/mandos/trunk

To get this branch, use:
bzr branch http://bzr.recompile.se/loggerhead/mandos/trunk

« back to all changes in this revision

Viewing changes to mandos-keygen

  • Committer: Teddy Hogeborn
  • Date: 2008-08-16 03:29:08 UTC
  • Revision ID: teddy@fukt.bsnet.se-20080816032908-ihw7c05r2mnyk389
Add feature to specify custom environment variables for plugins.

* plugin-runner.c (plugin): New members "environ" and "envc" to
                            contain possible custom environment.
  (getplugin): Return NULL on failure instead of doing exit(); all
               callers changed.
  (add_to_char_array): New helper function for "add_argument" and
                       "add_environment".
  (addargument): Renamed to "add_argument".  Return bool.  Call
                 "add_to_char_array" to actually do things.
  (add_environment): New; analogous to "add_argument".
  (addcustomargument): Renamed to "add_to_argv" to avoid confusion
                       with "add_argument".
  (main): New options "--global-envs" and "--envs-for" to specify
          custom environment for plugins.  Print environment for
          plugins in debug mode.  Use asprintf instead of strcpy and
          strcat.  Use execve() for plugins with custom environments.
          Free environment for plugin when freeing plugin list.

Show diffs side-by-side

added added

removed removed

Lines of Context:
mandos-keygen
2
2
# 
3
3
# Mandos key generator - create a new OpenPGP key for a Mandos client
4
4
# 
5
 
# Copyright © 2008-2015 Teddy Hogeborn
6
 
# Copyright © 2008-2015 Björn Påhlsson
 
5
# Copyright © 2007-2008 Teddy Hogeborn & Björn Påhlsson
7
6
# 
8
7
# This program is free software: you can redistribute it and/or modify
9
8
# it under the terms of the GNU General Public License as published by
18
17
# You should have received a copy of the GNU General Public License
19
18
# along with this program.  If not, see <http://www.gnu.org/licenses/>.
20
19
# 
21
 
# Contact the authors at <mandos@recompile.se>.
 
20
# Contact the authors at <mandos@fukt.bsnet.se>.
22
21
# 
23
22
 
24
 
VERSION="1.6.9"
 
23
VERSION="1.0"
25
24
 
26
 
KEYDIR="/etc/keys/mandos"
27
 
KEYTYPE=RSA
28
 
KEYLENGTH=4096
29
 
SUBKEYTYPE=RSA
30
 
SUBKEYLENGTH=4096
31
 
KEYNAME="`hostname --fqdn 2>/dev/null || hostname`"
 
25
KEYDIR="/etc/mandos"
 
26
KEYTYPE=DSA
 
27
KEYLENGTH=1024
 
28
KEYNAME="`hostname --fqdn`"
32
29
KEYEMAIL=""
33
 
KEYCOMMENT=""
 
30
KEYCOMMENT="Mandos client key"
34
31
KEYEXPIRE=0
35
32
FORCE=no
36
 
SSH=yes
37
33
KEYCOMMENT_ORIG="$KEYCOMMENT"
38
 
mode=keygen
39
 
 
40
 
if [ ! -d "$KEYDIR" ]; then
41
 
    KEYDIR="/etc/mandos/keys"
42
 
fi
43
34
 
44
35
# Parse options
45
 
TEMP=`getopt --options vhpF:d:t:l:s:L:n:e:c:x:fS \
46
 
    --longoptions version,help,password,passfile:,dir:,type:,length:,subtype:,sublength:,name:,email:,comment:,expire:,force,no-ssh \
 
36
TEMP=`getopt --options vhd:t:l:n:e:c:x:f \
 
37
    --longoptions version,help,dir:,type:,length:,name:,email:,comment:,expire:,force \
47
38
    --name "$0" -- "$@"`
48
39
 
49
40
help(){
50
 
basename="`basename "$0"`"
51
41
cat <<EOF
52
 
Usage: $basename [ -v | --version ]
53
 
       $basename [ -h | --help ]
54
 
   Key creation:
55
 
       $basename [ OPTIONS ]
56
 
   Encrypted password creation:
57
 
       $basename { -p | --password } [ --name NAME ] [ --dir DIR]
58
 
       $basename { -F | --passfile } FILE [ --name NAME ] [ --dir DIR]
 
42
Usage: `basename $0` [options]
59
43
 
60
 
Key creation options:
 
44
Options:
61
45
  -v, --version         Show program's version number and exit
62
46
  -h, --help            Show this help message and exit
63
47
  -d DIR, --dir DIR     Target directory for key files
64
 
  -t TYPE, --type TYPE  Key type.  Default is RSA.
 
48
  -t TYPE, --type TYPE  Key type.  Default is DSA.
65
49
  -l BITS, --length BITS
66
 
                        Key length in bits.  Default is 4096.
67
 
  -s TYPE, --subtype TYPE
68
 
                        Subkey type.  Default is RSA.
69
 
  -L BITS, --sublength BITS
70
 
                        Subkey length in bits.  Default is 4096.
 
50
                        Key length in bits.  Default is 1024.
71
51
  -n NAME, --name NAME  Name of key.  Default is the FQDN.
72
 
  -e ADDRESS, --email ADDRESS
 
52
  -e EMAIL, --email EMAIL
73
53
                        Email address of key.  Default is empty.
74
 
  -c TEXT, --comment TEXT
75
 
                        Comment field for key.  The default is empty.
 
54
  -c COMMENT, --comment COMMENT
 
55
                        Comment field for key.  The default value is
 
56
                        "Mandos client key".
76
57
  -x TIME, --expire TIME
77
58
                        Key expire time.  Default is no expiration.
78
59
                        See gpg(1) for syntax.
79
 
  -f, --force           Force overwriting old key files.
80
 
 
81
 
Password creation options:
82
 
  -p, --password        Create an encrypted password using the key in
83
 
                        the key directory.  All options other than
84
 
                        --dir and --name are ignored.
85
 
  -F FILE, --passfile FILE
86
 
                        Encrypt a password from FILE using the key in
87
 
                        the key directory.  All options other than
88
 
                        --dir and --name are ignored.
89
 
  -S, --no-ssh          Don't get SSH key or set "checker" option.
 
60
  -f, --force           Force overwriting old keys.
90
61
EOF
91
62
}
92
63
 
93
64
eval set -- "$TEMP"
94
65
while :; do
95
66
    case "$1" in
96
 
        -p|--password) mode=password; shift;;
97
 
        -F|--passfile) mode=password; PASSFILE="$2"; shift 2;;
98
67
        -d|--dir) KEYDIR="$2"; shift 2;;
99
68
        -t|--type) KEYTYPE="$2"; shift 2;;
100
 
        -s|--subtype) SUBKEYTYPE="$2"; shift 2;;
101
69
        -l|--length) KEYLENGTH="$2"; shift 2;;
102
 
        -L|--sublength) SUBKEYLENGTH="$2"; shift 2;;
103
70
        -n|--name) KEYNAME="$2"; shift 2;;
104
71
        -e|--email) KEYEMAIL="$2"; shift 2;;
105
72
        -c|--comment) KEYCOMMENT="$2"; shift 2;;
106
 
        -x|--expire) KEYEXPIRE="$2"; shift 2;;
 
73
        -x|--expire) KEYCOMMENT="$2"; shift 2;;
107
74
        -f|--force) FORCE=yes; shift;;
108
 
        -S|--no-ssh) SSH=no; shift;;
109
75
        -v|--version) echo "$0 $VERSION"; exit;;
110
76
        -h|--help) help; exit;;
111
77
        --) shift; break;;
113
79
    esac
114
80
done
115
81
if [ "$#" -gt 0 ]; then
116
 
    echo "Unknown arguments: '$*'" >&2
 
82
    echo "Unknown arguments: '$@'" >&2
117
83
    exit 1
118
84
fi
119
85
 
121
87
PUBKEYFILE="$KEYDIR/pubkey.txt"
122
88
 
123
89
# Check for some invalid values
124
 
if [ ! -d "$KEYDIR" ]; then
 
90
if [ -d "$KEYDIR" ]; then :; else
125
91
    echo "$KEYDIR not a directory" >&2
126
92
    exit 1
127
93
fi
128
 
if [ ! -r "$KEYDIR" ]; then
129
 
    echo "Directory $KEYDIR not readable" >&2
130
 
    exit 1
131
 
fi
132
 
 
133
 
if [ "$mode" = keygen ]; then
134
 
    if [ ! -w "$KEYDIR" ]; then
135
 
        echo "Directory $KEYDIR not writeable" >&2
136
 
        exit 1
137
 
    fi
138
 
    if [ -z "$KEYTYPE" ]; then
139
 
        echo "Empty key type" >&2
140
 
        exit 1
141
 
    fi
142
 
    
143
 
    if [ -z "$KEYNAME" ]; then
144
 
        echo "Empty key name" >&2
145
 
        exit 1
146
 
    fi
147
 
    
148
 
    if [ -z "$KEYLENGTH" ] || [ "$KEYLENGTH" -lt 512 ]; then
149
 
        echo "Invalid key length" >&2
150
 
        exit 1
151
 
    fi
152
 
    
153
 
    if [ -z "$KEYEXPIRE" ]; then
154
 
        echo "Empty key expiration" >&2
155
 
        exit 1
156
 
    fi
157
 
    
158
 
    # Make FORCE be 0 or 1
159
 
    case "$FORCE" in
160
 
        [Yy][Ee][Ss]|[Tt][Rr][Uu][Ee]) FORCE=1;;
161
 
        [Nn][Oo]|[Ff][Aa][Ll][Ss][Ee]|*) FORCE=0;;
162
 
    esac
163
 
    
164
 
    if [ \( -e "$SECKEYFILE" -o -e "$PUBKEYFILE" \) \
165
 
        -a "$FORCE" -eq 0 ]; then
166
 
        echo "Refusing to overwrite old key files; use --force" >&2
167
 
        exit 1
168
 
    fi
169
 
    
170
 
    # Set lines for GnuPG batch file
171
 
    if [ -n "$KEYCOMMENT" ]; then
172
 
        KEYCOMMENTLINE="Name-Comment: $KEYCOMMENT"
173
 
    fi
174
 
    if [ -n "$KEYEMAIL" ]; then
175
 
        KEYEMAILLINE="Name-Email: $KEYEMAIL"
176
 
    fi
177
 
    
178
 
    # Create temporary gpg batch file
179
 
    BATCHFILE="`mktemp -t mandos-keygen-batch.XXXXXXXXXX`"
180
 
fi
181
 
 
182
 
if [ "$mode" = password ]; then
183
 
    # Create temporary encrypted password file
184
 
    SECFILE="`mktemp -t mandos-keygen-secfile.XXXXXXXXXX`"
185
 
fi
186
 
 
187
 
# Create temporary key ring directory
188
 
RINGDIR="`mktemp -d -t mandos-keygen-keyrings.XXXXXXXXXX`"
 
94
if [ -w "$KEYDIR" ]; then :; else
 
95
    echo "Directory $KEYDIR not writeable" >&2
 
96
    exit 1
 
97
fi
 
98
 
 
99
if [ -z "$KEYTYPE" ]; then
 
100
    echo "Empty key type" >&2
 
101
    exit 1
 
102
fi
 
103
 
 
104
if [ -z "$KEYNAME" ]; then
 
105
    echo "Empty key name" >&2
 
106
    exit 1
 
107
fi
 
108
 
 
109
if [ -z "$KEYLENGTH" ] || [ "$KEYLENGTH" -lt 512 ]; then
 
110
    echo "Invalid key length" >&2
 
111
    exit 1
 
112
fi
 
113
 
 
114
if [ -z "$KEYEXPIRE" ]; then
 
115
    echo "Empty key expiration" >&2
 
116
    exit 1
 
117
fi
 
118
 
 
119
# Make FORCE be 0 or 1
 
120
case "$FORCE" in
 
121
    [Yy][Ee][Ss]|[Tt][Rr][Uu][Ee]) FORCE=1;;
 
122
    [Nn][Oo]|[Ff][Aa][Ll][Ss][Ee]|*) FORCE=0;;
 
123
esac
 
124
 
 
125
if { [ -e "$SECKEYFILE" ] || [ -e "$PUBKEYFILE" ]; } \
 
126
    && [ "$FORCE" -eq 0 ]; then
 
127
    echo "Refusing to overwrite old key files; use --force" >&2
 
128
    exit 1
 
129
fi
 
130
 
 
131
# Set lines for GnuPG batch file
 
132
if [ -n "$KEYCOMMENT" ]; then
 
133
    KEYCOMMENTLINE="Name-Comment: $KEYCOMMENT"
 
134
fi
 
135
if [ -n "$KEYEMAIL" ]; then
 
136
    KEYEMAILLINE="Name-Email: $KEYEMAIL"
 
137
fi
 
138
 
 
139
# Create temp files
 
140
BATCHFILE="`mktemp -t mandos-gpg-batch.XXXXXXXXXX`"
 
141
SECRING="`mktemp -t mandos-gpg-secring.XXXXXXXXXX`"
 
142
PUBRING="`mktemp -t mandos-gpg-pubring.XXXXXXXXXX`"
189
143
 
190
144
# Remove temporary files on exit
191
 
trap "
192
 
set +e; \
193
 
test -n \"$SECFILE\" && shred --remove \"$SECFILE\"; \
194
 
shred --remove \"$RINGDIR\"/sec* 2>/dev/null;
195
 
test -n \"$BATCHFILE\" && rm --force \"$BATCHFILE\"; \
196
 
rm --recursive --force \"$RINGDIR\";
197
 
tty --quiet && stty echo; \
198
 
" EXIT
199
 
 
200
 
set -e
201
 
 
202
 
umask 077
203
 
 
204
 
if [ "$mode" = keygen ]; then
205
 
    # Create batch file for GnuPG
206
 
    cat >"$BATCHFILE" <<-EOF
207
 
        Key-Type: $KEYTYPE
208
 
        Key-Length: $KEYLENGTH
209
 
        Key-Usage: sign,auth
210
 
        Subkey-Type: $SUBKEYTYPE
211
 
        Subkey-Length: $SUBKEYLENGTH
212
 
        Subkey-Usage: encrypt
213
 
        Name-Real: $KEYNAME
214
 
        $KEYCOMMENTLINE
215
 
        $KEYEMAILLINE
216
 
        Expire-Date: $KEYEXPIRE
217
 
        #Preferences: <string>
218
 
        #Handle: <no-spaces>
219
 
        #%pubring pubring.gpg
220
 
        #%secring secring.gpg
221
 
        %commit
222
 
        EOF
223
 
    
224
 
    if tty --quiet; then
225
 
        cat <<-EOF
226
 
        Note: Due to entropy requirements, key generation could take
227
 
        anything from a few minutes to SEVERAL HOURS.  Please be
228
 
        patient and/or supply the system with more entropy if needed.
229
 
        EOF
230
 
        echo -n "Started: "
231
 
        date
232
 
    fi
233
 
    
234
 
    # Make sure trustdb.gpg exists;
235
 
    # this is a workaround for Debian bug #737128
236
 
    gpg --quiet --batch --no-tty --no-options --enable-dsa2 \
237
 
        --homedir "$RINGDIR" \
238
 
        --import-ownertrust < /dev/null
239
 
    # Generate a new key in the key rings
240
 
    gpg --quiet --batch --no-tty --no-options --enable-dsa2 \
241
 
        --homedir "$RINGDIR" --trust-model always \
242
 
        --gen-key "$BATCHFILE"
243
 
    rm --force "$BATCHFILE"
244
 
    
245
 
    if tty --quiet; then
246
 
        echo -n "Finished: "
247
 
        date
248
 
    fi
249
 
    
250
 
    # Backup any old key files
251
 
    if cp --backup=numbered --force "$SECKEYFILE" "$SECKEYFILE" \
252
 
        2>/dev/null; then
253
 
        shred --remove "$SECKEYFILE"
254
 
    fi
255
 
    if cp --backup=numbered --force "$PUBKEYFILE" "$PUBKEYFILE" \
256
 
        2>/dev/null; then
257
 
        rm --force "$PUBKEYFILE"
258
 
    fi
259
 
    
260
 
    FILECOMMENT="Mandos client key for $KEYNAME"
261
 
    if [ "$KEYCOMMENT" != "$KEYCOMMENT_ORIG" ]; then
262
 
        FILECOMMENT="$FILECOMMENT ($KEYCOMMENT)"
263
 
    fi
264
 
    
265
 
    if [ -n "$KEYEMAIL" ]; then
266
 
        FILECOMMENT="$FILECOMMENT <$KEYEMAIL>"
267
 
    fi
268
 
    
269
 
    # Export key from key rings to key files
270
 
    gpg --quiet --batch --no-tty --no-options --enable-dsa2 \
271
 
        --homedir "$RINGDIR" --armor --export-options export-minimal \
272
 
        --comment "$FILECOMMENT" --output "$SECKEYFILE" \
273
 
        --export-secret-keys
274
 
    gpg --quiet --batch --no-tty --no-options --enable-dsa2 \
275
 
        --homedir "$RINGDIR" --armor --export-options export-minimal \
276
 
        --comment "$FILECOMMENT" --output "$PUBKEYFILE" --export
277
 
fi
278
 
 
279
 
if [ "$mode" = password ]; then
280
 
    
281
 
    # Make SSH be 0 or 1
282
 
    case "$SSH" in
283
 
        [Yy][Ee][Ss]|[Tt][Rr][Uu][Ee]) SSH=1;;
284
 
        [Nn][Oo]|[Ff][Aa][Ll][Ss][Ee]|*) SSH=0;;
285
 
    esac
286
 
    
287
 
    if [ $SSH -eq 1 ]; then
288
 
        for ssh_keytype in ed25519 rsa; do
289
 
            set +e
290
 
            ssh_fingerprint="`ssh-keyscan -t $ssh_keytype localhost 2>/dev/null`"
291
 
            set -e
292
 
            if [ $? -ne 0 ]; then
293
 
                ssh_fingerprint=""
294
 
                continue
295
 
            fi
296
 
            if [ -n "$ssh_fingerprint" ]; then
297
 
                ssh_fingerprint="${ssh_fingerprint#localhost }"
298
 
                break
299
 
            fi
300
 
        done
301
 
    fi
302
 
    
303
 
    # Import key into temporary key rings
304
 
    gpg --quiet --batch --no-tty --no-options --enable-dsa2 \
305
 
        --homedir "$RINGDIR" --trust-model always --armor \
306
 
        --import "$SECKEYFILE"
307
 
    gpg --quiet --batch --no-tty --no-options --enable-dsa2 \
308
 
        --homedir "$RINGDIR" --trust-model always --armor \
309
 
        --import "$PUBKEYFILE"
310
 
    
311
 
    # Get fingerprint of key
312
 
    FINGERPRINT="`gpg --quiet --batch --no-tty --no-options \
313
 
        --enable-dsa2 --homedir "$RINGDIR" --trust-model always \
314
 
        --fingerprint --with-colons \
315
 
        | sed --quiet \
316
 
        --expression='/^fpr:/{s/^fpr:.*:\\([0-9A-Z]*\\):\$/\\1/p;q}'`"
317
 
    
318
 
    test -n "$FINGERPRINT"
319
 
    
320
 
    FILECOMMENT="Encrypted password for a Mandos client"
321
 
    
322
 
    while [ ! -s "$SECFILE" ]; do
323
 
        if [ -n "$PASSFILE" ]; then
324
 
            cat "$PASSFILE"
325
 
        else
326
 
            tty --quiet && stty -echo
327
 
            echo -n "Enter passphrase: " >&2
328
 
            read first
329
 
            tty --quiet && echo >&2
330
 
            echo -n "Repeat passphrase: " >&2
331
 
            read second
332
 
            if tty --quiet; then
333
 
                echo >&2
334
 
                stty echo
335
 
            fi
336
 
            if [ "$first" != "$second" ]; then
337
 
                echo "Passphrase mismatch" >&2
338
 
                touch "$RINGDIR"/mismatch
339
 
            else
340
 
                echo -n "$first"
341
 
            fi
342
 
        fi | gpg --quiet --batch --no-tty --no-options --enable-dsa2 \
343
 
            --homedir "$RINGDIR" --trust-model always --armor \
344
 
            --encrypt --sign --recipient "$FINGERPRINT" --comment \
345
 
            "$FILECOMMENT" > "$SECFILE"
346
 
        if [ -e "$RINGDIR"/mismatch ]; then
347
 
            rm --force "$RINGDIR"/mismatch
348
 
            if tty --quiet; then
349
 
                > "$SECFILE"
350
 
            else
351
 
                exit 1
352
 
            fi
353
 
        fi
354
 
    done
355
 
    
356
 
    cat <<-EOF
357
 
        [$KEYNAME]
358
 
        host = $KEYNAME
359
 
        fingerprint = $FINGERPRINT
360
 
        secret =
361
 
        EOF
362
 
    sed --quiet --expression='
363
 
        /^-----BEGIN PGP MESSAGE-----$/,/^-----END PGP MESSAGE-----$/{
364
 
            /^$/,${
365
 
                # Remove 24-bit Radix-64 checksum
366
 
                s/=....$//
367
 
                # Indent four spaces
368
 
                /^[^-]/s/^/    /p
369
 
            }
370
 
        }' < "$SECFILE"
371
 
    if [ -n "$ssh_fingerprint" ]; then
372
 
        echo 'checker = ssh-keyscan -t '"$ssh_keytype"' %%(host)s 2>/dev/null | grep --fixed-strings --line-regexp --quiet --regexp=%%(host)s" %(ssh_fingerprint)s"'
373
 
        echo "ssh_fingerprint = ${ssh_fingerprint}"
374
 
    fi
375
 
fi
 
145
trap "rm --force $PUBRING $BATCHFILE; shred --remove $SECRING" EXIT
 
146
 
 
147
# Create batch file for GnuPG
 
148
cat >"$BATCHFILE" <<EOF
 
149
Key-Type: $KEYTYPE
 
150
Key-Length: $KEYLENGTH
 
151
#Key-Usage: encrypt,sign,auth
 
152
Name-Real: $KEYNAME
 
153
$KEYCOMMENTLINE
 
154
$KEYEMAILLINE
 
155
Expire-Date: $KEYEXPIRE
 
156
%pubring $PUBRING
 
157
%secring $SECRING
 
158
%commit
 
159
EOF
 
160
 
 
161
umask 027
 
162
 
 
163
# Generate a new key in the key rings
 
164
gpg --no-random-seed-file --quiet --batch --no-tty \
 
165
    --no-default-keyring --no-options --batch \
 
166
    --secret-keyring "$SECRING" --keyring "$PUBRING" \
 
167
    --gen-key "$BATCHFILE"
 
168
rm --force "$BATCHFILE"
 
169
 
 
170
# Backup any old key files
 
171
if cp --backup=numbered --force "$SECKEYFILE" "$SECKEYFILE" \
 
172
    2>/dev/null; then
 
173
    shred --remove "$SECKEYFILE"
 
174
fi
 
175
if cp --backup=numbered --force "$PUBKEYFILE" "$PUBKEYFILE" \
 
176
    2>/dev/null; then
 
177
    rm --force "$PUBKEYFILE"
 
178
fi
 
179
 
 
180
FILECOMMENT="Mandos client key for $KEYNAME"
 
181
if [ "$KEYCOMMENT" != "$KEYCOMMENT_ORIG" ]; then
 
182
    FILECOMMENT="$FILECOMMENT ($KEYCOMMENT)"
 
183
fi
 
184
 
 
185
if [ -n "$KEYEMAIL" ]; then
 
186
    FILECOMMENT="$FILECOMMENT <$KEYEMAIL>"
 
187
fi
 
188
 
 
189
# Export keys from key rings to key files
 
190
gpg --no-random-seed-file --quiet --batch --no-tty --armor \
 
191
    --no-default-keyring --secret-keyring "$SECRING" \
 
192
    --keyring "$PUBRING" --export-options export-minimal \
 
193
    --comment "$FILECOMMENT" --output "$SECKEYFILE" \
 
194
    --export-secret-keys
 
195
gpg --no-random-seed-file --quiet --batch --no-tty --armor \
 
196
    --no-default-keyring --secret-keyring "$SECRING" \
 
197
    --keyring "$PUBRING" --export-options export-minimal \
 
198
    --comment "$FILECOMMENT" --output "$PUBKEYFILE" \
 
199
    --export
376
200
 
377
201
trap - EXIT
378
202
 
379
 
set +e
380
 
# Remove the password file, if any
381
 
if [ -n "$SECFILE" ]; then
382
 
    shred --remove "$SECFILE"
383
 
fi
384
203
# Remove the key rings
385
 
shred --remove "$RINGDIR"/sec* 2>/dev/null
386
 
rm --recursive --force "$RINGDIR"
 
204
shred --remove "$SECRING"
 
205
rm --force "$PUBRING"