
 
254
 
 
255
Version 1.7.3 (2016-02-29)
 
256
* Client
 
257
** Bug fix: Remove new type of keyring directory user by GnuPG 2.1.
 
258
** Bug fix: Remove "nonnull" attribute from a function argument, which
 
259
   would otherwise generate a spurious runtime warning.
 
260
 
 
261
Version 1.7.2 (2016-02-28)
 
262
* Server
 
263
** Stop using python-gnutls library; it was not updated to GnuTLS 3.3.
 
264
** Bug fix: Only send D-Bus signal ClientRemoved if using D-Bus.
 
265
** Use GnuPG 2 if available.
 
266
* Client
 
267
** Compile with various sanitizing flags.
 
268
 
 
269
Version 1.7.1 (2015-10-24)
 
270
* Client
 
271
** Bug fix: Can now really find Mandos server even if the server has
 
272
   an IPv6 address on a network other than the one which the Mandos
 
273
   server is on.
 
274
 
 
275
Version 1.7.0 (2015-08-10)
 
276
* Server
 
277
** Bug fix: Handle local Zeroconf service name collisions better.
 
278
** Bug fix: Finally fix "ERROR: Child process vanished" bug.
 
279
** Bug fix: Fix systemd service file to start server correctly.
 
280
** Bug fix: Be compatible with old 2048-bit DSA keys.
 
281
** The D-Bus API now provides the standard D-Bus ObjectManager
 
282
   interface, and deprecates older functionality.  See the DBUS-API
 
283
   file for the currently recommended API.  Note: the original API
 
284
   still works, but is deprecated.
 
285
* Client
 
286
** Can now find Mandos server even if the server has an IPv6 address
 
287
   on a network without IPv6 Router Advertisment (like if the Mandos
 
288
   client itself is the router, or there is an IPv6 router advertising
 
289
   a network other than the one which the Mandos server is on.)
 
290
** Use a better value than 1024 for the default number of DH bits.
 
291
   This better value is either provided by a DH parameters file (see
 
292
   below) or an appropriate number of DH bits is determined based on
 
293
   the PGP key.
 
294
** Bug fix: mandos-keygen now generates correct output for the
 
295
   "Checker" variable even if the SSH server on the Mandos client has
 
296
   multiple SSH key types.
 
297
** Can now use pre-generated Diffie-Hellman parameters from a file.
 
298
 
 
299
Version 1.6.9 (2014-10-05)
 
300
* Server
 
301
** Changed to emit standard D-Bus signal when D-Bus properties change.
 
302
   (The old signal is still emitted too, but marked as deprecated.)
 
303
 
 
304
Version 1.6.8 (2014-08-06)
 
305
* Client
 
306
** Bug fix: mandos-keygen now generates working SSH checker commands.
 
307
* Server
 
308
** Bug fix: "mandos-monitor" now really redraws screen on Ctrl-L.
 
309
** Now requires Python 2.7.
 
310
 
 
311
Version 1.6.7 (2014-07-17)
 
312
* Client
 
313
** Bug fix: Now compatible with GPGME 1.5.0.
 
314
** Bug fix: Fixed minor memory leaks.
 
315
* Server
 
316
** "mandos-monitor" now has verbose logging, toggleable with "v".
 
317
 
 
318
Version 1.6.6 (2014-07-13)
 
319
* Client
 
320
** If client host has an SSH server, "mandos-keygen --password" now
 
321
   outputs "checker" option which uses "ssh-keyscan"; this is more
 
322
   secure than the default "fping" checker.
 
323
** Bug fix: allow "." in network hook names, to match documentation.
 
324
** Better error messages.
 
325
* Server
 
326
** New --no-zeroconf option.
 
327
** Bug fix: Fix --servicename option, broken since 1.6.4.
 
328
** Bug fix: Fix --socket option work for --socket=0.
 
329
 
 
330
Version 1.6.5 (2014-05-11)
 
331
* Client
 
332
** Work around bug in GnuPG <http://bugs.g10code.com/gnupg/issue1622>
 
333
** Give better error messages when run without sufficient privileges
 
334
** Only warn if workaround for Debian bug #633582 was necessary and
 
335
   failed, not if it failed and was unnecessary.
 
336
 
 
337
Version 1.6.4 (2014-02-16)
 
338
* Server
 
339
** Very minor fix to self-test code.
 
340
 
 
341
Version 1.6.3 (2014-01-21)
 
342
* Server
 
343
** Add systemd support.
 
344
** For PID file, fall back to /var/run if /run does not exist.
 
345
* Client
 
346
** Moved files from /usr/lib/mandos to whatever the architecture
 
347
   specifies, like /usr/lib/x86_64-linux-gnu/mandos or
 
348
   /usr/lib64/mandos.
 
349
 
 
350
Version 1.6.2 (2013-10-24)
 
351
* Server
 
352
** PID file moved from /var/run to /run.
 
353
** Bug fix: Handle long secrets when saving client state.
 
354
** Bug fix: Use more magic in the GnuTLS priority string to handle
 
355
   both old DSA/ELG 2048-bit keys and new RSA/RSA 4096-bit keys.
 
356
* Client
 
357
** mandos-keygen: Bug fix: now generate RSA keys which GnuTLS can use.
 
358
                  Bug fix: Output passphrase prompts even when
 
359
                  redirecting standard output.
 
360
 
 
361
Version 1.6.1 (2013-10-13)
 
362
* Server
 
363
** All client options for time intervals now also take an RFC 3339
 
364
   duration.  The same for all options to mandos-ctl.
 
365
** Bug fix: Handle fast checkers (like ":") correctly.
 
366
** Bug fix: Don't print output from checkers when running in
 
367
   foreground.
 
368
** Bug fix: Do not fail when client is removed from clients.conf but
 
369
   saved settings remain.
 
370
** Bug fix: mandos-monitor now displays standout (reverse video) again
 
371
   using new version of Urwid.
 
372
** Bug fix: Make boolean options work from the config file again.
 
373
** Bug fix: Make --no-ipv6 work again.
 
374
** New default priority string to be slightly more compatible with
 
375
   older versions of GnuTLS.
 
376
* Client
 
377
** Bug fix: Fix bashism in mandos-keygen.
 
378
** Default key and subkey types are now RSA and RSA, respectively.
 
379
   Also, new default key size is 4096 bits.
 
380
 
 
381
Version 1.6.0 (2012-06-18)
 
382
* Server
 
383
** Takes new --foreground option
 
384
** Init script supports new "status" action.
 
385
* Client
 
386
** Now uses all interfaces by default; the --interface option can
 
387
   still be used to restrict it, and the argument to --interface (as
 
388
   well as the $DEVICE environment variable for the network hooks) is
 
389
   now a comma-separated list of interfaces to use.
 
390
 
 
391
Version 1.5.5 (2012-06-01)
 
392
* Server
 
393
** Server takes new --socket option
 
394
 
 
395
Version 1.5.4 (2012-05-20)
 
396
* Server
 
397
** Bug fix: Regression fix: Make non-zero approval timeout values work.
 
398
** Bug fix: Regression fix: Allow changing the Timeout D-Bus property.
 
399
** Fall back to not bind to an interface if an invalid interface name
 
400
   is given.
 
401
** Removed support for undocumented feature of using plain "%%s" in
 
402
   "checker" client option.
 
403
** Old D-Bus interface are now marked as deprecated.
 
404
** mandos-monitor: Bug fix: show approval timers correctly.
 
405
** mandos-ctl: Show "Extended Timeout" correctly, not as milliseconds.
 
406
 
 
407
Version 1.5.3 (2012-01-15)
 
408
* Server
 
409
** Add D-Bus property se.recompile.Client.LastCheckerStatus and use it
 
410
   in mandos-monitor.
 
411
* Client
 
412
** Fix bugs in the example "bridge" network hook.
 
413
 
 
414
Version 1.5.2 (2012-01-08)
 
415
* Server
 
416
** Removed D-Bus signal se.recompile.Mandos.NewRequest() added in
 
417
   1.5.0.  It was buggy and was of questionable utility.
 
418
 
 
419
Version 1.5.1 (2012-01-01)
 
420
* Server
 
421
** Include intro(8mandos) manual page, missing since migration from
 
422
   README file in version 1.4.0.
 
423
 
 
424
Version 1.5.0 (2012-01-01)
 
425
* Client
 
426
** Network hooks.  The Mandos client can now run custom scripts to take
 
427
   up a network interface before the client is run.  Three example
 
428
   scripts are provided: "wireless", "openvpn", and "bridge".
 
429
   To facilitate this, the client now prefers network interfaces which
 
430
   are up (if any) over all other interfaces.
 
431
* Server
 
432
** Persistent state.  Client state is now saved between server
 
433
   restarts.
 
434
** clients.conf file can now contain "enabled" setting for clients.
 
435
** Bug fix: Fix rare crash bug.
 
436
** Bug fix: Send corrent D-Bus type in PropertyChanged for
 
437
   "ApprovalDelay", "ApprovalDuration", "Timeout", and
 
438
   "ExtendedTimeout".
 
439
** mandos-ctl: Bare numbers as arguments are taken to be milliseconds.
 
440
** Bug fix: mandos-ctl --secret option now works.
 
441
** New D-Bus signal: se.recompile.Mandos.NewRequest(s).
 
442
 
 
443
Version 1.4.1 (2011-10-15)
 
444
* Server
 
445
** Make D-Bus properties settable again, and handle checkers
 
446
   for disabled clients correctly.
 
447
* Miscellaneous fixes to "pedantic" Lintian warnings
 
448
 
 
449
Version 1.4.0 (2011-10-09)
 
450
* README file migrated to manual page intro(8mandos).
 
451
* Client:
 
452
** Fixed warning about "rmdir: Directory not empty".
 
453
* Server:
 
454
** Default values changed: timeout 5 minutes, interval 2 minutes.
 
455
** Clients gets an expiration extension when receiving a password,
 
456
   controlled by new "extended_timeout" setting.
 
457
** New domain name: "fukt.bsnet.se" changes to "recompile.se".  This
 
458
   also affects the D-Bus bus and interface names (old names still
 
459
   work).  Users should start using the new names immediately.
 
460
** New D-Bus Client object properties "Expires" and "ExtendedTimeout";
 
461
   see DBUS-API for details.
 
462
 
4
463
Version 1.3.1 (2011-07-27)
5
464
* Client:
6
465
** Client now retries all Mandos servers periodically.