/mandos/trunk

To get this branch, use:
bzr branch http://bzr.recompile.se/loggerhead/mandos/trunk

« back to all changes in this revision

Viewing changes to plugins.d/mandos-client.xml

  • Committer: Teddy Hogeborn
  • Date: 2015-07-20 03:03:33 UTC
  • Revision ID: teddy@recompile.se-20150720030333-203m2aeblypcsfte
Bug fix for GnuTLS 3: be compatible with old 2048-bit DSA keys.

The mandos-keygen program in Mandos version 1.6.0 and older generated
2048-bit DSA keys, and when GnuTLS uses these it has trouble
connecting using the Mandos default priority string.  This was
previously fixed in Mandos 1.6.2, but the bug reappeared when using
GnuTLS 3, so the default priority string has to change again; this
time also the Mandos client has to change its default, so now the
server and the client should use the same default priority string:

SECURE256:!CTYPE-X.509:+CTYPE-OPENPGP:!RSA:+SIGN-DSA-SHA256

* mandos (main/server_defaults): Changed default priority string.
* mandos-options.xml (/section/para[id="priority_compat"]): Removed.
  (/section/para[id="priority"]): Changed default priority string.
* mandos.conf ([DEFAULT]/priority): - '' -
* mandos.conf.xml (OPTIONS/priority): Refer to the id "priority"
                                      instead of "priority_compat".
* mandos.xml (OPTIONS/--priority): - '' -
* plugins.d/mandos-client.c (main): Changed default priority string.

Show diffs side-by-side

added added

removed removed

Lines of Context:
plugins.d/mandos-client.xml
2
2
<!DOCTYPE refentry PUBLIC "-//OASIS//DTD DocBook XML V4.5//EN"
3
3
        "http://www.oasis-open.org/docbook/xml/4.5/docbookx.dtd" [
4
4
<!ENTITY COMMANDNAME "mandos-client">
5
 
<!ENTITY TIMESTAMP "2014-01-20">
 
5
<!ENTITY TIMESTAMP "2015-07-08">
6
6
<!ENTITY % common SYSTEM "../common.ent">
7
7
%common;
8
8
]>
35
35
      <year>2009</year>
36
36
      <year>2012</year>
37
37
      <year>2013</year>
 
38
      <year>2014</year>
 
39
      <year>2015</year>
38
40
      <holder>Teddy Hogeborn</holder>
39
41
      <holder>Björn Påhlsson</holder>
40
42
    </copyright>
97
99
      </arg>
98
100
      <sbr/>
99
101
      <arg>
 
102
        <option>--dh-params <replaceable>FILE</replaceable></option>
 
103
      </arg>
 
104
      <sbr/>
 
105
      <arg>
100
106
        <option>--delay <replaceable>SECONDS</replaceable></option>
101
107
      </arg>
102
108
      <sbr/>
260
266
          <para>
261
267
            <replaceable>NAME</replaceable> can be the string
262
268
            <quote><literal>none</literal></quote>; this will make
263
 
            <command>&COMMANDNAME;</command> not bring up
264
 
            <emphasis>any</emphasis> interfaces specified
265
 
            <emphasis>after</emphasis> this string.  This is not
266
 
            recommended, and only meant for advanced users.
 
269
            <command>&COMMANDNAME;</command> only bring up interfaces
 
270
            specified <emphasis>before</emphasis> this string.  This
 
271
            is not recommended, and only meant for advanced users.
267
272
          </para>
268
273
        </listitem>
269
274
      </varlistentry>
311
316
        <listitem>
312
317
          <para>
313
318
            Sets the number of bits to use for the prime number in the
314
 
            TLS Diffie-Hellman key exchange.  Default is 1024.
 
319
            TLS Diffie-Hellman key exchange.  The default value is
 
320
            selected automatically based on the OpenPGP key.  Note
 
321
            that if the <option>--dh-params</option> option is used,
 
322
            the values from that file will be used instead.
 
323
          </para>
 
324
        </listitem>
 
325
      </varlistentry>
 
326
      
 
327
      <varlistentry>
 
328
        <term><option>--dh-params=<replaceable
 
329
        >FILE</replaceable></option></term>
 
330
        <listitem>
 
331
          <para>
 
332
            Specifies a PEM-encoded PKCS#3 file to read the parameters
 
333
            needed by the TLS Diffie-Hellman key exchange from.  If
 
334
            this option is not given, or if the file for some reason
 
335
            could not be used, the parameters will be generated on
 
336
            startup, which will take some time and processing power.
 
337
            Those using servers running under time, power or processor
 
338
            constraints may want to generate such a file in advance
 
339
            and use this option.
315
340
          </para>
316
341
        </listitem>
317
342
      </varlistentry>
444
469
  
445
470
  <refsect1 id="environment">
446
471
    <title>ENVIRONMENT</title>
 
472
    <variablelist>
 
473
      <varlistentry>
 
474
        <term><envar>MANDOSPLUGINHELPERDIR</envar></term>
 
475
        <listitem>
 
476
          <para>
 
477
            This environment variable will be assumed to contain the
 
478
            directory containing any helper executables.  The use and
 
479
            nature of these helper executables, if any, is
 
480
            purposefully not documented.
 
481
        </para>
 
482
        </listitem>
 
483
      </varlistentry>
 
484
    </variablelist>
447
485
    <para>
448
 
      This program does not use any environment variables, not even
449
 
      the ones provided by <citerefentry><refentrytitle
 
486
      This program does not use any other environment variables, not
 
487
      even the ones provided by <citerefentry><refentrytitle
450
488
      >cryptsetup</refentrytitle><manvolnum>8</manvolnum>
451
489
    </citerefentry>.
452
490
    </para>
748
786
    <para>
749
787
      It will also help if the checker program on the server is
750
788
      configured to request something from the client which can not be
751
 
      spoofed by someone else on the network, unlike unencrypted
752
 
      <acronym>ICMP</acronym> echo (<quote>ping</quote>) replies.
 
789
      spoofed by someone else on the network, like SSH server key
 
790
      fingerprints, and unlike unencrypted <acronym>ICMP</acronym>
 
791
      echo (<quote>ping</quote>) replies.
753
792
    </para>
754
793
    <para>
755
794
      <emphasis>Note</emphasis>: This makes it completely insecure to