/mandos/trunk

To get this branch, use:
bzr branch http://bzr.recompile.se/loggerhead/mandos/trunk

« back to all changes in this revision

Viewing changes to plugins.d/mandos-client.xml

  • Committer: Teddy Hogeborn
  • Date: 2009-02-07 04:50:39 UTC
  • Revision ID: teddy@fukt.bsnet.se-20090207045039-xkr6b80vtqwqrq8l
* Makefile (install-client-nokey): Move "initramfs-tools-script" from
                                   "/scripts/local-top/mandos" to
                                   "/scripts/init-premount/mandos".
  (uninstall-client): - '' -
* debian/mandos-client.dirs: - '' -
* initramfs-tools-script (PREREQ): Added "udev".

Show diffs side-by-side

added added

removed removed

Lines of Context:
plugins.d/mandos-client.xml
1
1
<?xml version="1.0" encoding="UTF-8"?>
2
2
<!DOCTYPE refentry PUBLIC "-//OASIS//DTD DocBook XML V4.5//EN"
3
3
        "http://www.oasis-open.org/docbook/xml/4.5/docbookx.dtd" [
4
 
<!ENTITY VERSION "1.0">
5
 
<!ENTITY COMMANDNAME "password-request">
6
 
<!ENTITY TIMESTAMP "2008-09-03">
 
4
<!ENTITY COMMANDNAME "mandos-client">
 
5
<!ENTITY TIMESTAMP "2009-01-24">
 
6
<!ENTITY % common SYSTEM "../common.ent">
 
7
%common;
7
8
]>
8
9
 
9
10
<refentry xmlns:xi="http://www.w3.org/2001/XInclude">
10
11
  <refentryinfo>
11
12
    <title>Mandos Manual</title>
12
 
    <!-- Nwalsh’s docbook scripts use this to generate the footer: -->
 
13
    <!-- NWalsh’s docbook scripts use this to generate the footer: -->
13
14
    <productname>Mandos</productname>
14
 
    <productnumber>&VERSION;</productnumber>
 
15
    <productnumber>&version;</productnumber>
15
16
    <date>&TIMESTAMP;</date>
16
17
    <authorgroup>
17
18
      <author>
31
32
    </authorgroup>
32
33
    <copyright>
33
34
      <year>2008</year>
 
35
      <year>2009</year>
34
36
      <holder>Teddy Hogeborn</holder>
35
37
      <holder>Björn Påhlsson</holder>
36
38
    </copyright>
37
39
    <xi:include href="../legalnotice.xml"/>
38
40
  </refentryinfo>
39
 
 
 
41
  
40
42
  <refmeta>
41
43
    <refentrytitle>&COMMANDNAME;</refentrytitle>
42
44
    <manvolnum>8mandos</manvolnum>
45
47
  <refnamediv>
46
48
    <refname><command>&COMMANDNAME;</command></refname>
47
49
    <refpurpose>
48
 
      Client for mandos
 
50
      Client for <application>Mandos</application>
49
51
    </refpurpose>
50
52
  </refnamediv>
51
 
 
 
53
  
52
54
  <refsynopsisdiv>
53
55
    <cmdsynopsis>
54
56
      <command>&COMMANDNAME;</command>
55
57
      <group>
56
58
        <arg choice="plain"><option>--connect
57
 
        <replaceable>IPADDR</replaceable><literal>:</literal
 
59
        <replaceable>ADDRESS</replaceable><literal>:</literal
58
60
        ><replaceable>PORT</replaceable></option></arg>
59
61
        <arg choice="plain"><option>-c
60
 
        <replaceable>IPADDR</replaceable><literal>:</literal
 
62
        <replaceable>ADDRESS</replaceable><literal>:</literal
61
63
        ><replaceable>PORT</replaceable></option></arg>
62
64
      </group>
63
65
      <sbr/>
64
66
      <group>
65
 
        <arg choice="plain"><option>--keydir
66
 
        <replaceable>DIRECTORY</replaceable></option></arg>
67
 
        <arg choice="plain"><option>-d
68
 
        <replaceable>DIRECTORY</replaceable></option></arg>
69
 
      </group>
70
 
      <sbr/>
71
 
      <group>
72
67
        <arg choice="plain"><option>--interface
73
68
        <replaceable>NAME</replaceable></option></arg>
74
69
        <arg choice="plain"><option>-i
98
93
      </arg>
99
94
      <sbr/>
100
95
      <arg>
 
96
        <option>--delay <replaceable>SECONDS</replaceable></option>
 
97
      </arg>
 
98
      <sbr/>
 
99
      <arg>
101
100
        <option>--debug</option>
102
101
      </arg>
103
102
    </cmdsynopsis>
120
119
      </group>
121
120
    </cmdsynopsis>
122
121
  </refsynopsisdiv>
123
 
 
 
122
  
124
123
  <refsect1 id="description">
125
124
    <title>DESCRIPTION</title>
126
125
    <para>
127
126
      <command>&COMMANDNAME;</command> is a client program that
128
127
      communicates with <citerefentry><refentrytitle
129
128
      >mandos</refentrytitle><manvolnum>8</manvolnum></citerefentry>
130
 
      to get a password.  It uses IPv6 link-local addresses to get
131
 
      network connectivity, Zeroconf to find servers, and TLS with an
132
 
      OpenPGP key to ensure authenticity and confidentiality.  It
133
 
      keeps running, trying all servers on the network, until it
134
 
      receives a satisfactory reply or a TERM signal is recieved.
 
129
      to get a password.  In slightly more detail, this client program
 
130
      brings up a network interface, uses the interface’s IPv6
 
131
      link-local address to get network connectivity, uses Zeroconf to
 
132
      find servers on the local network, and communicates with servers
 
133
      using TLS with an OpenPGP key to ensure authenticity and
 
134
      confidentiality.  This client program keeps running, trying all
 
135
      servers on the network, until it receives a satisfactory reply
 
136
      or a TERM signal is received.  If no servers are found, or after
 
137
      all servers have been tried, it waits indefinitely for new
 
138
      servers to appear.
135
139
    </para>
136
140
    <para>
137
141
      This program is not meant to be run directly; it is really meant
191
195
      </varlistentry>
192
196
      
193
197
      <varlistentry>
194
 
        <term><option>--keydir=<replaceable
195
 
        >DIRECTORY</replaceable></option></term>
196
 
        <term><option>-d
197
 
        <replaceable>DIRECTORY</replaceable></option></term>
198
 
        <listitem>
199
 
          <para>
200
 
            Directory to read the OpenPGP key files
201
 
            <filename>pubkey.txt</filename> and
202
 
            <filename>seckey.txt</filename> from.  The default is
203
 
            <filename>/conf/conf.d/mandos</filename> (in the initial
204
 
            <acronym>RAM</acronym> disk environment).
205
 
          </para>
206
 
        </listitem>
207
 
      </varlistentry>
208
 
 
209
 
      <varlistentry>
210
198
        <term><option>--interface=
211
199
        <replaceable>NAME</replaceable></option></term>
212
200
        <term><option>-i
222
210
            specifies the interface to use to connect to the address
223
211
            given.
224
212
          </para>
 
213
          <para>
 
214
            Note that since this program will normally run in the
 
215
            initial RAM disk environment, the interface must be an
 
216
            interface which exists at that stage.  Thus, the interface
 
217
            can not be a pseudo-interface such as <quote>br0</quote>
 
218
            or <quote>tun0</quote>; such interfaces will not exist
 
219
            until much later in the boot process, and can not be used
 
220
            by this program.
 
221
          </para>
225
222
        </listitem>
226
223
      </varlistentry>
227
224
      
232
229
        <replaceable>FILE</replaceable></option></term>
233
230
        <listitem>
234
231
          <para>
235
 
            OpenPGP public key file base name.  This will be combined
236
 
            with the directory from the <option>--keydir</option>
237
 
            option to form an absolute file name.  The default name is
238
 
            <quote><literal>pubkey.txt</literal></quote>.
 
232
            OpenPGP public key file name.  The default name is
 
233
            <quote><filename>/conf/conf.d/mandos/pubkey.txt</filename
 
234
            ></quote>.
239
235
          </para>
240
236
        </listitem>
241
237
      </varlistentry>
242
 
 
 
238
      
243
239
      <varlistentry>
244
240
        <term><option>--seckey=<replaceable
245
241
        >FILE</replaceable></option></term>
247
243
        <replaceable>FILE</replaceable></option></term>
248
244
        <listitem>
249
245
          <para>
250
 
            OpenPGP secret key file base name.  This will be combined
251
 
            with the directory from the <option>--keydir</option>
252
 
            option to form an absolute file name.  The default name is
253
 
            <quote><literal>seckey.txt</literal></quote>.
 
246
            OpenPGP secret key file name.  The default name is
 
247
            <quote><filename>/conf/conf.d/mandos/seckey.txt</filename
 
248
            ></quote>.
254
249
          </para>
255
250
        </listitem>
256
251
      </varlistentry>
263
258
                      xpointer="priority"/>
264
259
        </listitem>
265
260
      </varlistentry>
266
 
 
 
261
      
267
262
      <varlistentry>
268
263
        <term><option>--dh-bits=<replaceable
269
264
        >BITS</replaceable></option></term>
274
269
          </para>
275
270
        </listitem>
276
271
      </varlistentry>
 
272
 
 
273
      <varlistentry>
 
274
        <term><option>--delay=<replaceable
 
275
        >SECONDS</replaceable></option></term>
 
276
        <listitem>
 
277
          <para>
 
278
            After bringing the network interface up, the program waits
 
279
            for the interface to arrive in a <quote>running</quote>
 
280
            state before proceeding.  During this time, the kernel log
 
281
            level will be lowered to reduce clutter on the system
 
282
            console, alleviating any other plugins which might be
 
283
            using the system console.  This option sets the upper
 
284
            limit of seconds to wait.  The default is 2.5 seconds.
 
285
          </para>
 
286
        </listitem>
 
287
      </varlistentry>
277
288
      
278
289
      <varlistentry>
279
290
        <term><option>--debug</option></term>
309
320
          </para>
310
321
        </listitem>
311
322
      </varlistentry>
312
 
 
 
323
      
313
324
      <varlistentry>
314
325
        <term><option>--version</option></term>
315
326
        <term><option>-V</option></term>
321
332
      </varlistentry>
322
333
    </variablelist>
323
334
  </refsect1>
324
 
 
 
335
  
325
336
  <refsect1 id="overview">
326
337
    <title>OVERVIEW</title>
327
338
    <xi:include href="../overview.xml"/>
336
347
      <filename>/etc/crypttab</filename>, but it would then be
337
348
      impossible to enter a password for the encrypted root disk at
338
349
      the console, since this program does not read from the console
339
 
      at all.  This is why a separate plugin (<citerefentry>
340
 
      <refentrytitle>password-prompt</refentrytitle>
341
 
      <manvolnum>8mandos</manvolnum></citerefentry>) does that, which
342
 
      will be run in parallell to this one by the plugin runner.
 
350
      at all.  This is why a separate plugin runner (<citerefentry>
 
351
      <refentrytitle>plugin-runner</refentrytitle>
 
352
      <manvolnum>8mandos</manvolnum></citerefentry>) is used to run
 
353
      both this program and others in in parallel,
 
354
      <emphasis>one</emphasis> of which will prompt for passwords on
 
355
      the system console.
343
356
    </para>
344
357
  </refsect1>
345
358
  
352
365
      program will exit with a non-zero exit status only if a critical
353
366
      error occurs.  Otherwise, it will forever connect to new
354
367
      <application>Mandos</application> servers as they appear, trying
355
 
      to get a decryptable password.
 
368
      to get a decryptable password and print it.
356
369
    </para>
357
370
  </refsect1>
358
371
  
366
379
    </para>
367
380
  </refsect1>
368
381
  
369
 
  <refsect1 id="file">
 
382
  <refsect1 id="files">
370
383
    <title>FILES</title>
371
384
    <variablelist>
372
385
      <varlistentry>
391
404
<!--     <para> -->
392
405
<!--     </para> -->
393
406
<!--   </refsect1> -->
394
 
 
 
407
  
395
408
  <refsect1 id="example">
396
409
    <title>EXAMPLE</title>
397
410
    <para>
411
424
    </informalexample>
412
425
    <informalexample>
413
426
      <para>
414
 
        Search for Mandos servers on another interface:
 
427
        Search for Mandos servers (and connect to them) using another
 
428
        interface:
415
429
      </para>
416
430
      <para>
417
431
        <!-- do not wrap this line -->
420
434
    </informalexample>
421
435
    <informalexample>
422
436
      <para>
423
 
        Run in debug mode, and use a custom key directory:
 
437
        Run in debug mode, and use a custom key:
424
438
      </para>
425
439
      <para>
426
 
        <!-- do not wrap this line -->
427
 
        <userinput>&COMMANDNAME; --debug --keydir keydir</userinput>
 
440
 
 
441
<!-- do not wrap this line -->
 
442
<userinput>&COMMANDNAME; --debug --pubkey keydir/pubkey.txt --seckey keydir/seckey.txt</userinput>
 
443
 
428
444
      </para>
429
445
    </informalexample>
430
446
    <informalexample>
431
447
      <para>
432
 
        Run in debug mode, with a custom key directory, and do not use
433
 
        Zeroconf to locate a server; connect directly to the IPv6
434
 
        address <quote><systemitem class="ipaddress"
 
448
        Run in debug mode, with a custom key, and do not use Zeroconf
 
449
        to locate a server; connect directly to the IPv6 address
 
450
        <quote><systemitem class="ipaddress"
435
451
        >2001:db8:f983:bd0b:30de:ae4a:71f2:f672</systemitem></quote>,
436
452
        port 4711, using interface eth2:
437
453
      </para>
438
454
      <para>
439
455
 
440
456
<!-- do not wrap this line -->
441
 
<userinput>&COMMANDNAME; --debug --keydir keydir --connect 2001:db8:f983:bd0b:30de:ae4a:71f2:f672:4711 --interface eth2</userinput>
 
457
<userinput>&COMMANDNAME; --debug --pubkey keydir/pubkey.txt --seckey keydir/seckey.txt --connect 2001:db8:f983:bd0b:30de:ae4a:71f2:f672:4711 --interface eth2</userinput>
442
458
 
443
459
      </para>
444
460
    </informalexample>
445
461
  </refsect1>
446
 
 
 
462
  
447
463
  <refsect1 id="security">
448
464
    <title>SECURITY</title>
449
465
    <para>
469
485
      The only remaining weak point is that someone with physical
470
486
      access to the client hard drive might turn off the client
471
487
      computer, read the OpenPGP keys directly from the hard drive,
472
 
      and communicate with the server.  The defense against this is
473
 
      that the server is supposed to notice the client disappearing
474
 
      and will stop giving out the encrypted data.  Therefore, it is
475
 
      important to set the timeout and checker interval values tightly
476
 
      on the server.  See <citerefentry><refentrytitle
 
488
      and communicate with the server.  To safeguard against this, the
 
489
      server is supposed to notice the client disappearing and stop
 
490
      giving out the encrypted data.  Therefore, it is important to
 
491
      set the timeout and checker interval values tightly on the
 
492
      server.  See <citerefentry><refentrytitle
477
493
      >mandos</refentrytitle><manvolnum>8</manvolnum></citerefentry>.
478
494
    </para>
479
495
    <para>
490
506
      confidential.
491
507
    </para>
492
508
  </refsect1>
493
 
 
 
509
  
494
510
  <refsect1 id="see_also">
495
511
    <title>SEE ALSO</title>
496
512
    <para>
621
637
      </varlistentry>
622
638
    </variablelist>
623
639
  </refsect1>
624
 
 
625
640
</refentry>
 
641
 
626
642
<!-- Local Variables: -->
627
643
<!-- time-stamp-start: "<!ENTITY TIMESTAMP [\"']" -->
628
644
<!-- time-stamp-end: "[\"']>" -->