/mandos/trunk

To get this branch, use:
bzr branch http://bzr.recompile.se/loggerhead/mandos/trunk

« back to all changes in this revision

Viewing changes to plugins.d/mandos-client.xml

  • Committer: Teddy Hogeborn
  • Date: 2016-03-19 04:21:00 UTC
  • Revision ID: teddy@recompile.se-20160319042100-i581cfv65r934dnl
Client: Make plugin helper override directory mode u=rwx,go=

Even though it currently is not used, a local administrator might use
setuid (or setcap) executables as plugin helpers.  Thus, the plugin
helper override directory (/etc/mandos/plugin-helpers) must be
secured, just as the plugin override directory (/etc/mandos/plugins.d)
is.

* Makefile (install-client-nokey): Install plugin-helper directory as
                                   mode u=rwx.
* debian/mandos-client.lintian-overrides: Do not warn about
                               permissions on plugin helper directory.
* debian/mandos-client.postinst (configure): Fix permissions on plugin
  helper local override directory (/etc/mandos/plugin-helpers), but
  only if not listed by "dpkg-statoverride".

Show diffs side-by-side

added added

removed removed

Lines of Context:
plugins.d/mandos-client.xml
2
2
<!DOCTYPE refentry PUBLIC "-//OASIS//DTD DocBook XML V4.5//EN"
3
3
        "http://www.oasis-open.org/docbook/xml/4.5/docbookx.dtd" [
4
4
<!ENTITY COMMANDNAME "mandos-client">
5
 
<!ENTITY TIMESTAMP "2013-10-20">
 
5
<!ENTITY TIMESTAMP "2016-03-05">
6
6
<!ENTITY % common SYSTEM "../common.ent">
7
7
%common;
8
8
]>
33
33
    <copyright>
34
34
      <year>2008</year>
35
35
      <year>2009</year>
 
36
      <year>2010</year>
 
37
      <year>2011</year>
36
38
      <year>2012</year>
37
39
      <year>2013</year>
 
40
      <year>2014</year>
 
41
      <year>2015</year>
 
42
      <year>2016</year>
38
43
      <holder>Teddy Hogeborn</holder>
39
44
      <holder>Björn Påhlsson</holder>
40
45
    </copyright>
97
102
      </arg>
98
103
      <sbr/>
99
104
      <arg>
 
105
        <option>--dh-params <replaceable>FILE</replaceable></option>
 
106
      </arg>
 
107
      <sbr/>
 
108
      <arg>
100
109
        <option>--delay <replaceable>SECONDS</replaceable></option>
101
110
      </arg>
102
111
      <sbr/>
219
228
            assumed to separate the address from the port number.
220
229
          </para>
221
230
          <para>
222
 
            This option is normally only useful for testing and
223
 
            debugging.
 
231
            Normally, Zeroconf would be used to locate Mandos servers,
 
232
            in which case this option would only be used when testing
 
233
            and debugging.
224
234
          </para>
225
235
        </listitem>
226
236
      </varlistentry>
259
269
          <para>
260
270
            <replaceable>NAME</replaceable> can be the string
261
271
            <quote><literal>none</literal></quote>; this will make
262
 
            <command>&COMMANDNAME;</command> not bring up
263
 
            <emphasis>any</emphasis> interfaces specified
264
 
            <emphasis>after</emphasis> this string.  This is not
265
 
            recommended, and only meant for advanced users.
 
272
            <command>&COMMANDNAME;</command> only bring up interfaces
 
273
            specified <emphasis>before</emphasis> this string.  This
 
274
            is not recommended, and only meant for advanced users.
266
275
          </para>
267
276
        </listitem>
268
277
      </varlistentry>
310
319
        <listitem>
311
320
          <para>
312
321
            Sets the number of bits to use for the prime number in the
313
 
            TLS Diffie-Hellman key exchange.  Default is 1024.
 
322
            TLS Diffie-Hellman key exchange.  The default value is
 
323
            selected automatically based on the OpenPGP key.  Note
 
324
            that if the <option>--dh-params</option> option is used,
 
325
            the values from that file will be used instead.
 
326
          </para>
 
327
        </listitem>
 
328
      </varlistentry>
 
329
      
 
330
      <varlistentry>
 
331
        <term><option>--dh-params=<replaceable
 
332
        >FILE</replaceable></option></term>
 
333
        <listitem>
 
334
          <para>
 
335
            Specifies a PEM-encoded PKCS#3 file to read the parameters
 
336
            needed by the TLS Diffie-Hellman key exchange from.  If
 
337
            this option is not given, or if the file for some reason
 
338
            could not be used, the parameters will be generated on
 
339
            startup, which will take some time and processing power.
 
340
            Those using servers running under time, power or processor
 
341
            constraints may want to generate such a file in advance
 
342
            and use this option.
314
343
          </para>
315
344
        </listitem>
316
345
      </varlistentry>
443
472
  
444
473
  <refsect1 id="environment">
445
474
    <title>ENVIRONMENT</title>
 
475
    <variablelist>
 
476
      <varlistentry>
 
477
        <term><envar>MANDOSPLUGINHELPERDIR</envar></term>
 
478
        <listitem>
 
479
          <para>
 
480
            This environment variable will be assumed to contain the
 
481
            directory containing any helper executables.  The use and
 
482
            nature of these helper executables, if any, is
 
483
            purposefully not documented.
 
484
        </para>
 
485
        </listitem>
 
486
      </varlistentry>
 
487
    </variablelist>
446
488
    <para>
447
 
      This program does not use any environment variables, not even
448
 
      the ones provided by <citerefentry><refentrytitle
 
489
      This program does not use any other environment variables, not
 
490
      even the ones provided by <citerefentry><refentrytitle
449
491
      >cryptsetup</refentrytitle><manvolnum>8</manvolnum>
450
492
    </citerefentry>.
451
493
    </para>
651
693
    </variablelist>
652
694
  </refsect1>
653
695
  
654
 
<!--   <refsect1 id="bugs"> -->
655
 
<!--     <title>BUGS</title> -->
656
 
<!--     <para> -->
657
 
<!--     </para> -->
658
 
<!--   </refsect1> -->
 
696
  <refsect1 id="bugs">
 
697
    <title>BUGS</title>
 
698
    <xi:include href="../bugs.xml"/>
 
699
  </refsect1>
659
700
  
660
701
  <refsect1 id="example">
661
702
    <title>EXAMPLE</title>
747
788
    <para>
748
789
      It will also help if the checker program on the server is
749
790
      configured to request something from the client which can not be
750
 
      spoofed by someone else on the network, unlike unencrypted
751
 
      <acronym>ICMP</acronym> echo (<quote>ping</quote>) replies.
 
791
      spoofed by someone else on the network, like SSH server key
 
792
      fingerprints, and unlike unencrypted <acronym>ICMP</acronym>
 
793
      echo (<quote>ping</quote>) replies.
752
794
    </para>
753
795
    <para>
754
796
      <emphasis>Note</emphasis>: This makes it completely insecure to