/mandos/trunk

# Copyright © 2008-2018 Teddy Hogeborn

# Copyright © 2008-2018 Björn Påhlsson

# This file is part of Mandos.

#

# Mandos is free software: you can redistribute it and/or modify it

# under the terms of the GNU General Public License as published by

#     Mandos is distributed in the hope that it will be useful, but

#     WITHOUT ANY WARRANTY; without even the implied warranty of

# along with Mandos.  If not, see <http://www.gnu.org/licenses/>.

# Contact the authors at <mandos@recompile.se>.

VERSION="1.7.16"

KEYTYPE=RSA

KEYLENGTH=4096

SUBKEYTYPE=RSA

SUBKEYLENGTH=4096

KEYNAME="`hostname --fqdn 2>/dev/null || hostname`"

KEYCOMMENT=""

SSH=yes

if [ ! -d "$KEYDIR" ]; then

    KEYDIR="/etc/mandos/keys"

fi

 

TEMP=`getopt --options vhpF:d:t:l:s:L:n:e:c:x:fS \

    --longoptions version,help,password,passfile:,dir:,type:,length:,subtype:,sublength:,name:,email:,comment:,expire:,force,no-ssh \

basename="`basename "$0"`"

       $basename { -F | --passfile } FILE [ --name NAME ] [ --dir DIR]

  -t TYPE, --type TYPE  Key type.  Default is RSA.

                        Key length in bits.  Default is 4096.

                        Subkey type.  Default is RSA.

                        Subkey length in bits.  Default is 4096.

                        Comment field for key.  The default is empty.

  -f, --force           Force overwriting old key files.

  -p, --password        Create an encrypted password using the key in

                        the key directory.  All options other than

                        --dir and --name are ignored.

  -F FILE, --passfile FILE

                        Encrypt a password from FILE using the key in

                        the key directory.  All options other than

                        --dir and --name are ignored.

  -S, --no-ssh          Don't get SSH key or set "checker" option.

        -F|--passfile) mode=password; PASSFILE="$2"; shift 2;;

        -S|--no-ssh) SSH=no; shift;;

    echo "Unknown arguments: '$*'" >&2

    

    

shred --remove \"$RINGDIR\"/sec* 2>/dev/null;

tty --quiet && stty echo; \

set -e

 

umask 077

        Key-Usage: sign,auth

        Subkey-Usage: encrypt

        %no-protection

    if tty --quiet; then

        cat <<-EOF

        Note: Due to entropy requirements, key generation could take

        anything from a few minutes to SEVERAL HOURS.  Please be

        patient and/or supply the system with more entropy if needed.

        EOF

        echo -n "Started: "

        date

    fi

    

    # Make sure trustdb.gpg exists;

    # this is a workaround for Debian bug #737128

    gpg --quiet --batch --no-tty --no-options --enable-dsa2 \

        --homedir "$RINGDIR" \

        --import-ownertrust < /dev/null

    if tty --quiet; then

        echo -n "Finished: "

        date

    fi

    

    # Export key from key rings to key files

    

    # Make SSH be 0 or 1

    case "$SSH" in

        [Yy][Ee][Ss]|[Tt][Rr][Uu][Ee]) SSH=1;;

        [Nn][Oo]|[Ff][Aa][Ll][Ss][Ee]|*) SSH=0;;

    esac

    

    if [ $SSH -eq 1 ]; then

        for ssh_keytype in ecdsa-sha2-nistp256 ed25519 rsa; do

            set +e

            ssh_fingerprint="`ssh-keyscan -t $ssh_keytype localhost 2>/dev/null`"

            err=$?

            set -e

            if [ $err -ne 0 ]; then

                ssh_fingerprint=""

                continue

            fi

            if [ -n "$ssh_fingerprint" ]; then

                ssh_fingerprint="${ssh_fingerprint#localhost }"

                break

            fi

        done

    fi

    

    # Import key into temporary key rings

        --enable-dsa2 --homedir "$RINGDIR" --trust-model always \

        | sed --quiet \

        --expression='/^fpr:/{s/^fpr:.*:\\([0-9A-Z]*\\):\$/\\1/p;q}'`"

    while [ ! -s "$SECFILE" ]; do

        if [ -n "$PASSFILE" ]; then

            cat "$PASSFILE"

        else

            tty --quiet && stty -echo

            echo -n "Enter passphrase: " >/dev/tty

            read -r first

            tty --quiet && echo >&2

            echo -n "Repeat passphrase: " >/dev/tty

            read -r second

            if tty --quiet; then

                echo >&2

                stty echo

            fi

            if [ "$first" != "$second" ]; then

                echo "Passphrase mismatch" >&2

                touch "$RINGDIR"/mismatch

            else

                echo -n "$first"

            fi

        fi | gpg --quiet --batch --no-tty --no-options --enable-dsa2 \

            --homedir "$RINGDIR" --trust-model always --armor \

            --encrypt --sign --recipient "$FINGERPRINT" --comment \

            "$FILECOMMENT" > "$SECFILE"

        if [ -e "$RINGDIR"/mismatch ]; then

            rm --force "$RINGDIR"/mismatch

            if tty --quiet; then

                > "$SECFILE"

            else

                exit 1

            fi

        fi

    done

        EOF

    sed --quiet --expression='

    if [ -n "$ssh_fingerprint" ]; then

        echo 'checker = ssh-keyscan -t '"$ssh_keytype"' %%(host)s 2>/dev/null | grep --fixed-strings --line-regexp --quiet --regexp=%%(host)s" %(ssh_fingerprint)s"'

        echo "ssh_fingerprint = ${ssh_fingerprint}"

    fi

shred --remove "$RINGDIR"/sec* 2>/dev/null