/mandos/trunk

To get this branch, use:
bzr branch http://bzr.recompile.se/loggerhead/mandos/trunk

« back to all changes in this revision

Viewing changes to debian/tests/control

  • Committer: Teddy Hogeborn
  • Date: 2015-03-10 18:03:38 UTC
  • Revision ID: teddy@recompile.se-20150310180338-pcxw6r2qmw9k6br9
Add ":!RSA" to GnuTLS priority string, to disallow non-DHE kx.

If Mandos was somehow made to use a non-ephemeral Diffie-Hellman key
exchange algorithm in the TLS handshake, any saved network traffic
could then be decrypted later if the Mandos client key was obtained.
By default, Mandos uses ephemeral DH key exchanges which does not have
this problem, but a non-ephemeral key exchange algorithm was still
enabled by default.  The simplest solution is to simply turn that off,
which ensures that Mandos will always use ephemeral DH key exchanges.

There is a "PFS" priority string specifier, but we can't use it because:

1. Security-wise, it is a mix between "NORMAL" and "SECURE128" - it
   enables a lot more algorithms than "SECURE256".

2. It is only available since GnuTLS 3.2.4.

Thanks to Andreas Fischer <af@bantuX.org> for reporting this issue.

Show diffs side-by-side

added added

removed removed

Lines of Context:
1
 
Test-Command: /usr/sbin/mandos --check
2
 
Restrictions: superficial
3
 
Features: test-name=mandos-check
4
 
Depends: mandos
5
 
 
6
 
Test-Command: /usr/sbin/mandos-ctl --check --verbose
7
 
Restrictions: allow-stderr
8
 
Features: test-name=mandos-ctl
9
 
Depends: mandos
10
 
 
11
 
Test-Command: /usr/sbin/mandos-keygen --version
12
 
Restrictions: superficial
13
 
Features: test-name=mandos-keygen-version
14
 
Depends: mandos-client
15
 
 
16
 
Test-Command: /usr/lib/$(dpkg-architecture -qDEB_HOST_MULTIARCH 2>/dev/null)/mandos/plugin-runner --version
17
 
Restrictions: needs-root, superficial
18
 
Features: test-name=plugin-runner-version
19
 
Depends: mandos-client
20
 
 
21
 
Test-Command: /usr/lib/$(dpkg-architecture -qDEB_HOST_MULTIARCH 2>/dev/null)/mandos/plugin-helpers/mandos-client-iprouteadddel --version
22
 
Restrictions: needs-root, superficial
23
 
Features: test-name=mandos-client-iprouteadddel-version
24
 
Depends: mandos-client
25
 
 
26
 
Test-Command: /usr/lib/dracut/modules.d/90mandos/password-agent --test --verbose
27
 
Features: test-name=password-agent
28
 
Depends: mandos-client
29
 
 
30
 
Test-Command: /usr/lib/dracut/modules.d/90mandos/password-agent --test --verbose -p /task-creators/start_mandos_client/suid
31
 
Restrictions: needs-root
32
 
Features: test-name=password-agent-suid
33
 
Depends: mandos-client