/mandos/trunk

To get this branch, use:
bzr branch http://bzr.recompile.se/loggerhead/mandos/trunk

« back to all changes in this revision

Viewing changes to initramfs-tools-hook

  • Committer: Teddy Hogeborn
  • Date: 2015-07-20 03:03:33 UTC
  • Revision ID: teddy@recompile.se-20150720030333-203m2aeblypcsfte
Bug fix for GnuTLS 3: be compatible with old 2048-bit DSA keys.

The mandos-keygen program in Mandos version 1.6.0 and older generated
2048-bit DSA keys, and when GnuTLS uses these it has trouble
connecting using the Mandos default priority string.  This was
previously fixed in Mandos 1.6.2, but the bug reappeared when using
GnuTLS 3, so the default priority string has to change again; this
time also the Mandos client has to change its default, so now the
server and the client should use the same default priority string:

SECURE256:!CTYPE-X.509:+CTYPE-OPENPGP:!RSA:+SIGN-DSA-SHA256

* mandos (main/server_defaults): Changed default priority string.
* mandos-options.xml (/section/para[id="priority_compat"]): Removed.
  (/section/para[id="priority"]): Changed default priority string.
* mandos.conf ([DEFAULT]/priority): - '' -
* mandos.conf.xml (OPTIONS/priority): Refer to the id "priority"
                                      instead of "priority_compat".
* mandos.xml (OPTIONS/--priority): - '' -
* plugins.d/mandos-client.c (main): Changed default priority string.

Show diffs side-by-side

added added

removed removed

Lines of Context:
initramfs-tools-hook
3
3
# This script will be run by 'mkinitramfs' when it creates the image.
4
4
# Its job is to decide which files to install, then install them into
5
5
# the staging area, where the initramfs is being created.  This
6
 
# happens when a new 'linux-image' package is installed, or when the
 
6
# happens when a new 'linux-image' package is installed, or when an
7
7
# administrator runs 'update-initramfs' by hand to update an initramfs
8
8
# image.
9
9
 
29
29
 
30
30
. /usr/share/initramfs-tools/hook-functions
31
31
 
32
 
for d in /usr /usr/local; do
33
 
    if [ -d "$d"/lib/mandos ]; then
34
 
        prefix="$d"
 
32
for d in /usr/lib \
 
33
    "/usr/lib/`dpkg-architecture -qDEB_HOST_MULTIARCH 2>/dev/null`" \
 
34
    "`rpm --eval='%{_libdir}' 2>/dev/null`" /usr/local/lib; do
 
35
    if [ -d "$d"/mandos ]; then
 
36
        libdir="$d"
35
37
        break
36
38
    fi
37
39
done
38
 
if [ -z "$prefix" ]; then
 
40
if [ -z "$libdir" ]; then
39
41
    # Mandos not found
40
42
    exit 1
41
43
fi
42
44
 
43
 
for d in /etc/keys/mandos /usr/local/lib/mandos/keys; do
 
45
for d in /etc/keys/mandos /etc/mandos/keys; do
44
46
    if [ -d "$d" ]; then
45
47
        keydir="$d"
46
48
        break
51
53
    exit 1
52
54
fi
53
55
 
 
56
set `{ getent passwd _mandos \
 
57
    || getent passwd nobody \
 
58
    || echo ::65534:65534:::; } \
 
59
    | cut --delimiter=: --fields=3,4 --only-delimited \
 
60
    --output-delimiter=" "`
 
61
mandos_user="$1"
 
62
mandos_group="$2"
 
63
 
54
64
# The Mandos network client uses the network
55
65
auto_add_modules net
56
66
# The Mandos network client uses IPv6
60
70
CONFDIR="/conf/conf.d/mandos"
61
71
MANDOSDIR="/lib/mandos"
62
72
PLUGINDIR="${MANDOSDIR}/plugins.d"
 
73
PLUGINHELPERDIR="${MANDOSDIR}/plugin-helpers"
 
74
HOOKDIR="${MANDOSDIR}/network-hooks.d"
63
75
 
64
76
# Make directories
65
 
mkdir --parents "${DESTDIR}${CONFDIR}"
66
 
mkdir --parents "${DESTDIR}${PLUGINDIR}"
 
77
install --directory --mode=u=rwx,go=rx "${DESTDIR}${CONFDIR}" \
 
78
        "${DESTDIR}${MANDOSDIR}" "${DESTDIR}${HOOKDIR}" \
 
79
        "${DESTDIR}${PLUGINHELPERDIR}"
 
80
install --owner=${mandos_user} --group=${mandos_group} --directory \
 
81
    --mode=u=rwx "${DESTDIR}${PLUGINDIR}"
67
82
 
68
83
# Copy the Mandos plugin runner
69
 
copy_exec "$prefix"/lib/mandos/plugin-runner "${MANDOSDIR}"
 
84
copy_exec "$libdir"/mandos/plugin-runner "${MANDOSDIR}"
70
85
 
71
86
# Copy the plugins
72
87
 
73
88
# Copy the packaged plugins
74
 
for file in "$prefix"/lib/mandos/plugins.d/*; do
 
89
for file in "$libdir"/mandos/plugins.d/*; do
75
90
    base="`basename \"$file\"`"
76
91
    # Is this plugin overridden?
77
92
    if [ -e "/etc/mandos/plugins.d/$base" ]; then
78
93
        continue
79
94
    fi
80
95
    case "$base" in
81
 
        *~|.*|\#*\#|*.dpkg-old|*.dpkg-new|*.dpkg-divert) : ;;
82
 
        "*") :;;
83
 
        *) copy_exec "$file" "${PLUGINDIR}";;
 
96
        *~|.*|\#*\#|*.dpkg-old|*.dpkg-bak|*.dpkg-new|*.dpkg-divert)
 
97
            : ;;
 
98
        "*") echo "W: Mandos client plugin directory is empty." >&2 ;;
 
99
        *) copy_exec "$file" "${PLUGINDIR}" ;;
 
100
    esac
 
101
done
 
102
 
 
103
# Copy the packaged plugin helpers
 
104
for file in "$libdir"/mandos/plugin-helpers/*; do
 
105
    base="`basename \"$file\"`"
 
106
    # Is this plugin overridden?
 
107
    if [ -e "/etc/mandos/plugin-helpers/$base" ]; then
 
108
        continue
 
109
    fi
 
110
    case "$base" in
 
111
        *~|.*|\#*\#|*.dpkg-old|*.dpkg-bak|*.dpkg-new|*.dpkg-divert)
 
112
            : ;;
 
113
        "*") : ;;
 
114
        *) copy_exec "$file" "${PLUGINHELPERDIR}" ;;
84
115
    esac
85
116
done
86
117
 
88
119
for file in /etc/mandos/plugins.d/*; do
89
120
    base="`basename \"$file\"`"
90
121
    case "$base" in
91
 
        *~|.*|\#*\#|*.dpkg-old|*.dpkg-new|*.dpkg-divert) : ;;
92
 
        "*") :;;
93
 
        *) copy_exec "$file" "${PLUGINDIR}";;
94
 
    esac
95
 
done
96
 
 
97
 
# GPGME needs /usr/bin/gpg
98
 
if ! [ -e "${DESTDIR}/usr/bin/gpg" ] \
99
 
    && [ -n "`ls \"${DESTDIR}\"/usr/lib/libgpgme.so* 2>/dev/null`" ]; then
100
 
    copy_exec /usr/bin/gpg
101
 
fi
102
 
 
103
 
# Config files and key files 
104
 
for file in /etc/mandos/* "$keydir"/*; do
 
122
        *~|.*|\#*\#|*.dpkg-old|*.dpkg-bak|*.dpkg-new|*.dpkg-divert)
 
123
            : ;;
 
124
        "*") : ;;
 
125
        *) copy_exec "$file" "${PLUGINDIR}" ;;
 
126
    esac
 
127
done
 
128
 
 
129
# Copy any user-supplied plugin helpers
 
130
for file in /etc/mandos/plugin-helpers/*; do
 
131
    base="`basename \"$file\"`"
 
132
    case "$base" in
 
133
        *~|.*|\#*\#|*.dpkg-old|*.dpkg-bak|*.dpkg-new|*.dpkg-divert)
 
134
            : ;;
 
135
        "*") : ;;
 
136
        *) copy_exec "$file" "${PLUGINHELPERDIR}" ;;
 
137
    esac
 
138
done
 
139
 
 
140
# Get DEVICE from initramfs.conf and other files
 
141
. /etc/initramfs-tools/initramfs.conf
 
142
for conf in /etc/initramfs-tools/conf.d/*; do
 
143
    if [ -n `basename \"$conf\" | grep '^[[:alnum:]][[:alnum:]\._-]*$' \
 
144
        | grep -v '\.dpkg-.*$'` ]; then
 
145
        [ -f ${conf} ] && . ${conf}
 
146
    fi
 
147
done
 
148
export DEVICE
 
149
 
 
150
# Copy network hooks
 
151
for hook in /etc/mandos/network-hooks.d/*; do
 
152
    case "`basename \"$hook\"`" in
 
153
        "*") continue ;;
 
154
        *[!A-Za-z0-9_.-]*) continue ;;
 
155
        *) test -d "$hook" || copy_exec "$hook" "${HOOKDIR}" ;;
 
156
    esac
 
157
    if [ -x "$hook" ]; then
 
158
        # Copy any files needed by the network hook
 
159
        MANDOSNETHOOKDIR=/etc/mandos/network-hooks.d MODE=files \
 
160
            VERBOSITY=0 "$hook" files | while read file target; do
 
161
            if [ ! -e "${file}" ]; then
 
162
                echo "WARNING: file ${file} not found, requested by Mandos network hook '${hook##*/}'" >&2
 
163
            fi
 
164
            if [ -z "${target}" ]; then
 
165
                copy_exec "$file"
 
166
            else
 
167
                copy_exec "$file" "$target"
 
168
            fi
 
169
        done
 
170
        # Copy and load any modules needed by the network hook
 
171
        MANDOSNETHOOKDIR=/etc/mandos/network-hooks.d MODE=modules \
 
172
            VERBOSITY=0 "$hook" modules | while read module; do
 
173
            if [ -z "${target}" ]; then
 
174
                force_load "$module"
 
175
            fi
 
176
        done
 
177
    fi
 
178
done
 
179
 
 
180
# GPGME needs GnuPG
 
181
gpg=/usr/bin/gpg
 
182
libgpgme11_version="`dpkg-query --showformat='${Version}' --show libgpgme11`"
 
183
if dpkg --compare-versions "$libgpgme11_version" ge 1.5.0-0.1; then
 
184
    if [ -e /usr/bin/gpgconf ]; then
 
185
        if [ ! -e "${DESTDIR}/usr/bin/gpgconf" ]; then
 
186
            copy_exec /usr/bin/gpgconf
 
187
        fi
 
188
        gpg="`/usr/bin/gpgconf|sed --quiet --expression='s/^gpg:[^:]*://p'`"
 
189
    fi
 
190
elif dpkg --compare-versions "$libgpgme11_version" ge 1.4.1-0.1; then
 
191
    gpg=/usr/bin/gpg2
 
192
fi
 
193
if [ ! -e "${DESTDIR}$gpg" ]; then
 
194
    copy_exec "$gpg"
 
195
fi
 
196
unset gpg
 
197
unset libgpgme11_version
 
198
 
 
199
# Config files
 
200
for file in /etc/mandos/plugin-runner.conf; do
105
201
    if [ -d "$file" ]; then
106
202
        continue
107
203
    fi
108
204
    cp --archive --sparse=always "$file" "${DESTDIR}${CONFDIR}"
109
205
done
110
206
 
 
207
if [ ${mandos_user} != 65534 ]; then
 
208
    sed --in-place --expression="1i--userid=${mandos_user}" \
 
209
        "${DESTDIR}${CONFDIR}/plugin-runner.conf"
 
210
fi
 
211
 
 
212
if [ ${mandos_group} != 65534 ]; then
 
213
    sed --in-place --expression="1i--groupid=${mandos_group}" \
 
214
        "${DESTDIR}${CONFDIR}/plugin-runner.conf"
 
215
fi
 
216
 
 
217
# Key files
 
218
for file in "$keydir"/*; do
 
219
    if [ -d "$file" ]; then
 
220
        continue
 
221
    fi
 
222
    case "$file" in
 
223
        *~|.*|\#*\#|*.dpkg-old|*.dpkg-bak|*.dpkg-new|*.dpkg-divert)
 
224
            : ;;
 
225
        "*") : ;;
 
226
        *)
 
227
            cp --archive --sparse=always "$file" \
 
228
               "${DESTDIR}${CONFDIR}"
 
229
            chown ${mandos_user}:${mandos_group} \
 
230
                  "${DESTDIR}${CONFDIR}/`basename \"$file\"`"
 
231
            ;;
 
232
    esac
 
233
done
 
234
# Use Diffie-Hellman parameters file if available
 
235
if [ -e "${DESTDIR}${CONFDIR}"/dhparams.pem ]; then
 
236
    sed --in-place \
 
237
        --expression="1i--options-for=mandos-client:--dh-params=${CONFDIR}/dhparams.pem" \
 
238
        "${DESTDIR}/${CONFDIR}/plugin-runner.conf"
 
239
fi
 
240
 
111
241
# /lib/mandos/plugin-runner will drop priviliges, but needs access to
112
242
# its plugin directory and its config file.  However, since almost all
113
243
# files in initrd have been created with umask 027, this opening of
120
250
# condition.  This umask is set by "initramfs-tools-hook-conf",
121
251
# installed as "/usr/share/initramfs-tools/conf-hooks.d/mandos".)
122
252
# 
123
 
for full in "${PLUGINDIR}" "${CONFDIR}"; do
 
253
for full in "${MANDOSDIR}" "${CONFDIR}"; do
124
254
    while [ "$full" != "/" ]; do
125
255
        chmod a+rX "${DESTDIR}$full"
126
256
        full="`dirname \"$full\"`"
134
264
        chmod a+rX "${DESTDIR}$dir"
135
265
    fi
136
266
done
137
 
for dir in /lib /usr/lib; do
138
 
    find "${DESTDIR}$dir" \! -perm /u+rw,g+r -prune -o -print0 \
139
 
        | xargs --null --no-run-if-empty chmod a+rX
 
267
for dir in "${DESTDIR}"/lib* "${DESTDIR}"/usr/lib*; do
 
268
    if [ -d "$dir" ]; then
 
269
        find "$dir" \! -perm -u+rw,g+r -prune -or -print0 \
 
270
            | xargs --null --no-run-if-empty chmod a+rX
 
271
    fi
140
272
done