/mandos/trunk

« back to all changes in this revision

Viewing changes to mandos-keygen

• browse files at revision 966
• compare with another revision
• download diff
• download tarball
• view history from revision 966

• reverse the comparison (966 to 1151)
• stop comparing with revision 1151

Show diffs side-by-side

added

removed

mandos-keygen

2

2

# 

3

3

# Mandos key generator - create new keys for a Mandos client

4

4

# 

5

 

# Copyright © 2008-2019 Teddy Hogeborn

6

 

# Copyright © 2008-2019 Björn Påhlsson

 

5

# Copyright © 2008-2018 Teddy Hogeborn

 

6

# Copyright © 2008-2018 Björn Påhlsson

7

7

# 

8

8

# This file is part of Mandos.

9

9

#

23

23

# Contact the authors at <mandos@recompile.se>.

24

24

# 

25

25

 

26

 

VERSION="1.8.6"

 

26

VERSION="1.7.20"

27

27

 

28

28

KEYDIR="/etc/keys/mandos"

29

29

KEYTYPE=RSA

187

187

    

188

188

    # Create temporary gpg batch file

189

189

    BATCHFILE="`mktemp -t mandos-keygen-batch.XXXXXXXXXX`"

190

 

    TLS_PRIVKEYTMP="`mktemp -t mandos-keygen-privkey.XXXXXXXXXX`"

191

190

fi

192

191

 

193

192

if [ "$mode" = password ]; then

202

201

trap "

203

202

set +e; \

204

203

test -n \"$SECFILE\" && shred --remove \"$SECFILE\"; \

205

 

test -n \"$TLS_PRIVKEYTMP\" && shred --remove \"$TLS_PRIVKEYTMP\"; \

206

204

shred --remove \"$RINGDIR\"/sec* 2>/dev/null;

207

205

test -n \"$BATCHFILE\" && rm --force \"$BATCHFILE\"; \

208

206

rm --recursive --force \"$RINGDIR\";

243

241

        echo -n "Started: "

244

242

        date

245

243

    fi

246

 

 

247

 

    # Generate TLS private key

248

 

    if certtool --generate-privkey --password='' \

249

 

                --outfile "$TLS_PRIVKEYTMP" --sec-param ultra \

250

 

                --key-type="$TLS_KEYTYPE" --pkcs8 --no-text 2>/dev/null; then

251

 

        

252

 

        # Backup any old key files

253

 

        if cp --backup=numbered --force "$TLS_PRIVKEYFILE" "$TLS_PRIVKEYFILE" \

254

 

              2>/dev/null; then

255

 

            shred --remove "$TLS_PRIVKEYFILE" 2>/dev/null || :

 

244

    

 

245

    # Backup any old key files

 

246

    if cp --backup=numbered --force "$TLS_PRIVKEYFILE" "$TLS_PRIVKEYFILE" \

 

247

        2>/dev/null; then

 

248

        shred --remove "$TLS_PRIVKEYFILE"

 

249

    fi

 

250

    if cp --backup=numbered --force "$TLS_PUBKEYFILE" "$TLS_PUBKEYFILE" \

 

251

        2>/dev/null; then

 

252

        rm --force "$TLS_PUBKEYFILE"

 

253

    fi

 

254

 

 

255

    ## Generate TLS private key

 

256

 

 

257

    # First try certtool from GnuTLS

 

258

    if ! certtool --generate-privkey --password='' \

 

259

         --outfile "$TLS_PRIVKEYFILE" --sec-param ultra \

 

260

         --key-type="$TLS_KEYTYPE" --pkcs8 --no-text 2>/dev/null; then

 

261

        # Otherwise try OpenSSL

 

262

        if ! openssl genpkey -algorithm X25519 -out \

 

263

             /etc/keys/mandos/tls-privkey.pem; then

 

264

            rm --force /etc/keys/mandos/tls-privkey.pem

 

265

            # None of the commands succeded; give up

 

266

            return 1

256

267

        fi

257

 

        if cp --backup=numbered --force "$TLS_PUBKEYFILE" "$TLS_PUBKEYFILE" \

258

 

              2>/dev/null; then

 

268

    fi

 

269

 

 

270

    ## TLS public key

 

271

 

 

272

    # First try certtool from GnuTLS

 

273

    if ! certtool --password='' --load-privkey="$TLS_PRIVKEYFILE" \

 

274

         --outfile="$TLS_PUBKEYFILE" --pubkey-info --no-text \

 

275

         2>/dev/null; then

 

276

        # Otherwise try OpenSSL

 

277

        if ! openssl pkey -in "$TLS_PRIVKEYFILE" \

 

278

             -out "$TLS_PUBKEYFILE" -pubout; then

259

279

            rm --force "$TLS_PUBKEYFILE"

260

 

        fi

261

 

        cp --archive "$TLS_PRIVKEYTMP" "$TLS_PRIVKEYFILE"

262

 

        shred --remove "$TLS_PRIVKEYTMP" 2>/dev/null || :

263

 

 

264

 

        ## TLS public key

265

 

 

266

 

        # First try certtool from GnuTLS

267

 

        if ! certtool --password='' --load-privkey="$TLS_PRIVKEYFILE" \

268

 

             --outfile="$TLS_PUBKEYFILE" --pubkey-info --no-text \

269

 

             2>/dev/null; then

270

 

            # Otherwise try OpenSSL

271

 

            if ! openssl pkey -in "$TLS_PRIVKEYFILE" \

272

 

                 -out "$TLS_PUBKEYFILE" -pubout; then

273

 

                rm --force "$TLS_PUBKEYFILE"

274

 

                # None of the commands succeded; give up

275

 

                return 1

276

 

            fi

 

280

            # None of the commands succeded; give up

 

281

            return 1

277

282

        fi

278

283

    fi

279

284

    

296

301

    # Backup any old key files

297

302

    if cp --backup=numbered --force "$SECKEYFILE" "$SECKEYFILE" \

298

303

        2>/dev/null; then

299

 

        shred --remove "$SECKEYFILE" 2>/dev/null || :

 

304

        shred --remove "$SECKEYFILE"

300

305

    fi

301

306

    if cp --backup=numbered --force "$PUBKEYFILE" "$PUBKEYFILE" \

302

307

        2>/dev/null; then

364

369

    

365

370

    test -n "$FINGERPRINT"

366

371

    

367

 

    if [ -r "$TLS_PUBKEYFILE" ]; then

368

 

       KEY_ID="$(certtool --key-id --hash=sha256 \

 

372

    KEY_ID="$(certtool --key-id --hash=sha256 \

369

373

                       --infile="$TLS_PUBKEYFILE" 2>/dev/null || :)"

370

374

 

371

 

       if [ -z "$KEY_ID" ]; then

372

 

           KEY_ID=$(openssl pkey -pubin -in "$TLS_PUBKEYFILE" \

373

 

                            -outform der \

374

 

                        | openssl sha256 \

375

 

                        | sed --expression='s/^.*[^[:xdigit:]]//')

376

 

       fi

377

 

       test -n "$KEY_ID"

 

375

    if [ -z "$KEY_ID" ]; then

 

376

        KEY_ID=$(openssl pkey -pubin -in /tmp/tls-pubkey.pem \

 

377

                         -outform der \

 

378

                     | openssl sha256 \

 

379

                     | sed --expression='s/^.*[^[:xdigit:]]//')

378

380

    fi

 

381

    test -n "$KEY_ID"

379

382

    

380

383

    FILECOMMENT="Encrypted password for a Mandos client"

381

384

    

382

385

    while [ ! -s "$SECFILE" ]; do

383

386

        if [ -n "$PASSFILE" ]; then

384

 

            cat -- "$PASSFILE"

 

387

            cat "$PASSFILE"

385

388

        else

386

389

            tty --quiet && stty -echo

387

390

            echo -n "Enter passphrase: " >/dev/tty

416

419

    cat <<-EOF

417

420

        [$KEYNAME]

418

421

        host = $KEYNAME

419

 

        EOF

420

 

    if [ -n "$KEY_ID" ]; then

421

 

        echo "key_id = $KEY_ID"

422

 

    fi

423

 

    cat <<-EOF

 

422

        key_id = $KEY_ID

424

423

        fingerprint = $FINGERPRINT

425

424

        secret =

426

425

        EOF

444

443

set +e

445

444

# Remove the password file, if any

446

445

if [ -n "$SECFILE" ]; then

447

 

    shred --remove "$SECFILE" 2>/dev/null

 

446

    shred --remove "$SECFILE"

448

447

fi

449

448

# Remove the key rings

450

449

shred --remove "$RINGDIR"/sec* 2>/dev/null

• Older »

Loggerhead is a web-based interface for Breezy
Version: 2.0.2.dev0