/mandos/trunk

To get this branch, use:
bzr branch http://bzr.recompile.se/loggerhead/mandos/trunk

« back to all changes in this revision

Viewing changes to mandos-keygen

  • Committer: Teddy Hogeborn
  • Date: 2018-08-15 09:26:02 UTC
  • Revision ID: teddy@recompile.se-20180815092602-xoyb5s6gf8376i7u
http://bugs.debian.org/894495
mandos-client: Set system clock if necessary

* plugins.d/mandos-client.c (init_gpgme/import_key): If the system
  clock is not set, or set to january 1970, set the system clock to
  the more plausible value that is the mtime of the key file.  This is
  required by GnuPG to be able to import the keys.  (We can't pass the
  --ignore-time-conflict or the --ignore-valid-from options though
  GPGME.)

Show diffs side-by-side

added added

removed removed

Lines of Context:
mandos-keygen
2
2
# 
3
3
# Mandos key generator - create a new OpenPGP key for a Mandos client
4
4
# 
5
 
# Copyright © 2007-2008 Teddy Hogeborn & Björn Påhlsson
 
5
# Copyright © 2008-2018 Teddy Hogeborn
 
6
# Copyright © 2008-2018 Björn Påhlsson
6
7
# 
7
 
# This program is free software: you can redistribute it and/or modify
8
 
# it under the terms of the GNU General Public License as published by
 
8
# This file is part of Mandos.
 
9
#
 
10
# Mandos is free software: you can redistribute it and/or modify it
 
11
# under the terms of the GNU General Public License as published by
9
12
# the Free Software Foundation, either version 3 of the License, or
10
13
# (at your option) any later version.
11
14
#
12
 
#     This program is distributed in the hope that it will be useful,
13
 
#     but WITHOUT ANY WARRANTY; without even the implied warranty of
 
15
#     Mandos is distributed in the hope that it will be useful, but
 
16
#     WITHOUT ANY WARRANTY; without even the implied warranty of
14
17
#     MERCHANTABILITY or FITNESS FOR A PARTICULAR PURPOSE.  See the
15
18
#     GNU General Public License for more details.
16
19
# 
17
20
# You should have received a copy of the GNU General Public License
18
 
# along with this program.  If not, see <http://www.gnu.org/licenses/>.
19
 
# 
20
 
# Contact the authors at <mandos@fukt.bsnet.se>.
21
 
# 
22
 
 
23
 
VERSION="1.0"
24
 
 
25
 
KEYDIR="/etc/mandos"
26
 
KEYTYPE=DSA
27
 
KEYLENGTH=2048
28
 
SUBKEYTYPE=ELG-E
29
 
SUBKEYLENGTH=2048
30
 
KEYNAME="`hostname --fqdn`"
 
21
# along with Mandos.  If not, see <http://www.gnu.org/licenses/>.
 
22
# 
 
23
# Contact the authors at <mandos@recompile.se>.
 
24
# 
 
25
 
 
26
VERSION="1.7.19"
 
27
 
 
28
KEYDIR="/etc/keys/mandos"
 
29
KEYTYPE=RSA
 
30
KEYLENGTH=4096
 
31
SUBKEYTYPE=RSA
 
32
SUBKEYLENGTH=4096
 
33
KEYNAME="`hostname --fqdn 2>/dev/null || hostname`"
31
34
KEYEMAIL=""
32
 
KEYCOMMENT="Mandos client key"
 
35
KEYCOMMENT=""
33
36
KEYEXPIRE=0
34
37
FORCE=no
 
38
SSH=yes
35
39
KEYCOMMENT_ORIG="$KEYCOMMENT"
36
40
mode=keygen
37
41
 
 
42
if [ ! -d "$KEYDIR" ]; then
 
43
    KEYDIR="/etc/mandos/keys"
 
44
fi
 
45
 
38
46
# Parse options
39
 
TEMP=`getopt --options vhd:t:l:n:e:c:x:f \
40
 
    --longoptions version,help,password,dir:,type:,length:,subtype:,sublength:,name:,email:,comment:,expire:,force \
 
47
TEMP=`getopt --options vhpF:d:t:l:s:L:n:e:c:x:fS \
 
48
    --longoptions version,help,password,passfile:,dir:,type:,length:,subtype:,sublength:,name:,email:,comment:,expire:,force,no-ssh \
41
49
    --name "$0" -- "$@"`
42
50
 
43
51
help(){
44
 
basename="`basename $0`"
 
52
basename="`basename "$0"`"
45
53
cat <<EOF
46
54
Usage: $basename [ -v | --version ]
47
55
       $basename [ -h | --help ]
49
57
       $basename [ OPTIONS ]
50
58
   Encrypted password creation:
51
59
       $basename { -p | --password } [ --name NAME ] [ --dir DIR]
 
60
       $basename { -F | --passfile } FILE [ --name NAME ] [ --dir DIR]
52
61
 
53
62
Key creation options:
54
63
  -v, --version         Show program's version number and exit
55
64
  -h, --help            Show this help message and exit
56
65
  -d DIR, --dir DIR     Target directory for key files
57
 
  -t TYPE, --type TYPE  Key type.  Default is DSA.
 
66
  -t TYPE, --type TYPE  Key type.  Default is RSA.
58
67
  -l BITS, --length BITS
59
 
                        Key length in bits.  Default is 2048.
 
68
                        Key length in bits.  Default is 4096.
60
69
  -s TYPE, --subtype TYPE
61
 
                        Subkey type.  Default is ELG-E.
 
70
                        Subkey type.  Default is RSA.
62
71
  -L BITS, --sublength BITS
63
 
                        Subkey length in bits.  Default is 2048.
 
72
                        Subkey length in bits.  Default is 4096.
64
73
  -n NAME, --name NAME  Name of key.  Default is the FQDN.
65
74
  -e ADDRESS, --email ADDRESS
66
75
                        Email address of key.  Default is empty.
67
76
  -c TEXT, --comment TEXT
68
 
                        Comment field for key.  The default value is
69
 
                        "Mandos client key".
 
77
                        Comment field for key.  The default is empty.
70
78
  -x TIME, --expire TIME
71
79
                        Key expire time.  Default is no expiration.
72
80
                        See gpg(1) for syntax.
73
 
  -f, --force           Force overwriting old keys.
 
81
  -f, --force           Force overwriting old key files.
74
82
 
75
83
Password creation options:
76
 
  -p, --password        Create an encrypted password using the keys in
77
 
                        the key directory.  All options other than
78
 
                        --dir and --name are ignored.
 
84
  -p, --password        Create an encrypted password using the key in
 
85
                        the key directory.  All options other than
 
86
                        --dir and --name are ignored.
 
87
  -F FILE, --passfile FILE
 
88
                        Encrypt a password from FILE using the key in
 
89
                        the key directory.  All options other than
 
90
                        --dir and --name are ignored.
 
91
  -S, --no-ssh          Don't get SSH key or set "checker" option.
79
92
EOF
80
93
}
81
94
 
83
96
while :; do
84
97
    case "$1" in
85
98
        -p|--password) mode=password; shift;;
 
99
        -F|--passfile) mode=password; PASSFILE="$2"; shift 2;;
86
100
        -d|--dir) KEYDIR="$2"; shift 2;;
87
101
        -t|--type) KEYTYPE="$2"; shift 2;;
88
102
        -s|--subtype) SUBKEYTYPE="$2"; shift 2;;
93
107
        -c|--comment) KEYCOMMENT="$2"; shift 2;;
94
108
        -x|--expire) KEYEXPIRE="$2"; shift 2;;
95
109
        -f|--force) FORCE=yes; shift;;
 
110
        -S|--no-ssh) SSH=no; shift;;
96
111
        -v|--version) echo "$0 $VERSION"; exit;;
97
112
        -h|--help) help; exit;;
98
113
        --) shift; break;;
100
115
    esac
101
116
done
102
117
if [ "$#" -gt 0 ]; then
103
 
    echo "Unknown arguments: '$@'" >&2
 
118
    echo "Unknown arguments: '$*'" >&2
104
119
    exit 1
105
120
fi
106
121
 
108
123
PUBKEYFILE="$KEYDIR/pubkey.txt"
109
124
 
110
125
# Check for some invalid values
111
 
if [ -d "$KEYDIR" ]; then :; else
 
126
if [ ! -d "$KEYDIR" ]; then
112
127
    echo "$KEYDIR not a directory" >&2
113
128
    exit 1
114
129
fi
115
 
if [ -w "$KEYDIR" ]; then :; else
116
 
    echo "Directory $KEYDIR not writeable" >&2
117
 
    exit 1
118
 
fi
119
 
 
120
 
if [ "$mode" = password -a -e "$KEYDIR/trustdb.gpg.lock" ]; then
121
 
    echo "Key directory has locked trustdb; aborting." >&2
 
130
if [ ! -r "$KEYDIR" ]; then
 
131
    echo "Directory $KEYDIR not readable" >&2
122
132
    exit 1
123
133
fi
124
134
 
125
135
if [ "$mode" = keygen ]; then
 
136
    if [ ! -w "$KEYDIR" ]; then
 
137
        echo "Directory $KEYDIR not writeable" >&2
 
138
        exit 1
 
139
    fi
126
140
    if [ -z "$KEYTYPE" ]; then
127
141
        echo "Empty key type" >&2
128
142
        exit 1
137
151
        echo "Invalid key length" >&2
138
152
        exit 1
139
153
    fi
140
 
 
 
154
    
141
155
    if [ -z "$KEYEXPIRE" ]; then
142
156
        echo "Empty key expiration" >&2
143
157
        exit 1
162
176
    if [ -n "$KEYEMAIL" ]; then
163
177
        KEYEMAILLINE="Name-Email: $KEYEMAIL"
164
178
    fi
165
 
 
 
179
    
166
180
    # Create temporary gpg batch file
167
 
    BATCHFILE="`mktemp -t mandos-gpg-batch.XXXXXXXXXX`"
 
181
    BATCHFILE="`mktemp -t mandos-keygen-batch.XXXXXXXXXX`"
168
182
fi
169
183
 
170
184
if [ "$mode" = password ]; then
171
185
    # Create temporary encrypted password file
172
 
    SECFILE="`mktemp -t mandos-gpg-secfile.XXXXXXXXXX`"
173
 
fi
174
 
 
175
 
# Create temporary key rings
176
 
SECRING="`mktemp -t mandos-gpg-secring.XXXXXXXXXX`"
177
 
PUBRING="`mktemp -t mandos-gpg-pubring.XXXXXXXXXX`"
178
 
 
179
 
if [ "$mode" = password ]; then
180
 
    # If a trustdb.gpg file does not already exist, schedule it for
181
 
    # deletion when we are done.
182
 
    if ! [ -e "$KEYDIR/trustdb.gpg" ]; then
183
 
        TRUSTDB="$KEYDIR/trustdb.gpg"
184
 
    fi
185
 
fi
 
186
    SECFILE="`mktemp -t mandos-keygen-secfile.XXXXXXXXXX`"
 
187
fi
 
188
 
 
189
# Create temporary key ring directory
 
190
RINGDIR="`mktemp -d -t mandos-keygen-keyrings.XXXXXXXXXX`"
186
191
 
187
192
# Remove temporary files on exit
188
193
trap "
189
194
set +e; \
190
 
rm --force $PUBRING ${PUBRING}~ $BATCHFILE $TRUSTDB; \
191
 
shred --remove $SECRING $SECFILE; \
192
 
stty echo; \
 
195
test -n \"$SECFILE\" && shred --remove \"$SECFILE\"; \
 
196
shred --remove \"$RINGDIR\"/sec* 2>/dev/null;
 
197
test -n \"$BATCHFILE\" && rm --force \"$BATCHFILE\"; \
 
198
rm --recursive --force \"$RINGDIR\";
 
199
tty --quiet && stty echo; \
193
200
" EXIT
194
201
 
195
 
umask 027
 
202
set -e
 
203
 
 
204
umask 077
196
205
 
197
206
if [ "$mode" = keygen ]; then
198
207
    # Create batch file for GnuPG
199
208
    cat >"$BATCHFILE" <<-EOF
200
209
        Key-Type: $KEYTYPE
201
210
        Key-Length: $KEYLENGTH
202
 
        #Key-Usage: encrypt,sign,auth
 
211
        Key-Usage: sign,auth
203
212
        Subkey-Type: $SUBKEYTYPE
204
213
        Subkey-Length: $SUBKEYLENGTH
205
 
        #Subkey-Usage: encrypt,sign,auth
 
214
        Subkey-Usage: encrypt
206
215
        Name-Real: $KEYNAME
207
216
        $KEYCOMMENTLINE
208
217
        $KEYEMAILLINE
209
218
        Expire-Date: $KEYEXPIRE
210
219
        #Preferences: <string>
211
220
        #Handle: <no-spaces>
212
 
        %pubring $PUBRING
213
 
        %secring $SECRING
 
221
        #%pubring pubring.gpg
 
222
        #%secring secring.gpg
 
223
        %no-protection
214
224
        %commit
215
225
        EOF
216
226
    
 
227
    if tty --quiet; then
 
228
        cat <<-EOF
 
229
        Note: Due to entropy requirements, key generation could take
 
230
        anything from a few minutes to SEVERAL HOURS.  Please be
 
231
        patient and/or supply the system with more entropy if needed.
 
232
        EOF
 
233
        echo -n "Started: "
 
234
        date
 
235
    fi
 
236
    
 
237
    # Make sure trustdb.gpg exists;
 
238
    # this is a workaround for Debian bug #737128
 
239
    gpg --quiet --batch --no-tty --no-options --enable-dsa2 \
 
240
        --homedir "$RINGDIR" \
 
241
        --import-ownertrust < /dev/null
217
242
    # Generate a new key in the key rings
218
 
    gpg --no-random-seed-file --quiet --batch --no-tty \
219
 
        --no-default-keyring --no-options --enable-dsa2 \
220
 
        --secret-keyring "$SECRING" --keyring "$PUBRING" \
 
243
    gpg --quiet --batch --no-tty --no-options --enable-dsa2 \
 
244
        --homedir "$RINGDIR" --trust-model always \
221
245
        --gen-key "$BATCHFILE"
222
246
    rm --force "$BATCHFILE"
223
 
 
 
247
    
 
248
    if tty --quiet; then
 
249
        echo -n "Finished: "
 
250
        date
 
251
    fi
 
252
    
224
253
    # Backup any old key files
225
254
    if cp --backup=numbered --force "$SECKEYFILE" "$SECKEYFILE" \
226
255
        2>/dev/null; then
240
269
        FILECOMMENT="$FILECOMMENT <$KEYEMAIL>"
241
270
    fi
242
271
    
243
 
    # Export keys from key rings to key files
244
 
    gpg --no-random-seed-file --quiet --batch --no-tty --armor \
245
 
        --no-default-keyring --no-options --enable-dsa2 \
246
 
        --secret-keyring "$SECRING" --keyring "$PUBRING" \
247
 
        --export-options export-minimal --comment "$FILECOMMENT" \
248
 
        --output "$SECKEYFILE" --export-secret-keys
249
 
    gpg --no-random-seed-file --quiet --batch --no-tty --armor \
250
 
        --no-default-keyring --no-options --enable-dsa2 \
251
 
        --secret-keyring "$SECRING" --keyring "$PUBRING" \
252
 
        --export-options export-minimal --comment "$FILECOMMENT" \
253
 
        --output "$PUBKEYFILE" --export
 
272
    # Export key from key rings to key files
 
273
    gpg --quiet --batch --no-tty --no-options --enable-dsa2 \
 
274
        --homedir "$RINGDIR" --armor --export-options export-minimal \
 
275
        --comment "$FILECOMMENT" --output "$SECKEYFILE" \
 
276
        --export-secret-keys
 
277
    gpg --quiet --batch --no-tty --no-options --enable-dsa2 \
 
278
        --homedir "$RINGDIR" --armor --export-options export-minimal \
 
279
        --comment "$FILECOMMENT" --output "$PUBKEYFILE" --export
254
280
fi
255
281
 
256
282
if [ "$mode" = password ]; then
257
 
    # Import keys into temporary key rings
258
 
    gpg --no-random-seed-file --quiet --batch --no-tty --armor \
259
 
        --no-default-keyring --no-options --enable-dsa2 \
260
 
        --homedir "$KEYDIR" --no-permission-warning \
261
 
        --secret-keyring "$SECRING" --keyring "$PUBRING" \
262
 
        --trust-model always --import "$SECKEYFILE"
263
 
    gpg --no-random-seed-file --quiet --batch --no-tty --armor \
264
 
        --no-default-keyring --no-options --enable-dsa2 \
265
 
        --homedir "$KEYDIR" --no-permission-warning \
266
 
        --secret-keyring "$SECRING" --keyring "$PUBRING" \
267
 
        --trust-model always --import "$PUBKEYFILE"
268
 
 
 
283
    
 
284
    # Make SSH be 0 or 1
 
285
    case "$SSH" in
 
286
        [Yy][Ee][Ss]|[Tt][Rr][Uu][Ee]) SSH=1;;
 
287
        [Nn][Oo]|[Ff][Aa][Ll][Ss][Ee]|*) SSH=0;;
 
288
    esac
 
289
    
 
290
    if [ $SSH -eq 1 ]; then
 
291
        for ssh_keytype in ecdsa-sha2-nistp256 ed25519 rsa; do
 
292
            set +e
 
293
            ssh_fingerprint="`ssh-keyscan -t $ssh_keytype localhost 2>/dev/null`"
 
294
            err=$?
 
295
            set -e
 
296
            if [ $err -ne 0 ]; then
 
297
                ssh_fingerprint=""
 
298
                continue
 
299
            fi
 
300
            if [ -n "$ssh_fingerprint" ]; then
 
301
                ssh_fingerprint="${ssh_fingerprint#localhost }"
 
302
                break
 
303
            fi
 
304
        done
 
305
    fi
 
306
    
 
307
    # Import key into temporary key rings
 
308
    gpg --quiet --batch --no-tty --no-options --enable-dsa2 \
 
309
        --homedir "$RINGDIR" --trust-model always --armor \
 
310
        --import "$SECKEYFILE"
 
311
    gpg --quiet --batch --no-tty --no-options --enable-dsa2 \
 
312
        --homedir "$RINGDIR" --trust-model always --armor \
 
313
        --import "$PUBKEYFILE"
 
314
    
269
315
    # Get fingerprint of key
270
 
    FINGERPRINT="`gpg --no-random-seed-file --quiet --batch --no-tty \
271
 
        --armor --no-default-keyring --no-options --enable-dsa2 \
272
 
        --homedir \"$KEYDIR\" --no-permission-warning \
273
 
        --secret-keyring \"$SECRING\" --keyring \"$PUBRING\" \
274
 
        --trust-model always --fingerprint --with-colons \
275
 
        | sed -n -e '/^fpr:/{s/^fpr:.*:\\([0-9A-Z]*\\):\$/\\1/p;q}'`"
 
316
    FINGERPRINT="`gpg --quiet --batch --no-tty --no-options \
 
317
        --enable-dsa2 --homedir "$RINGDIR" --trust-model always \
 
318
        --fingerprint --with-colons \
 
319
        | sed --quiet \
 
320
        --expression='/^fpr:/{s/^fpr:.*:\\([0-9A-Z]*\\):\$/\\1/p;q}'`"
276
321
    
277
322
    test -n "$FINGERPRINT"
278
323
    
279
324
    FILECOMMENT="Encrypted password for a Mandos client"
280
325
    
281
 
    stty -echo
282
 
    echo -n "Enter passphrase: " >&2
283
 
    sed -e '1q' \
284
 
        | gpg --no-random-seed-file --batch --no-tty --armor \
285
 
        --no-default-keyring --no-options --enable-dsa2 \
286
 
        --homedir "$KEYDIR" --no-permission-warning \
287
 
        --secret-keyring "$SECRING" --keyring "$PUBRING" \
288
 
        --trust-model always --encrypt --recipient "$FINGERPRINT" \
289
 
        --comment "$FILECOMMENT" \
290
 
        > "$SECFILE"
291
 
    echo >&2
292
 
    stty echo
 
326
    while [ ! -s "$SECFILE" ]; do
 
327
        if [ -n "$PASSFILE" ]; then
 
328
            cat "$PASSFILE"
 
329
        else
 
330
            tty --quiet && stty -echo
 
331
            echo -n "Enter passphrase: " >/dev/tty
 
332
            read -r first
 
333
            tty --quiet && echo >&2
 
334
            echo -n "Repeat passphrase: " >/dev/tty
 
335
            read -r second
 
336
            if tty --quiet; then
 
337
                echo >&2
 
338
                stty echo
 
339
            fi
 
340
            if [ "$first" != "$second" ]; then
 
341
                echo "Passphrase mismatch" >&2
 
342
                touch "$RINGDIR"/mismatch
 
343
            else
 
344
                echo -n "$first"
 
345
            fi
 
346
        fi | gpg --quiet --batch --no-tty --no-options --enable-dsa2 \
 
347
            --homedir "$RINGDIR" --trust-model always --armor \
 
348
            --encrypt --sign --recipient "$FINGERPRINT" --comment \
 
349
            "$FILECOMMENT" > "$SECFILE"
 
350
        if [ -e "$RINGDIR"/mismatch ]; then
 
351
            rm --force "$RINGDIR"/mismatch
 
352
            if tty --quiet; then
 
353
                > "$SECFILE"
 
354
            else
 
355
                exit 1
 
356
            fi
 
357
        fi
 
358
    done
293
359
    
294
360
    cat <<-EOF
295
361
        [$KEYNAME]
296
362
        host = $KEYNAME
297
363
        fingerprint = $FINGERPRINT
298
364
        secret =
299
 
EOF
300
 
    sed -n -e '
 
365
        EOF
 
366
    sed --quiet --expression='
301
367
        /^-----BEGIN PGP MESSAGE-----$/,/^-----END PGP MESSAGE-----$/{
302
368
            /^$/,${
303
369
                # Remove 24-bit Radix-64 checksum
306
372
                /^[^-]/s/^/    /p
307
373
            }
308
374
        }' < "$SECFILE"
 
375
    if [ -n "$ssh_fingerprint" ]; then
 
376
        echo 'checker = ssh-keyscan -t '"$ssh_keytype"' %%(host)s 2>/dev/null | grep --fixed-strings --line-regexp --quiet --regexp=%%(host)s" %(ssh_fingerprint)s"'
 
377
        echo "ssh_fingerprint = ${ssh_fingerprint}"
 
378
    fi
309
379
fi
310
380
 
311
381
trap - EXIT
316
386
    shred --remove "$SECFILE"
317
387
fi
318
388
# Remove the key rings
319
 
shred --remove "$SECRING"
320
 
rm --force "$PUBRING" "${PUBRING}~"
321
 
# Remove the trustdb, if one did not exist when we started
322
 
if [ -n "$TRUSTDB" ]; then
323
 
    rm --force "$TRUSTDB"
324
 
fi
 
389
shred --remove "$RINGDIR"/sec* 2>/dev/null
 
390
rm --recursive --force "$RINGDIR"