/mandos/trunk

To get this branch, use:
bzr branch http://bzr.recompile.se/loggerhead/mandos/trunk

« back to all changes in this revision

Viewing changes to mandos-keygen

  • Committer: Teddy Hogeborn
  • Date: 2018-08-15 09:26:02 UTC
  • Revision ID: teddy@recompile.se-20180815092602-xoyb5s6gf8376i7u
http://bugs.debian.org/894495
mandos-client: Set system clock if necessary

* plugins.d/mandos-client.c (init_gpgme/import_key): If the system
  clock is not set, or set to january 1970, set the system clock to
  the more plausible value that is the mtime of the key file.  This is
  required by GnuPG to be able to import the keys.  (We can't pass the
  --ignore-time-conflict or the --ignore-valid-from options though
  GPGME.)

Show diffs side-by-side

added added

removed removed

Lines of Context:
mandos-keygen
2
2
# 
3
3
# Mandos key generator - create a new OpenPGP key for a Mandos client
4
4
# 
5
 
# Copyright © 2008 Teddy Hogeborn & Björn Påhlsson
 
5
# Copyright © 2008-2018 Teddy Hogeborn
 
6
# Copyright © 2008-2018 Björn Påhlsson
6
7
# 
7
 
# This program is free software: you can redistribute it and/or modify
8
 
# it under the terms of the GNU General Public License as published by
 
8
# This file is part of Mandos.
 
9
#
 
10
# Mandos is free software: you can redistribute it and/or modify it
 
11
# under the terms of the GNU General Public License as published by
9
12
# the Free Software Foundation, either version 3 of the License, or
10
13
# (at your option) any later version.
11
14
#
12
 
#     This program is distributed in the hope that it will be useful,
13
 
#     but WITHOUT ANY WARRANTY; without even the implied warranty of
 
15
#     Mandos is distributed in the hope that it will be useful, but
 
16
#     WITHOUT ANY WARRANTY; without even the implied warranty of
14
17
#     MERCHANTABILITY or FITNESS FOR A PARTICULAR PURPOSE.  See the
15
18
#     GNU General Public License for more details.
16
19
# 
17
20
# You should have received a copy of the GNU General Public License
18
 
# along with this program.  If not, see <http://www.gnu.org/licenses/>.
 
21
# along with Mandos.  If not, see <http://www.gnu.org/licenses/>.
19
22
# 
20
 
# Contact the authors at <mandos@fukt.bsnet.se>.
 
23
# Contact the authors at <mandos@recompile.se>.
21
24
# 
22
25
 
23
 
VERSION="1.0"
 
26
VERSION="1.7.19"
24
27
 
25
28
KEYDIR="/etc/keys/mandos"
26
 
KEYTYPE=DSA
27
 
KEYLENGTH=2048
28
 
SUBKEYTYPE=ELG-E
29
 
SUBKEYLENGTH=2048
 
29
KEYTYPE=RSA
 
30
KEYLENGTH=4096
 
31
SUBKEYTYPE=RSA
 
32
SUBKEYLENGTH=4096
30
33
KEYNAME="`hostname --fqdn 2>/dev/null || hostname`"
31
34
KEYEMAIL=""
32
 
KEYCOMMENT="Mandos client key"
 
35
KEYCOMMENT=""
33
36
KEYEXPIRE=0
34
37
FORCE=no
 
38
SSH=yes
35
39
KEYCOMMENT_ORIG="$KEYCOMMENT"
36
40
mode=keygen
37
41
 
40
44
fi
41
45
 
42
46
# Parse options
43
 
TEMP=`getopt --options vhpF:d:t:l:s:L:n:e:c:x:f \
44
 
    --longoptions version,help,password,passfile:,dir:,type:,length:,subtype:,sublength:,name:,email:,comment:,expire:,force \
 
47
TEMP=`getopt --options vhpF:d:t:l:s:L:n:e:c:x:fS \
 
48
    --longoptions version,help,password,passfile:,dir:,type:,length:,subtype:,sublength:,name:,email:,comment:,expire:,force,no-ssh \
45
49
    --name "$0" -- "$@"`
46
50
 
47
51
help(){
48
 
basename="`basename $0`"
 
52
basename="`basename "$0"`"
49
53
cat <<EOF
50
54
Usage: $basename [ -v | --version ]
51
55
       $basename [ -h | --help ]
59
63
  -v, --version         Show program's version number and exit
60
64
  -h, --help            Show this help message and exit
61
65
  -d DIR, --dir DIR     Target directory for key files
62
 
  -t TYPE, --type TYPE  Key type.  Default is DSA.
 
66
  -t TYPE, --type TYPE  Key type.  Default is RSA.
63
67
  -l BITS, --length BITS
64
 
                        Key length in bits.  Default is 2048.
 
68
                        Key length in bits.  Default is 4096.
65
69
  -s TYPE, --subtype TYPE
66
 
                        Subkey type.  Default is ELG-E.
 
70
                        Subkey type.  Default is RSA.
67
71
  -L BITS, --sublength BITS
68
 
                        Subkey length in bits.  Default is 2048.
 
72
                        Subkey length in bits.  Default is 4096.
69
73
  -n NAME, --name NAME  Name of key.  Default is the FQDN.
70
74
  -e ADDRESS, --email ADDRESS
71
75
                        Email address of key.  Default is empty.
72
76
  -c TEXT, --comment TEXT
73
 
                        Comment field for key.  The default value is
74
 
                        "Mandos client key".
 
77
                        Comment field for key.  The default is empty.
75
78
  -x TIME, --expire TIME
76
79
                        Key expire time.  Default is no expiration.
77
80
                        See gpg(1) for syntax.
85
88
                        Encrypt a password from FILE using the key in
86
89
                        the key directory.  All options other than
87
90
                        --dir and --name are ignored.
 
91
  -S, --no-ssh          Don't get SSH key or set "checker" option.
88
92
EOF
89
93
}
90
94
 
103
107
        -c|--comment) KEYCOMMENT="$2"; shift 2;;
104
108
        -x|--expire) KEYEXPIRE="$2"; shift 2;;
105
109
        -f|--force) FORCE=yes; shift;;
 
110
        -S|--no-ssh) SSH=no; shift;;
106
111
        -v|--version) echo "$0 $VERSION"; exit;;
107
112
        -h|--help) help; exit;;
108
113
        --) shift; break;;
110
115
    esac
111
116
done
112
117
if [ "$#" -gt 0 ]; then
113
 
    echo "Unknown arguments: '$@'" >&2
 
118
    echo "Unknown arguments: '$*'" >&2
114
119
    exit 1
115
120
fi
116
121
 
146
151
        echo "Invalid key length" >&2
147
152
        exit 1
148
153
    fi
149
 
 
 
154
    
150
155
    if [ -z "$KEYEXPIRE" ]; then
151
156
        echo "Empty key expiration" >&2
152
157
        exit 1
158
163
        [Nn][Oo]|[Ff][Aa][Ll][Ss][Ee]|*) FORCE=0;;
159
164
    esac
160
165
    
161
 
    if [ \( -e "$SECKEYFILE" -o -e "$PUBKEYFILE" \) \
162
 
        -a "$FORCE" -eq 0 ]; then
 
166
    if { [ -e "$SECKEYFILE" ] || [ -e "$PUBKEYFILE" ]; } \
 
167
        && [ "$FORCE" -eq 0 ]; then
163
168
        echo "Refusing to overwrite old key files; use --force" >&2
164
169
        exit 1
165
170
    fi
171
176
    if [ -n "$KEYEMAIL" ]; then
172
177
        KEYEMAILLINE="Name-Email: $KEYEMAIL"
173
178
    fi
174
 
 
 
179
    
175
180
    # Create temporary gpg batch file
176
181
    BATCHFILE="`mktemp -t mandos-keygen-batch.XXXXXXXXXX`"
177
182
fi
188
193
trap "
189
194
set +e; \
190
195
test -n \"$SECFILE\" && shred --remove \"$SECFILE\"; \
191
 
shred --remove \"$RINGDIR\"/sec*;
 
196
shred --remove \"$RINGDIR\"/sec* 2>/dev/null;
192
197
test -n \"$BATCHFILE\" && rm --force \"$BATCHFILE\"; \
193
198
rm --recursive --force \"$RINGDIR\";
194
 
stty echo; \
 
199
tty --quiet && stty echo; \
195
200
" EXIT
196
201
 
 
202
set -e
 
203
 
197
204
umask 077
198
205
 
199
206
if [ "$mode" = keygen ]; then
201
208
    cat >"$BATCHFILE" <<-EOF
202
209
        Key-Type: $KEYTYPE
203
210
        Key-Length: $KEYLENGTH
204
 
        #Key-Usage: encrypt,sign,auth
 
211
        Key-Usage: sign,auth
205
212
        Subkey-Type: $SUBKEYTYPE
206
213
        Subkey-Length: $SUBKEYLENGTH
207
 
        #Subkey-Usage: encrypt,sign,auth
 
214
        Subkey-Usage: encrypt
208
215
        Name-Real: $KEYNAME
209
216
        $KEYCOMMENTLINE
210
217
        $KEYEMAILLINE
213
220
        #Handle: <no-spaces>
214
221
        #%pubring pubring.gpg
215
222
        #%secring secring.gpg
 
223
        %no-protection
216
224
        %commit
217
225
        EOF
218
226
    
 
227
    if tty --quiet; then
 
228
        cat <<-EOF
 
229
        Note: Due to entropy requirements, key generation could take
 
230
        anything from a few minutes to SEVERAL HOURS.  Please be
 
231
        patient and/or supply the system with more entropy if needed.
 
232
        EOF
 
233
        echo -n "Started: "
 
234
        date
 
235
    fi
 
236
    
 
237
    # Make sure trustdb.gpg exists;
 
238
    # this is a workaround for Debian bug #737128
 
239
    gpg --quiet --batch --no-tty --no-options --enable-dsa2 \
 
240
        --homedir "$RINGDIR" \
 
241
        --import-ownertrust < /dev/null
219
242
    # Generate a new key in the key rings
220
243
    gpg --quiet --batch --no-tty --no-options --enable-dsa2 \
221
244
        --homedir "$RINGDIR" --trust-model always \
222
245
        --gen-key "$BATCHFILE"
223
246
    rm --force "$BATCHFILE"
224
247
    
 
248
    if tty --quiet; then
 
249
        echo -n "Finished: "
 
250
        date
 
251
    fi
 
252
    
225
253
    # Backup any old key files
226
254
    if cp --backup=numbered --force "$SECKEYFILE" "$SECKEYFILE" \
227
255
        2>/dev/null; then
252
280
fi
253
281
 
254
282
if [ "$mode" = password ]; then
 
283
    
 
284
    # Make SSH be 0 or 1
 
285
    case "$SSH" in
 
286
        [Yy][Ee][Ss]|[Tt][Rr][Uu][Ee]) SSH=1;;
 
287
        [Nn][Oo]|[Ff][Aa][Ll][Ss][Ee]|*) SSH=0;;
 
288
    esac
 
289
    
 
290
    if [ $SSH -eq 1 ]; then
 
291
        for ssh_keytype in ecdsa-sha2-nistp256 ed25519 rsa; do
 
292
            set +e
 
293
            ssh_fingerprint="`ssh-keyscan -t $ssh_keytype localhost 2>/dev/null`"
 
294
            err=$?
 
295
            set -e
 
296
            if [ $err -ne 0 ]; then
 
297
                ssh_fingerprint=""
 
298
                continue
 
299
            fi
 
300
            if [ -n "$ssh_fingerprint" ]; then
 
301
                ssh_fingerprint="${ssh_fingerprint#localhost }"
 
302
                break
 
303
            fi
 
304
        done
 
305
    fi
 
306
    
255
307
    # Import key into temporary key rings
256
308
    gpg --quiet --batch --no-tty --no-options --enable-dsa2 \
257
309
        --homedir "$RINGDIR" --trust-model always --armor \
262
314
    
263
315
    # Get fingerprint of key
264
316
    FINGERPRINT="`gpg --quiet --batch --no-tty --no-options \
265
 
        --enable-dsa2 --homedir \"$RINGDIR\" --trust-model always \
 
317
        --enable-dsa2 --homedir "$RINGDIR" --trust-model always \
266
318
        --fingerprint --with-colons \
267
319
        | sed --quiet \
268
320
        --expression='/^fpr:/{s/^fpr:.*:\\([0-9A-Z]*\\):\$/\\1/p;q}'`"
271
323
    
272
324
    FILECOMMENT="Encrypted password for a Mandos client"
273
325
    
274
 
    if [ -n "$PASSFILE" ]; then
275
 
        cat "$PASSFILE"
276
 
    else
277
 
        stty -echo
278
 
        echo -n "Enter passphrase: " >&2
279
 
        first="$(head --lines=1 | tr --delete '\n')"
280
 
        echo -n -e "\nRepeat passphrase: " >&2
281
 
        second="$(head --lines=1 | tr --delete '\n')"
282
 
        echo >&2
283
 
        stty echo
284
 
        if [ "$first" != "$second" ]; then
285
 
            echo -e "Passphrase mismatch" >&2
286
 
            false
 
326
    while [ ! -s "$SECFILE" ]; do
 
327
        if [ -n "$PASSFILE" ]; then
 
328
            cat "$PASSFILE"
287
329
        else
288
 
            echo -n "$first"
 
330
            tty --quiet && stty -echo
 
331
            echo -n "Enter passphrase: " >/dev/tty
 
332
            read -r first
 
333
            tty --quiet && echo >&2
 
334
            echo -n "Repeat passphrase: " >/dev/tty
 
335
            read -r second
 
336
            if tty --quiet; then
 
337
                echo >&2
 
338
                stty echo
 
339
            fi
 
340
            if [ "$first" != "$second" ]; then
 
341
                echo "Passphrase mismatch" >&2
 
342
                touch "$RINGDIR"/mismatch
 
343
            else
 
344
                echo -n "$first"
 
345
            fi
 
346
        fi | gpg --quiet --batch --no-tty --no-options --enable-dsa2 \
 
347
            --homedir "$RINGDIR" --trust-model always --armor \
 
348
            --encrypt --sign --recipient "$FINGERPRINT" --comment \
 
349
            "$FILECOMMENT" > "$SECFILE"
 
350
        if [ -e "$RINGDIR"/mismatch ]; then
 
351
            rm --force "$RINGDIR"/mismatch
 
352
            if tty --quiet; then
 
353
                > "$SECFILE"
 
354
            else
 
355
                exit 1
 
356
            fi
289
357
        fi
290
 
    fi | gpg --quiet --batch --no-tty --no-options --enable-dsa2 \
291
 
        --homedir "$RINGDIR" --trust-model always --armor --encrypt \
292
 
        --recipient "$FINGERPRINT" --comment "$FILECOMMENT" \
293
 
        > "$SECFILE"
294
 
    status="${PIPESTATUS[0]}"
295
 
    if [ "$status" -ne 0 ]; then
296
 
        exit "$status"
297
 
    fi
 
358
    done
298
359
    
299
360
    cat <<-EOF
300
361
        [$KEYNAME]
311
372
                /^[^-]/s/^/    /p
312
373
            }
313
374
        }' < "$SECFILE"
 
375
    if [ -n "$ssh_fingerprint" ]; then
 
376
        echo 'checker = ssh-keyscan -t '"$ssh_keytype"' %%(host)s 2>/dev/null | grep --fixed-strings --line-regexp --quiet --regexp=%%(host)s" %(ssh_fingerprint)s"'
 
377
        echo "ssh_fingerprint = ${ssh_fingerprint}"
 
378
    fi
314
379
fi
315
380
 
316
381
trap - EXIT
321
386
    shred --remove "$SECFILE"
322
387
fi
323
388
# Remove the key rings
324
 
shred --remove "$RINGDIR"/sec*
 
389
shred --remove "$RINGDIR"/sec* 2>/dev/null
325
390
rm --recursive --force "$RINGDIR"