/mandos/trunk

To get this branch, use:
bzr branch http://bzr.recompile.se/loggerhead/mandos/trunk

« back to all changes in this revision

Viewing changes to mandos.xml

  • Committer: Teddy Hogeborn
  • Date: 2015-03-10 18:03:38 UTC
  • Revision ID: teddy@recompile.se-20150310180338-pcxw6r2qmw9k6br9
Add ":!RSA" to GnuTLS priority string, to disallow non-DHE kx.

If Mandos was somehow made to use a non-ephemeral Diffie-Hellman key
exchange algorithm in the TLS handshake, any saved network traffic
could then be decrypted later if the Mandos client key was obtained.
By default, Mandos uses ephemeral DH key exchanges which does not have
this problem, but a non-ephemeral key exchange algorithm was still
enabled by default.  The simplest solution is to simply turn that off,
which ensures that Mandos will always use ephemeral DH key exchanges.

There is a "PFS" priority string specifier, but we can't use it because:

1. Security-wise, it is a mix between "NORMAL" and "SECURE128" - it
   enables a lot more algorithms than "SECURE256".

2. It is only available since GnuTLS 3.2.4.

Thanks to Andreas Fischer <af@bantuX.org> for reporting this issue.

Show diffs side-by-side

added added

removed removed

Lines of Context:
2
2
<!DOCTYPE refentry PUBLIC "-//OASIS//DTD DocBook XML V4.5//EN"
3
3
"http://www.oasis-open.org/docbook/xml/4.5/docbookx.dtd" [
4
4
<!ENTITY COMMANDNAME "mandos">
5
 
<!ENTITY TIMESTAMP "2013-10-26">
 
5
<!ENTITY TIMESTAMP "2015-01-25">
6
6
<!ENTITY % common SYSTEM "common.ent">
7
7
%common;
8
8
]>
106
106
      <replaceable>FD</replaceable></option></arg>
107
107
      <sbr/>
108
108
      <arg><option>--foreground</option></arg>
 
109
      <sbr/>
 
110
      <arg><option>--no-zeroconf</option></arg>
109
111
    </cmdsynopsis>
110
112
    <cmdsynopsis>
111
113
      <command>&COMMANDNAME;</command>
323
325
        </listitem>
324
326
      </varlistentry>
325
327
      
 
328
      <varlistentry>
 
329
        <term><option>--no-zeroconf</option></term>
 
330
        <listitem>
 
331
          <xi:include href="mandos-options.xml" xpointer="zeroconf"/>
 
332
        </listitem>
 
333
      </varlistentry>
 
334
      
326
335
    </variablelist>
327
336
  </refsect1>
328
337
  
698
707
      </varlistentry>
699
708
      <varlistentry>
700
709
        <term>
701
 
          <ulink url="http://www.gnu.org/software/gnutls/"
702
 
          >GnuTLS</ulink>
 
710
          <ulink url="http://gnutls.org/">GnuTLS</ulink>
703
711
        </term>
704
712
      <listitem>
705
713
        <para>
743
751
      </varlistentry>
744
752
      <varlistentry>
745
753
        <term>
746
 
          RFC 4346: <citetitle>The Transport Layer Security (TLS)
747
 
          Protocol Version 1.1</citetitle>
 
754
          RFC 5246: <citetitle>The Transport Layer Security (TLS)
 
755
          Protocol Version 1.2</citetitle>
748
756
        </term>
749
757
      <listitem>
750
758
        <para>
751
 
          TLS 1.1 is the protocol implemented by GnuTLS.
 
759
          TLS 1.2 is the protocol implemented by GnuTLS.
752
760
        </para>
753
761
      </listitem>
754
762
      </varlistentry>
764
772
      </varlistentry>
765
773
      <varlistentry>
766
774
        <term>
767
 
          RFC 5081: <citetitle>Using OpenPGP Keys for Transport Layer
768
 
          Security</citetitle>
 
775
          RFC 6091: <citetitle>Using OpenPGP Keys for Transport Layer
 
776
          Security (TLS) Authentication</citetitle>
769
777
        </term>
770
778
      <listitem>
771
779
        <para>