home *** CD-ROM | disk | FTP | other *** search
/ Chip 2007 January, February, March & April / Chip-Cover-CD-2007-02.iso / Pakiet bezpieczenstwa / mini Pentoo LiveCD 2006.1 / mpentoo-2006.1.iso / livecd.squashfs / usr / bin / nessus-mkcert-client < prev    next >
Text File  |  2006-03-29  |  13KB  |  471 lines
  1. #!/bin/sh
  2. #
  3. # nessus-mkcert-client
  4. #
  5. # Written by Michel Arboi <arboi@alussinan.org> from nessus-mkcert
  6. #
  7. # This script is distributed under the Gnu General Public License (GPL)
  8. #
  9.  
  10. case `echo -n` in
  11. \-n)    Xn=   ; Xc='\c' ;;
  12. *)    Xn=-n ; Xc=
  13. esac
  14.  
  15. umask 022
  16.  
  17. prefix=/usr
  18. datadir=/usr/share
  19. sysconfdir=/etc
  20. localstatedir=/var/lib
  21. sharedstatedir=${prefix}/com
  22. sbindir=${prefix}/sbin
  23. bindir=${prefix}/bin
  24. egdpath=@egdpath@
  25. is_cygwin=@is_cygwin@
  26.  
  27. RANDFLAG=""
  28. test -n "$egdpath" && 
  29. {
  30.  RANDFLAG="-rand $egdpath"
  31. }
  32.  
  33. PATH=$PATH:$sbindir:$bindir:/usr/ssl/bin:/usr/local/ssl/bin:/opt/ssl/bin
  34.  
  35. # check if gettext is present
  36.  
  37. if [ -f /usr/bin/gettext.sh ];
  38. then
  39.  
  40.   # initialize gettext
  41.  
  42.   . gettext.sh
  43.   export TEXTDOMAIN=nessus-scripts
  44.   export TEXTDOMAINDIR=/usr/share/locale
  45.  
  46. else
  47.  
  48.   # define dummy functions
  49.  
  50.   gettext () {
  51.     echo $Xn "$1" $Xc
  52.   }
  53.  
  54.   eval_gettext () {
  55.     eval_gettext_var="echo $1"
  56.     echo $Xn `eval $eval_gettext_var` $Xc
  57.   }
  58.  
  59. fi
  60.  
  61. Bo='('
  62. Bc=')'
  63. Hash='#'
  64.  
  65. echo_no_nl ()
  66. {
  67.     echo $Xn "$*$Xc"
  68. }
  69.  
  70.  
  71. header()
  72. {
  73. clear
  74. echo "-------------------------------------------------------------------------------"
  75. gettext "            Creation Nessus SSL Client Certificate"; echo
  76. echo "-------------------------------------------------------------------------------"
  77. echo
  78. }
  79. #
  80.  
  81. #
  82. # We need openssl
  83. #
  84. case `openssl version` in 
  85.  OpenSSL*)
  86.      ;;
  87.  *)
  88.    gettext "OpenSSL is not properly installed: The 'openssl' command line utility could not be found (is your \$PATH set properly?)"; echo
  89.    exit 1
  90. esac
  91.      
  92. # Check environment
  93. if [ -z "$HOME" ]; then
  94.     gettext "\$HOME should be defined." 1>&2; echo; exit 1
  95. fi
  96.  
  97. #
  98. # If EGD is not installed, we have to rely on other sources
  99. # of entropy
  100. # 
  101. test -z "$RANDFLAG" -a -z "$RANDFILE" &&
  102. {
  103.  if [ ! -r /dev/random -a ! -r /dev/urandom -a ! -r $HOME/.rnd ];
  104.   then
  105.    header
  106.    gettext "You do not have any suitable random source."; echo
  107.    gettext "You will be asked to type a few random keys on your keyboard to generate random bytes."; echo
  108.    nessus-mkrand $HOME/.rnd 1024 
  109.    gettext "Press [ENTER] to continue..."; echo
  110.   fi
  111. }
  112.  
  113.  
  114.  
  115. NESSUSPRIV="$localstatedir/nessus/CA"
  116. NESSUSPUB="$sharedstatedir/nessus/CA"
  117.  
  118. while [ ! -d "$NESSUSPRIV" ]; do
  119.     gettext "Nessus server 'private' directory: "
  120.     read NESSUSPRIV
  121. done
  122.  
  123. while [ ! -d "$NESSUSPUB" ]; do
  124.     gettext "Nessus server 'public' directory: "
  125.     read NESSUSPUB
  126. done
  127.  
  128. CAKEY=$NESSUSPRIV/cakey.pem
  129. CACERT=$NESSUSPUB/cacert.pem
  130.  
  131. while [ ! -f "$CAKEY" ]; do
  132.     eval_gettext "\$CAKEY: not found or not a file."
  133.     gettext "Nessus CA private key: "
  134.     read CAKEY
  135. done
  136.  
  137. while [ ! -f "$CACERT" ]; do
  138.     eval_gettext "\$CACERT: not found or not a file."
  139.     gettext "Nessus CA certificate: "
  140.     read CACERT
  141. done
  142.  
  143. for F in "$CAKEY" "$CACERT"; do 
  144.     if [ ! -r "$F" ]; then
  145.     eval_gettext "Cannot read \$F" 1>&2; echo; exit 1
  146.     fi
  147. done
  148.  
  149. R=x
  150. while [ "$R" != `gettext "y"` -a "$R" != `gettext "n"` ]; do
  151.     gettext "Do you want to register the users in the Nessus server as soon as you create their certificates? (y/n): "
  152.     read R
  153. done
  154.  
  155. if [ "$R" = `gettext "y"` ]; then
  156.     USERSDIR=$localstatedir/nessus/users
  157.     while [ ! -d "$USERSDIR" ]; do
  158.     eval_gettext "\$USERSDIR: not a directory."; echo
  159.     gettext "Users directory? "
  160.     read USERSDIR
  161.     done
  162. else
  163.     USERSDIR=""
  164. fi
  165.  
  166. umask 066
  167.  
  168. # Set environment
  169. BASEDIR=${TMPDIR-/tmp}/nessus-mkcert.$$
  170. mkdir $BASEDIR || exit 1
  171.  
  172.  
  173. gettext "This script will now ask you the relevant information to create the SSL client certificates for Nessus."; echo
  174.  
  175. gettext "Client certificates life time in days [365]: "; read x
  176. DFL_CERT_LIFETIME=${x:-365}
  177.  
  178. # Default country = France - Too bad for you, but quicker for my tests!
  179. if [ ! -z "$LANG" ]; then
  180.     DC=`echo $LANG | sed -n 's/^..*_\(..\)$/\1/p'`
  181. fi
  182. X=${DC:=FR}
  183. eval_gettext "Your country \${Bo}two letter code\${Bc} [\$X]: "; read x
  184. DFL_COUNTRY=${x:-$DC}
  185. gettext "Your state or province name [none]: "; read DFL_PROVINCE
  186. X=Paris; 
  187. eval_gettext "Your location \${Bo}e.g. town\${Bc} [\$X]: "; read x
  188. DFL_LOCATION=${x:-$X}
  189. gettext "Your organization [none]: "; read DFL_ORGANIZATION
  190. gettext "Your organizational unit [none]: "; read DFL_ORGUNIT
  191.  
  192. #
  193.  
  194. cat <<EOF>$BASEDIR/stdC.cnf
  195. RANDFILE        = $HOME/.rnd
  196. #
  197. [ ca ]
  198. default_ca = NessusCA
  199.  
  200. [ NessusCA ]
  201. dir        = $BASEDIR        # Where everything is kept
  202. certs        = \$dir            # Where the issued certs are kept
  203. crl_dir        = \$dir            # Where the issued crl are kept
  204. database    = \$dir/index.txt    # database index file.
  205. new_certs_dir    = \$dir            # default place for new certs.
  206.  
  207. certificate    = $CACERT         # The CA certificate
  208. serial        = \$dir/serial         # The current serial number
  209. crl        = \$dir/crl.pem     # The current CRL
  210. private_key    = $CAKEY        # The private key
  211.  
  212. x509_extensions    = usr_cert        # The extentions to add to the cert
  213. crl_extensions    = crl_ext
  214.  
  215. default_days    = 365        # how long to certify for
  216. default_crl_days= 30            # how long before next CRL
  217. default_md    = md5            # which md to use.
  218. preserve    = no            # keep passed DN ordering
  219.  
  220. policy        = policy_anything
  221.  
  222. [ policy_anything ]
  223. countryName             = optional
  224. stateOrProvinceName     = optional
  225. localityName            = optional
  226. organizationName        = optional
  227. organizationalUnitName  = optional
  228. commonName              = supplied
  229. emailAddress            = optional
  230.  
  231. [ req ]
  232. default_bits        = 1024
  233. distinguished_name    = req_distinguished_name
  234. # attributes        = req_attributes
  235. x509_extensions    = v3_ca    # The extentions to add to the self signed cert
  236.  
  237. [ req_distinguished_name ]
  238. countryName            = Country Name (2 letter code)
  239. countryName_default        = FR
  240. countryName_min            = 2
  241. countryName_max            = 2
  242.  
  243. stateOrProvinceName        = State or Province Name (full name)
  244. stateOrProvinceName_default    = Some-State
  245.  
  246. localityName            = Locality Name (eg, city)
  247.  
  248. 0.organizationName        = Organization Name (eg, company)
  249. 0.organizationName_default    = Internet Widgits Pty Ltd
  250.  
  251. # we can do this but it is not needed normally :-)
  252. #1.organizationName        = Second Organization Name (eg, company)
  253. #1.organizationName_default    = World Wide Web Pty Ltd
  254.  
  255. organizationalUnitName        = Organizational Unit Name (eg, section)
  256. #organizationalUnitName_default    =
  257.  
  258. commonName            = Common Name (eg, your name or your server\'s hostname)
  259. commonName_max            = 64
  260.  
  261. emailAddress            = Email Address
  262. emailAddress_max        = 40
  263.  
  264. # SET-ex3            = SET extension number 3
  265.  
  266. [ usr_cert ]
  267. # These extensions are added when 'ca' signs a request.
  268. # This goes against PKIX guidelines but some CAs do it and some software
  269. # requires this to avoid interpreting an end user certificate as a CA.
  270. #basicConstraints=CA:FALSE
  271.  
  272. # Here are some examples of the usage of nsCertType. If it is omitted
  273. # the certificate can be used for anything *except* object signing.
  274.  
  275. # This is OK for an SSL server.
  276. # nsCertType            = nsCertType
  277. # For normal client use this is typical
  278. # nsCertType = client, email
  279. nsCertType            = client
  280.  
  281. keyUsage = nonRepudiation, digitalSignature, keyEncipherment
  282.  
  283. # This will be displayed in Netscape's comment listbox.
  284. nsComment            = "OpenSSL Generated Certificate"
  285.  
  286. # PKIX recommendations harmless if included in all certificates.
  287. subjectKeyIdentifier=hash
  288. authorityKeyIdentifier=keyid,issuer:always
  289.  
  290. # This stuff is for subjectAltName and issuerAltname.
  291. # Import the email address.
  292. subjectAltName=email:copy
  293.  
  294. # Copy subject details
  295. issuerAltName=issuer:copy
  296.  
  297. #nsCaRevocationUrl        = http://www.domain.dom/ca-crl.pem
  298. #nsBaseUrl
  299. #nsRevocationUrl
  300. #nsRenewalUrl
  301. #nsCaPolicyUrl
  302. #nsSslServerName
  303.  
  304. [ v3_ca ]
  305. # PKIX recommendation.
  306. subjectKeyIdentifier=hash
  307. authorityKeyIdentifier=keyid:always,issuer:always
  308.  
  309. # This is what PKIX recommends but some broken software chokes on critical
  310. # extensions.
  311. basicConstraints = critical,CA:true
  312. # So we do this instead.
  313. #basicConstraints = CA:true
  314.  
  315. # Key usage: this is typical for a CA certificate. However since it will
  316. # prevent it being used as an test self-signed certificate it is best
  317. # left out by default.
  318. keyUsage = cRLSign, keyCertSign
  319. nsCertType = sslCA
  320. EOF
  321.  
  322. #
  323. echo 01 > $BASEDIR/serial
  324. touch $BASEDIR/index.txt
  325.  
  326. echo "**********"
  327. gettext "We are going to ask you some question for each client certificate. "; echo
  328. gettext "If some question has a default answer, you can force an empty answer by entering a single dot '.'"; echo
  329. echo "*********"
  330.  
  331.  
  332. I=1; ANOTHER=`gettext "y"`
  333.  
  334. while [ "$ANOTHER" != `gettext "n"` ]; do
  335.     PSEUDO=""
  336.     while [ -z "$PSEUDO" ]; do
  337.     eval_gettext "User \${Hash}\$I name \${Bo}e.g. Nessus username\${Bc}: "
  338.     read PSEUDO
  339.     CERTFILE="$BASEDIR/cert_$PSEUDO.pem"
  340.     KEYFILE="$BASEDIR/key_$PSEUDO.pem"
  341.     REQFILE="$BASEDIR/req_$PSEUDO.pem"
  342.     DNFILE="$USERSDIR/$PSEUDO/auth/dname" # Not wise if USERSDIR is not set
  343.     if [ -f "$CERTFILE" -o -f "$KEYFILE" -o -f "$DNFILE" ]; then
  344.         A=""
  345.         while [ -z "$A" ]; do
  346.         gettext "Certificate, key or Nessus DN file(s) already exist."; echo
  347.         gettext "Do you want to go on and overwrite it/them? (y/n) "
  348.         read A
  349.         if [ "$A" = `gettext "n"` ]; then PSEUDO=""; fi
  350.         done
  351.     fi
  352.     done
  353.  
  354.     eval_gettext "Client certificates life time in days [\$DFL_CERT_LIFETIME]: "
  355.     read x
  356.     CERT_LIFETIME=${x:-$DFL_CERT_LIFETIME}
  357.     X=$DFL_COUNTRY
  358.     eval_gettext "Country \${Bo}two letter code\${Bc} [\$X]: "; read x
  359.     COUNTRY=${x:-$DFL_COUNTRY}
  360.     X=$DFL_PROVINCE
  361.     eval_gettext "State or province name [\$X]: "; read x
  362.     PROVINCE=${x:-$DFL_PROVINCE}
  363.     X=$DFL_LOCATION
  364.     eval_gettext "Location \${Bo}e.g. town\${Bc} [\$X]: "; read x
  365.     LOCATION=${x:-$DFL_LOCATION}
  366.     X=$DFL_ORGANIZATION
  367.     eval_gettext "Organization [\$X]: "; read x
  368.     ORGANIZATION=${x:-$DFL_ORGANIZATION}
  369.     X=$DFL_ORGUNIT
  370.     eval_gettext "Organization unit [\$X]: "; read x
  371.     ORGUNIT=${x:-$DFL_ORGUNIT}
  372.     gettext "e-Mail []: "; read EMAIL
  373.  
  374.     # Client key
  375.     openssl genrsa -out $KEYFILE 1024
  376.  
  377.     # Client certificate "request"
  378. echo "${COUNTRY:-.}
  379. ${PROVINCE:-.}
  380. ${LOCATION:-.}
  381. ${ORGANIZATION:-.}
  382. ${ORGUNIT:-.}
  383. $PSEUDO
  384. ${EMAIL:-.}" | 
  385.     openssl req -config $BASEDIR/stdC.cnf -new -key $KEYFILE -out $REQFILE
  386.  
  387.     # Sign the client certificate
  388.     openssl ca -config $BASEDIR/stdC.cnf -name NessusCA -batch -days $CERT_LIFETIME -in $REQFILE -out $CERTFILE
  389.  
  390.     # Create export file for NessusWX
  391.     NWX_CERTFILE=$BASEDIR/cert_nessuswx_$PSEUDO.pem
  392.     cp $CERTFILE $NWX_CERTFILE
  393.     cat $KEYFILE >> $NWX_CERTFILE
  394.  
  395.     chmod a+r $CERTFILE
  396.     chmod a+r $NWX_CERTFILE
  397.  
  398.     if [ ! -z "$USERSDIR" ]; then
  399.  
  400.         # 
  401.         # create the auth dir, which contains the user rules, 
  402.         # password or cert, and plugin acl 
  403.     D="$USERSDIR/$PSEUDO/auth"
  404.     if [ ! -d "$D" ]; then
  405.         mkdir -p "$D"
  406.         chmod 700 "$D"
  407.     fi
  408.  
  409.         # 
  410.         # create the user auth/rules file 
  411.       # 
  412.       R="$USERSDIR/$PSEUDO/auth/rules" 
  413.       echo 
  414.       gettext "User rules"; echo 
  415.       echo "----------" 
  416.       eval_gettext "nessusd has a rules system which allows you to restrict the hosts that \$login has the right to test."; echo
  417.       gettext "For instance, you may want him to be able to scan his own host only."; echo
  418.       echo 
  419.       gettext "Please see the nessus-adduser(8) man page for the rules syntax."; echo
  420.       echo 
  421.       gettext "Enter the rules for this user, and hit ctrl-D once you are done:"; echo
  422.  
  423.       tmpAddUserFile=$TMPDIR/rules.$$
  424.  
  425.  
  426.       gettext "(the user can have an empty rules set)"; echo
  427.       cat > $tmpAddUserFile || { 
  428.               echo "Error - could not write $tmpAddUserFile" 
  429.               exit 1 
  430.       } 
  431.       cp $tmpAddUserFile "$USERSDIR/$PSEUDO/auth/rules" 
  432.  
  433.       rm $tmpAddUserFile 
  434.  
  435.       # 
  436.       # create the cert authentication file auth/dname 
  437.       # 
  438.     > $DNFILE
  439.     [ ! -z "$COUNTRY" -a "$COUNTRY" != "." ] &&
  440.         echo_no_nl "/C=$COUNTRY" >> $DNFILE
  441.     [ ! -z "$PROVINCE" -a "$PROVINCE" != "." ] &&
  442.         echo_no_nl "/ST=$PROVINCE" >> $DNFILE
  443.     [ ! -z "$LOCATION" -a "$LOCATION" != "." ] &&
  444.         echo_no_nl "/L=$LOCATION" >> $DNFILE
  445.     [ ! -z "$ORGANIZATION" -a "$ORGANIZATION" != "." ] && 
  446.         echo_no_nl "/O=$ORGANIZATION" >> $DNFILE
  447.     [ ! -z "$ORGUNIT" -a "$ORGUNIT" != "." ] && 
  448.         echo_no_nl "/OU=$ORGUNIT" >> $DNFILE
  449.     echo_no_nl "/CN=$PSEUDO" >> $DNFILE
  450.     [ ! -z "$EMAIL" ] && echo_no_nl "/emailAddress=$EMAIL" >> $DNFILE
  451.  
  452.       # 
  453.         # create the plugins dir, which contains the user plugins 
  454.         # 
  455.         E="$USERSDIR/$PSEUDO/plugins" 
  456.         if [ ! -d "$E" ]; then 
  457.             mkdir -p "$E" 
  458.             chmod 700 "$E" 
  459.         fi 
  460.         gettext "User added to Nessus."; echo
  461.     fi
  462.  
  463.     gettext "Another client certificate? (y/n) " 
  464.     read ANOTHER 
  465.     I=`expr $I + 1` 
  466. done
  467.  
  468. eval_gettext "Your client certificates are in \$BASEDIR."; echo
  469. gettext "You will have to copy them by hand."; echo
  470.  
  471.