home *** CD-ROM | disk | FTP | other *** search
/ Chip 2007 January, February, March & April / Chip-Cover-CD-2007-02.iso / Pakiet bezpieczenstwa / mini Pentoo LiveCD 2006.1 / mpentoo-2006.1.iso / modules / nessus-2.2.8.mo / usr / bin / nessus-mkcert-client < prev    next >
Text File  |  2006-06-13  |  12KB  |  438 lines
  1. #!/bin/sh
  2. #
  3. # nessus-mkcert-client
  4. #
  5. # Written by Michel Arboi <arboi@alussinan.org> from nessus-mkcert
  6. #
  7. # This script is distributed under the Gnu General Public License (GPL)
  8. #
  9.  
  10. case `echo -n` in
  11. \-n)    Xn=   ; Xc='\c' ;;
  12. *)    Xn=-n ; Xc=
  13. esac
  14.  
  15.  
  16. echo_no_nl ()
  17. {
  18.     echo $Xn "$*$Xc"
  19. }
  20.  
  21.  
  22. header()
  23. {
  24. clear
  25. echo "-------------------------------------------------------------------------------"
  26. echo "            Creation Nessus SSL client Certificate"
  27. echo "-------------------------------------------------------------------------------"
  28. echo
  29. }
  30. #
  31. umask 022
  32.  
  33. prefix=/usr
  34. datadir=/usr/share
  35. sysconfdir=/etc
  36. localstatedir=/var/lib
  37. sharedstatedir=${prefix}/com
  38. sbindir=${prefix}/sbin
  39. bindir=${prefix}/bin
  40. egdpath=
  41. is_cygwin=
  42.  
  43. RANDFLAG=""
  44. test -n "$egdpath" && 
  45. {
  46.  RANDFLAG="-rand $egdpath"
  47. }
  48.  
  49. PATH=$PATH:$sbindir:$bindir:/usr/ssl/bin:/usr/local/ssl/bin:/opt/ssl/bin
  50.  
  51. #
  52. # We need openssl
  53. #
  54. case `openssl version` in 
  55.  OpenSSL*)
  56.      ;;
  57.  *)
  58.    echo "OpenSSL is not properly installed (the 'openssl' command line utility could not"
  59.    echo "be found (is your \$PATH set properly ?)"
  60.    exit 1
  61. esac
  62.      
  63. # Check environment
  64. if [ -z "$HOME" ]; then
  65.     echo "HOME should be defined" 1>&2; exit 1
  66. fi
  67.  
  68. #
  69. # If EGD is not installed, we have to rely on other sources
  70. # of entropy
  71. # 
  72. test -z "$RANDFLAG" -a -z "$RANDFILE" &&
  73. {
  74.  if [ ! -r /dev/random -a ! -r /dev/urandom -a ! -r $HOME/.rnd ];
  75.   then
  76.    header
  77.    echo "You do not have any suitable random source"
  78.    echo "You will be asked to type a few random keys on your keyboard"
  79.    echo "to generate random bytes"
  80.    nessus-mkrand $HOME/.rnd 1024 
  81.    echo "Press [ENTER] to continue..."
  82.   fi
  83. }
  84.  
  85.  
  86.  
  87. NESSUSPRIV="$localstatedir/nessus/CA"
  88. NESSUSPUB="$sharedstatedir/nessus/CA"
  89.  
  90. while [ ! -d "$NESSUSPRIV" ]; do
  91.     echo_no_nl "Nessus server 'private' directory: "
  92.     read NESSUSPRIV
  93. done
  94.  
  95. while [ ! -d "$NESSUSPUB" ]; do
  96.     echo_no_nl "Nessus server 'public' directory: "
  97.     read NESSUSPUB
  98. done
  99.  
  100. CAKEY=$NESSUSPRIV/cakey.pem
  101. CACERT=$NESSUSPUB/cacert.pem
  102.  
  103. while [ ! -f "$CAKEY" ]; do
  104.     echo "$CAKEY: not found or not a file"
  105.     echo_no_nl "Nessus CA private key: "
  106.     read CAKEY
  107. done
  108.  
  109. while [ ! -f "$CACERT" ]; do
  110.     echo "$CACERT: not found or not a file"
  111.     echo_no_nl "Nessus CA certificate: "
  112.     read CACERT
  113. done
  114.  
  115. for F in "$CAKEY" "$CACERT"; do 
  116.     if [ ! -r "$F" ]; then
  117.     echo "Cannot read $F" 1>&2; exit 1
  118.     fi
  119. done
  120.  
  121. R=x
  122. while [ "$R" != "y" -a "$R" != "n" ]; do
  123.     echo "Do you want to register the users in the Nessus server "
  124.     echo_no_nl "as soon as you create their certificates ? (y/n): "
  125.     read R
  126. done
  127.  
  128. if [ "$R" = "y" ]; then
  129.     USERSDIR=$localstatedir/nessus/users
  130.     while [ ! -d "$USERSDIR" ]; do
  131.     echo "$USERSDIR: not a directory"
  132.     echo_no_nl "Users directory? "
  133.     read USERSDIR
  134.     done
  135. else
  136.     USERSDIR=""
  137. fi
  138.  
  139. umask 066
  140.  
  141. # Set environment
  142. BASEDIR=${TMPDIR-/tmp}/nessus-mkcert.$$
  143. mkdir $BASEDIR || exit 1
  144.  
  145.  
  146. echo "This script will now ask you the relevant information to create the SSL"
  147. echo "client certificates for Nessus."
  148.  
  149. echo_no_nl "Client certificates life time in days [365]:"; read x
  150. DFL_CERT_LIFETIME=${x:-365}
  151.  
  152. # Default country = France - Too bad for you, but quicker for my tests!
  153. if [ ! -z "$LANG" ]; then
  154.     DC=`echo $LANG | sed -n 's/^..*_\(..\)$/\1/p'`
  155. fi
  156. echo_no_nl "Your country (two letter code) [${DC:=FR}]: "; read x
  157. DFL_COUNTRY=${x:-$DC}
  158. echo_no_nl "Your state or province name [none]: "; read DFL_PROVINCE
  159. X=Paris; echo_no_nl "Your location (e.g. town) [$X]: "; read x
  160. DFL_LOCATION=${x:-$X}
  161. echo_no_nl "Your organization [none]: "; read DFL_ORGANIZATION
  162. echo_no_nl "Your organizational unit [none]:"; read DFL_ORGUNIT
  163.  
  164. #
  165.  
  166. cat <<EOF>$BASEDIR/stdC.cnf
  167. RANDFILE        = $HOME/.rnd
  168. #
  169. [ ca ]
  170. default_ca = NessusCA
  171.  
  172. [ NessusCA ]
  173. dir        = $BASEDIR        # Where everything is kept
  174. certs        = \$dir            # Where the issued certs are kept
  175. crl_dir        = \$dir            # Where the issued crl are kept
  176. database    = \$dir/index.txt    # database index file.
  177. new_certs_dir    = \$dir            # default place for new certs.
  178.  
  179. certificate    = $CACERT         # The CA certificate
  180. serial        = \$dir/serial         # The current serial number
  181. crl        = \$dir/crl.pem     # The current CRL
  182. private_key    = $CAKEY        # The private key
  183.  
  184. x509_extensions    = usr_cert        # The extentions to add to the cert
  185. crl_extensions    = crl_ext
  186.  
  187. default_days    = 365        # how long to certify for
  188. default_crl_days= 30            # how long before next CRL
  189. default_md    = md5            # which md to use.
  190. preserve    = no            # keep passed DN ordering
  191.  
  192. policy        = policy_anything
  193.  
  194. [ policy_anything ]
  195. countryName             = optional
  196. stateOrProvinceName     = optional
  197. localityName            = optional
  198. organizationName        = optional
  199. organizationalUnitName  = optional
  200. commonName              = supplied
  201. emailAddress            = optional
  202.  
  203. [ req ]
  204. default_bits        = 1024
  205. distinguished_name    = req_distinguished_name
  206. # attributes        = req_attributes
  207. x509_extensions    = v3_ca    # The extentions to add to the self signed cert
  208.  
  209. [ req_distinguished_name ]
  210. countryName            = Country Name (2 letter code)
  211. countryName_default        = FR
  212. countryName_min            = 2
  213. countryName_max            = 2
  214.  
  215. stateOrProvinceName        = State or Province Name (full name)
  216. stateOrProvinceName_default    = Some-State
  217.  
  218. localityName            = Locality Name (eg, city)
  219.  
  220. 0.organizationName        = Organization Name (eg, company)
  221. 0.organizationName_default    = Internet Widgits Pty Ltd
  222.  
  223. # we can do this but it is not needed normally :-)
  224. #1.organizationName        = Second Organization Name (eg, company)
  225. #1.organizationName_default    = World Wide Web Pty Ltd
  226.  
  227. organizationalUnitName        = Organizational Unit Name (eg, section)
  228. #organizationalUnitName_default    =
  229.  
  230. commonName            = Common Name (eg, your name or your server\'s hostname)
  231. commonName_max            = 64
  232.  
  233. emailAddress            = Email Address
  234. emailAddress_max        = 40
  235.  
  236. # SET-ex3            = SET extension number 3
  237.  
  238. [ usr_cert ]
  239. # These extensions are added when 'ca' signs a request.
  240. # This goes against PKIX guidelines but some CAs do it and some software
  241. # requires this to avoid interpreting an end user certificate as a CA.
  242. #basicConstraints=CA:FALSE
  243.  
  244. # Here are some examples of the usage of nsCertType. If it is omitted
  245. # the certificate can be used for anything *except* object signing.
  246.  
  247. # This is OK for an SSL server.
  248. # nsCertType            = nsCertType
  249. # For normal client use this is typical
  250. # nsCertType = client, email
  251. nsCertType            = client
  252.  
  253. keyUsage = nonRepudiation, digitalSignature, keyEncipherment
  254.  
  255. # This will be displayed in Netscape's comment listbox.
  256. nsComment            = "OpenSSL Generated Certificate"
  257.  
  258. # PKIX recommendations harmless if included in all certificates.
  259. subjectKeyIdentifier=hash
  260. authorityKeyIdentifier=keyid,issuer:always
  261.  
  262. # This stuff is for subjectAltName and issuerAltname.
  263. # Import the email address.
  264. subjectAltName=email:copy
  265.  
  266. # Copy subject details
  267. issuerAltName=issuer:copy
  268.  
  269. #nsCaRevocationUrl        = http://www.domain.dom/ca-crl.pem
  270. #nsBaseUrl
  271. #nsRevocationUrl
  272. #nsRenewalUrl
  273. #nsCaPolicyUrl
  274. #nsSslServerName
  275.  
  276. [ v3_ca ]
  277. # PKIX recommendation.
  278. subjectKeyIdentifier=hash
  279. authorityKeyIdentifier=keyid:always,issuer:always
  280.  
  281. # This is what PKIX recommends but some broken software chokes on critical
  282. # extensions.
  283. basicConstraints = critical,CA:true
  284. # So we do this instead.
  285. #basicConstraints = CA:true
  286.  
  287. # Key usage: this is typical for a CA certificate. However since it will
  288. # prevent it being used as an test self-signed certificate it is best
  289. # left out by default.
  290. keyUsage = cRLSign, keyCertSign
  291. nsCertType = sslCA
  292. EOF
  293.  
  294. #
  295. echo 01 > $BASEDIR/serial
  296. touch $BASEDIR/index.txt
  297.  
  298. echo "**********
  299. We are going to ask you some question for each client certificate
  300. If some question has a default answer, you can force an empty answer by 
  301. entering a single dot '.'
  302. *********"
  303.  
  304.  
  305. I=1; ANOTHER=y
  306.  
  307. while [ "$ANOTHER" != "n" ]; do
  308.     PSEUDO=""
  309.     while [ -z "$PSEUDO" ]; do
  310.     echo_no_nl "User #$I name (e.g. Nessus username): "
  311.     read PSEUDO
  312.     CERTFILE="$BASEDIR/cert_$PSEUDO.pem"
  313.     KEYFILE="$BASEDIR/key_$PSEUDO.pem"
  314.     REQFILE="$BASEDIR/req_$PSEUDO.pem"
  315.     DNFILE="$USERSDIR/$PSEUDO/auth/dname" # Not wise if USERSDIR is not set
  316.     if [ -f "$CERTFILE" -o -f "$KEYFILE" -o -f "$DNFILE" ]; then
  317.         A=""
  318.         while [ -z "$A" ]; do
  319.         echo "Certificate, key or Nessus DN file(s) already exist."
  320.         echo_no_nl "Do you want to go on and overwite it/them? "
  321.         read A
  322.         if [ "$A" = "n" ]; then PSEUDO=""; fi
  323.         done
  324.     fi
  325.     done
  326.  
  327.     echo_no_nl "Client certificates life time in days [$DFL_CERT_LIFETIME]:"
  328.     read x
  329.     CERT_LIFETIME=${x:-$DFL_CERT_LIFETIME}
  330.     echo_no_nl "Country (two letter code) [$DFL_COUNTRY]: "; read x
  331.     COUNTRY=${x:-$DFL_COUNTRY}
  332.     echo_no_nl "State or province name [$DFL_PROVINCE]: "; read x
  333.     PROVINCE=${x:-$DFL_PROVINCE}
  334.     echo_no_nl "Location (e.g. town) [$DFL_LOCATION]: "; read x
  335.     LOCATION=${x:-$DFL_LOCATION}
  336.     echo_no_nl "Organization [$DFL_ORGANIZATION]: "; read x
  337.     ORGANIZATION=${x:-$DFL_ORGANIZATION}
  338.     echo_no_nl "Organization unit [$DFL_ORGUNIT]: "; read x
  339.     ORGUNIT=${x:-$DFL_ORGUNIT}
  340.     echo_no_nl "e-mail []: "; read EMAIL
  341.  
  342.     # Client key
  343.     openssl genrsa -out $KEYFILE 1024
  344.  
  345.     # Client certificate "request"
  346. echo "${COUNTRY:-.}
  347. ${PROVINCE:-.}
  348. ${LOCATION:-.}
  349. ${ORGANIZATION:-.}
  350. ${ORGUNIT:-.}
  351. $PSEUDO
  352. ${EMAIL:-.}" | 
  353.     openssl req -config $BASEDIR/stdC.cnf -new -key $KEYFILE -out $REQFILE
  354.  
  355.     # Sign the client certificate
  356.     openssl ca -config $BASEDIR/stdC.cnf -name NessusCA -batch -days $CERT_LIFETIME -in $REQFILE -out $CERTFILE
  357.  
  358.     # Create export file for NessusWX
  359.     NWX_CERTFILE=$BASEDIR/cert_nessuswx_$PSEUDO.pem
  360.     cp $CERTFILE $NWX_CERTFILE
  361.     cat $KEYFILE >> $NWX_CERTFILE
  362.  
  363.     chmod a+r $CERTFILE
  364.     chmod a+r $NWX_CERTFILE
  365.  
  366.     if [ ! -z "$USERSDIR" ]; then
  367.  
  368.         # 
  369.         # create the auth dir, which contains the user rules, 
  370.         # password or cert, and plugin acl 
  371.     D="$USERSDIR/$PSEUDO/auth"
  372.     if [ ! -d "$D" ]; then
  373.         mkdir -p "$D"
  374.         chmod 700 "$D"
  375.     fi
  376.  
  377.         # 
  378.         # create the user auth/rules file 
  379.       # 
  380.       R="$USERSDIR/$PSEUDO/auth/rules" 
  381.       echo 
  382.       echo "User rules" 
  383.       echo "----------" 
  384.       echo "nessusd has a rules system which allows you to restrict the hosts" 
  385.       echo "that $login has the right to test. For instance, you may want" 
  386.       echo "him to be able to scan his own host only." 
  387.       echo 
  388.       echo "Please see the nessus-adduser(8) man page for the rules syntax" 
  389.       echo 
  390.       echo "Enter the rules for this user, and hit ctrl-D once you are done: " 
  391.  
  392.  
  393.       echo "(the user can have an empty rules set)" 
  394.       cat > $TMPDIR/rules.$$ || { 
  395.               echo "Error - could not write $TMPDIR/rules.$$" 
  396.               exit 1 
  397.       } 
  398.       cp $TMPDIR/rules.$$ "$USERSDIR/$PSEUDO/auth/rules" 
  399.  
  400.       rm $TMPDIR/rules.$$ 
  401.  
  402.       # 
  403.       # create the cert authentication file auth/dname 
  404.       # 
  405.     > $DNFILE
  406.     [ ! -z "$COUNTRY" -a "$COUNTRY" != "." ] &&
  407.         echo_no_nl "/C=$COUNTRY" >> $DNFILE
  408.     [ ! -z "$PROVINCE" -a "$PROVINCE" != "." ] &&
  409.         echo_no_nl "/ST=$PROVINCE" >> $DNFILE
  410.     [ ! -z "$LOCATION" -a "$LOCATION" != "." ] &&
  411.         echo_no_nl "/L=$LOCATION" >> $DNFILE
  412.     [ ! -z "$ORGANIZATION" -a "$ORGANIZATION" != "." ] && 
  413.         echo_no_nl "/O=$ORGANIZATION" >> $DNFILE
  414.     [ ! -z "$ORGUNIT" -a "$ORGUNIT" != "." ] && 
  415.         echo_no_nl "/OU=$ORGUNIT" >> $DNFILE
  416.     echo_no_nl "/CN=$PSEUDO" >> $DNFILE
  417.     [ ! -z "$EMAIL" ] && echo_no_nl "/emailAddress=$EMAIL" >> $DNFILE
  418.  
  419.       # 
  420.         # create the plugins dir, which contains the user plugins 
  421.         # 
  422.         E="$USERSDIR/$PSEUDO/plugins" 
  423.         if [ ! -d "$E" ]; then 
  424.             mkdir -p "$E" 
  425.             chmod 700 "$E" 
  426.         fi 
  427.         echo "User added to Nessus." 
  428.     fi
  429.  
  430.     echo_no_nl "Another client certificate? " 
  431.     read ANOTHER 
  432.     I=`expr $I + 1` 
  433. done
  434.  
  435. echo "Your client certificates are in $BASEDIR
  436. You will have to copy them by hand"
  437.  
  438.