/mandos/trunk

To get this branch, use:
bzr branch http://bzr.recompile.se/loggerhead/mandos/trunk

« back to all changes in this revision

Viewing changes to debian/mandos-client.postinst

  • Committer: Teddy Hogeborn
  • Date: 2019-02-10 03:50:20 UTC
  • Revision ID: teddy@recompile.se-20190210035020-nttr1tybgwwixueu
http://bugs.debian.org/879538
http://bugs.debian.org/916673
Show debconf note about new TLS key IDs

If mandos-client did not see TLS keys and had to create them, or if
mandos sees GnuTLS version 3.6.6 or later, show an important notice on
package installation about the importance of adding the new key_id
options to clients.conf on the Mandos server.

* debian/control (Package: mandos, Package: mandos-client): Depend on
                                                            debconf.
* debian/mandos-client.lintian-overrides: Override warnings.
* debian/mandos-client.postinst (create_keys): Show notice if new TLS
                                               key files were created.
* debian/mandos-client.templates: New.
* debian/mandos.lintian-overrides: Override warnings.
* debian/mandos.postinst (configure): If GnuTLS 3.6.6 or later is
                                      detected, show an important
                                      notice (once) about the new
                                      key_id option required in
                                      clients.conf.
* debian/mandos.templates: New.

Show diffs side-by-side

added added

removed removed

Lines of Context:
debian/mandos-client.postinst
1
 
#!/bin/bash -e
 
1
#!/bin/sh
2
2
# This script can be called in the following ways:
3
3
#
4
4
# After the package was installed:
17
17
 
18
18
. /usr/share/debconf/confmodule
19
19
 
 
20
set -e
 
21
 
20
22
# Update the initial RAM file system image
21
23
update_initramfs()
22
24
{
23
 
    if [ -x /usr/sbin/update-initramfs ]; then
24
 
        update-initramfs -u -k all
 
25
    update-initramfs -u -k all
 
26
    
 
27
    if dpkg --compare-versions "$2" lt-nl "1.0.10-1"; then
 
28
        # Make old initrd.img files unreadable too, in case they were
 
29
        # created with mandos-client 1.0.8 or older.
 
30
        find /boot -maxdepth 1 -type f -name "initrd.img-*.bak" \
 
31
            -print0 | xargs --null --no-run-if-empty chmod o-r
25
32
    fi
26
33
}
27
34
 
28
35
# Add user and group
29
36
add_mandos_user(){
30
 
    if ! getent passwd mandos >/dev/null; then
31
 
        adduser --disabled-password  --quiet --system \
32
 
            --home /nonexistent --no-create-home \
33
 
            --gecos "Mandos password system" --group mandos
 
37
    # Rename old "mandos" user and group
 
38
    if dpkg --compare-versions "$2" lt "1.0.3-1"; then
 
39
        case "`getent passwd mandos`" in
 
40
            *:Mandos\ password\ system,,,:/nonexistent:/bin/false)
 
41
                usermod --login _mandos mandos
 
42
                groupmod --new-name _mandos mandos
 
43
                return
 
44
                ;;
 
45
        esac
 
46
    fi
 
47
    # Create new user and group
 
48
    if ! getent passwd _mandos >/dev/null; then
 
49
        adduser --system --force-badname --quiet --home /nonexistent \
 
50
            --no-create-home --group --disabled-password \
 
51
            --gecos "Mandos password system" _mandos
34
52
    fi
35
53
}
36
54
 
37
 
# Create client key pair
38
 
create_key(){
39
 
    if [ -r /etc/keys/mandos/pubkey.txt \
40
 
        -a -r /etc/keys/mandos/seckey.txt ]; then
41
 
        return 0
42
 
    fi
43
 
    if [ -x /usr/sbin/mandos-keygen ]; then
 
55
# Create client key pairs
 
56
create_keys(){
 
57
    # If the OpenPGP key files do not exist, generate all keys using
 
58
    # mandos-keygen
 
59
    if ! [ -r /etc/keys/mandos/pubkey.txt \
 
60
              -a -r /etc/keys/mandos/seckey.txt ]; then
44
61
        mandos-keygen
45
 
    fi
 
62
        gpg-connect-agent KILLAGENT /bye || :
 
63
        return 0
 
64
    fi
 
65
 
 
66
    # If the TLS keys already exists, do nothing
 
67
    if [ -r /etc/keys/mandos/tls-privkey.pem \
 
68
            -a -r /etc/keys/mandos/tls-pubkey.pem ]; then
 
69
        return 0
 
70
    fi
 
71
 
 
72
    # If this is an upgrade from an old installation, the TLS keys
 
73
    # will not exist; create them.
 
74
 
 
75
    # First try certtool from GnuTLS
 
76
    if ! certtool --generate-privkey --password='' \
 
77
         --outfile /etc/keys/mandos/tls-privkey.pem \
 
78
         --sec-param ultra --key-type=ed25519 --pkcs8 --no-text \
 
79
         2>/dev/null; then
 
80
        # Otherwise try OpenSSL
 
81
        if ! openssl genpkey -algorithm X25519 \
 
82
             -out /etc/keys/mandos/tls-privkey.pem; then
 
83
            rm --force /etc/keys/mandos/tls-privkey.pem
 
84
            # None of the commands succeded; give up
 
85
            return 1
 
86
        fi
 
87
    fi
 
88
 
 
89
    local umask=$(umask)
 
90
    umask 077
 
91
    # First try certtool from GnuTLS
 
92
    if ! certtool --password='' \
 
93
         --load-privkey=/etc/keys/mandos/tls-privkey.pem \
 
94
         --outfile=/etc/keys/mandos/tls-pubkey.pem --pubkey-info \
 
95
         --no-text 2>/dev/null; then
 
96
        # Otherwise try OpenSSL
 
97
        if ! openssl pkey -in /etc/keys/mandos/tls-privkey.pem \
 
98
             -out /etc/keys/mandos/tls-pubkey.pem -pubout; then
 
99
            rm --force /etc/keys/mandos/tls-pubkey.pem
 
100
            # None of the commands succeded; give up
 
101
            umask $umask
 
102
            return 1
 
103
        fi
 
104
    fi
 
105
    umask $umask
 
106
 
 
107
    key_id=$(mandos-keygen --passfile=/dev/null \
 
108
                 | grep --regexp="^key_id[ =]")
 
109
 
 
110
    db_version 2.0
 
111
    db_fset mandos-client/key_id seen false
 
112
    db_reset mandos-client/key_id
 
113
    db_subst mandos-client/key_id key_id $key_id
 
114
    db_input critical mandos-client/key_id || true
 
115
    db_go
 
116
    db_stop
 
117
}
 
118
 
 
119
create_dh_params(){
 
120
    if [ -r /etc/keys/mandos/dhparams.pem ]; then
 
121
        return 0
 
122
    fi
 
123
    # Create a Diffe-Hellman parameters file
 
124
    DHFILE="`mktemp -t mandos-client-dh-parameters.XXXXXXXXXX.pem`"
 
125
    # First try certtool from GnuTLS
 
126
    if ! certtool --generate-dh-params --sec-param high \
 
127
         --outfile "$DHFILE"; then
 
128
        # Otherwise try OpenSSL
 
129
        if ! openssl genpkey -genparam -algorithm DH -out "$DHFILE" \
 
130
             -pkeyopt dh_paramgen_prime_len:3072; then
 
131
            # None of the commands succeded; give up
 
132
            rm -- "$DHFILE"
 
133
            return 1
 
134
        fi
 
135
    fi
 
136
    sed --in-place --expression='0,/^-----BEGIN DH PARAMETERS-----$/d' \
 
137
        "$DHFILE"
 
138
    sed --in-place --expression='1i-----BEGIN DH PARAMETERS-----' \
 
139
            "$DHFILE"
 
140
    cp --archive "$DHFILE" /etc/keys/mandos/dhparams.pem
 
141
    rm -- "$DHFILE"
46
142
}
47
143
 
48
144
case "$1" in
49
145
    configure)
50
 
        add_mandos_user
51
 
        create_key
52
 
        update_initramfs
 
146
        add_mandos_user "$@"
 
147
        create_keys "$@"
 
148
        create_dh_params "$@" || :
 
149
        update_initramfs "$@"
 
150
        if dpkg --compare-versions "$2" lt-nl "1.7.10-1"; then
 
151
            PLUGINHELPERDIR=/usr/lib/$(dpkg-architecture -qDEB_HOST_MULTIARCH 2>/dev/null)/mandos/plugin-helpers
 
152
            if ! dpkg-statoverride --list "$PLUGINHELPERDIR" \
 
153
                 >/dev/null 2>&1; then
 
154
                chmod u=rwx,go= -- "$PLUGINHELPERDIR"
 
155
            fi
 
156
            if ! dpkg-statoverride --list /etc/mandos/plugin-helpers \
 
157
                 >/dev/null 2>&1; then
 
158
                chmod u=rwx,go= -- /etc/mandos/plugin-helpers
 
159
            fi
 
160
        fi
53
161
        ;;
54
162
    abort-upgrade|abort-deconfigure|abort-remove)
55
163
        ;;
56
164
 
57
165
    *)
58
 
        echo "$0 called with unknown argument \`$1'" 1>&2
 
166
        echo "$0 called with unknown argument '$1'" 1>&2
59
167
        exit 1
60
168
        ;;
61
169
esac