home *** CD-ROM | disk | FTP | other *** search
/ Chip 2007 January, February, March & April / Chip-Cover-CD-2007-02.iso / Pakiet bezpieczenstwa / mini Pentoo LiveCD 2006.1 / mpentoo-2006.1.iso / modules / nessus-2.2.8.mo / usr / sbin / nessus-mkcert < prev    next >
Text File  |  2006-06-13  |  12KB  |  486 lines
  1. #!/bin/sh
  2. #
  3. # nessus-mkcert
  4. #
  5. # Written by Renaud Deraison <deraison@cvs.nessus.org> 
  6. # and Michel Arboi <arboi@alussinan.org>
  7. #
  8. # This script is distributed under the Gnu General Public License (GPL)
  9. #
  10.  
  11. case `echo -n` in
  12. \-n)    Xn=   ; Xc='\c' ;;
  13. *)    Xn=-n ; Xc=
  14. esac
  15.  
  16.  
  17.  
  18. test "$1" = "-q" && QUIET=y
  19.  
  20.  
  21. echo_no_nl ()
  22. {
  23.     echo $Xn "$*$Xc"
  24. }
  25.  
  26.  
  27. header()
  28. {
  29. clear
  30. echo "-------------------------------------------------------------------------------"
  31. echo "            Creation of the Nessus SSL Certificate"
  32. echo "-------------------------------------------------------------------------------"
  33. echo
  34. }
  35. #
  36. umask 022
  37.  
  38. prefix=/usr
  39. datadir=/usr/share
  40. sysconfdir=/etc
  41. localstatedir=/var/lib
  42. sharedstatedir=${prefix}/com
  43. sbindir=${prefix}/sbin
  44. bindir=${prefix}/bin
  45. egdpath=
  46. is_cygwin=
  47.  
  48. RANDFLAG=""
  49. test -n "$egdpath" && 
  50. {
  51.  RANDFLAG="-rand $egdpath"
  52. }
  53.  
  54.  
  55.  
  56.  
  57.  
  58. PATH=$PATH:$sbindir:$bindir:/usr/ssl/bin:/usr/local/ssl/bin:/opt/ssl/bin
  59.  
  60.  
  61.  
  62.  
  63.  
  64. if [ -z "$is_cygwin" ];
  65. then
  66. #
  67. # We need root priv
  68. #
  69. case `id 2>/dev/null` in 
  70. uid=0*) 
  71.     $sbindir/nessusd -g || {
  72.     echo "Executing nessusd failed. Make sure your library loader is configured properly"
  73.     echo "and that nessusd is in your \$PATH"
  74.     exit 1
  75.     }
  76.     ;; 
  77. *)
  78.     echo "Only root can use nessus-mkcert"
  79.     exit 1
  80. esac
  81. fi
  82.  
  83. #
  84. # We need openssl
  85. #
  86. case `openssl version` in 
  87.  OpenSSL*)
  88.      ;;
  89.  *)
  90.    echo "OpenSSL is not properly installed (the 'openssl' command line utility could not"
  91.    echo "be found (is your \$PATH set properly ?)"
  92.    exit 1
  93. esac
  94.      
  95. NESSUSPRIV="$localstatedir/nessus/CA"
  96. NESSUSPUB="$sharedstatedir/nessus/CA"
  97. if [ ! -d "$NESSUSPRIV" ]; then
  98.     mkdir -p "$NESSUSPRIV"
  99.     chmod 0700 "$NESSUSPRIV"
  100.     echo "$NESSUSPRIV created"
  101. fi
  102.  
  103. if [ ! -d "$NESSUSPUB" ]; then
  104.     mkdir -p "$NESSUSPUB"
  105.     chmod a+rx "$NESSUSPUB"
  106.     echo "$NESSUSPUB created"
  107. fi
  108.  
  109.  
  110. # Check environment
  111. if [ -z "$HOME" ]; then
  112.     echo "HOME should be defined" 1>&2; exit 1
  113. fi
  114.  
  115.  
  116. #
  117. # If EGD is not installed, we have to rely on other sources
  118. # of entropy
  119. # 
  120. test -z "$RANDFLAG" -a -z "$RANDFILE" &&
  121. {
  122.  if [ ! -r /dev/random -a ! -r /dev/urandom -a ! -r $HOME/.rnd ];
  123.   then
  124.    header
  125.    echo "You do not have any suitable random source"
  126.    echo "You will be asked to type a few random keys on your keyboard"
  127.    echo "to generate random bytes"
  128.    nessus-mkrand $HOME/.rnd 1024 
  129.    echo "Press [ENTER] to continue..."
  130.   fi
  131. }
  132.  
  133.  
  134.  
  135. umask 077
  136.  
  137. # Set environment
  138. BASEDIR=${TMPDIR-/tmp}/nessus-mkcert.$$
  139. mkdir $BASEDIR || exit 1
  140.  
  141.  
  142. CAKEY=$NESSUSPRIV/cakey.pem
  143. CACERT=$NESSUSPUB/cacert.pem
  144. #
  145. SRVKEY=$NESSUSPRIV/serverkey.pem
  146. SRVREQ=$BASEDIR/serverreq.pem
  147. SRVCERT=$NESSUSPUB/servercert.pem
  148. #
  149.  
  150. # The client part will be implemented later on...
  151. #cln CLNKEY=$BASEDIR/clientkey.pem
  152. #cln CLNREQ=$BASEDIR/clientreq.pem
  153. #cln CLNCERT=$BASEDIR/clientcert.pem
  154.  
  155.  
  156. if [ -z "$QUIET" ];
  157. then
  158. header
  159. echo "This script will now ask you the relevant information to create the SSL"
  160. echo "certificate of Nessus. Note that this information will *NOT* be sent to"
  161. echo "anybody (everything stays local), but anyone with the ability to connect to your"
  162. echo "Nessus daemon will be able to retrieve this information."
  163. echo
  164. echo
  165. #
  166. echo_no_nl "CA certificate life time in days [1460]: "; read x
  167. CACERT_LIFETIME=${x:-1460}
  168. echo_no_nl "Server certificate life time in days [365]: "; read x
  169. SRVCERT_LIFETIME=${x:-365}
  170. #cln echo_no_nl "Client certificate life time in days [365]:"; read x
  171. #cln CLNCERT_LIFETIME=${x:-365}
  172.  
  173. if [ ! -z "$LANG" ]; then
  174.     DC=`echo $LANG | sed -n 's/^..*_\(..\)$/\1/p'`
  175. fi
  176.  
  177. # Default country = France
  178. # Too bad for you, but quicker for my tests!
  179. echo_no_nl "Your country (two letter code) [${DC:=FR}]: "; read x
  180. COUNTRY=${x:-$DC}
  181. #
  182. echo_no_nl "Your state or province name [none]: "; read x
  183. PROVINCE=${x:-.}
  184. X=Paris; echo_no_nl "Your location (e.g. town) [$X]: "; read x
  185. LOCATION=${x:-$X}
  186. X="Nessus Users United"; echo_no_nl "Your organization [$X]: "; read x
  187. ORGANIZATION=${x:-$X}
  188. # X="Test unit"; echo_no_nl "Your organization unit [$X]:"; read x
  189. # ORGUNIT=${x:-$X}
  190.  
  191. ####
  192. else 
  193. CACERT_LIFETIME="1460"
  194. SRVCERT_LIFETIME="365"
  195. COUNTRY="FR"
  196. PROVINCE="none"
  197. LOCATION="Paris"
  198. ORGANIZATION="Nessus Users United"
  199. fi
  200.  
  201.  
  202. cat <<EOF>$BASEDIR/std000.cnf
  203. RANDFILE        = $HOME/.rnd
  204. #
  205. [ ca ]
  206. default_ca = NessusCA
  207.  
  208. [ NessusCA ]
  209. dir        = $BASEDIR        # Where everything is kept
  210. certs        = \$dir            # Where the issued certs are kept
  211. crl_dir        = \$dir            # Where the issued crl are kept
  212. database    = \$dir/index.txt    # database index file.
  213. new_certs_dir    = \$dir            # default place for new certs.
  214.  
  215. certificate    = $CACERT         # The CA certificate
  216. serial        = \$dir/serial         # The current serial number
  217. crl        = \$dir/crl.pem     # The current CRL
  218. private_key    = $CAKEY        # The private key
  219.  
  220. x509_extensions    = usr_cert        # The extentions to add to the cert
  221. crl_extensions    = crl_ext
  222.  
  223. default_days    = 365        # how long to certify for
  224. default_crl_days= 30            # how long before next CRL
  225. default_md    = md5            # which md to use.
  226. preserve    = no            # keep passed DN ordering
  227.  
  228. policy        = policy_anything
  229.  
  230. [ policy_anything ]
  231. countryName             = optional
  232. stateOrProvinceName     = optional
  233. localityName            = optional
  234. organizationName        = optional
  235. organizationalUnitName  = optional
  236. commonName              = supplied
  237. emailAddress            = optional
  238.  
  239. [ req ]
  240. default_bits        = 1024
  241. distinguished_name    = req_distinguished_name
  242. # attributes        = req_attributes
  243. x509_extensions    = v3_ca    # The extentions to add to the self signed cert
  244.  
  245. [ req_distinguished_name ]
  246. countryName            = Country Name (2 letter code)
  247. countryName_default        = FR
  248. countryName_min            = 2
  249. countryName_max            = 2
  250.  
  251. stateOrProvinceName        = State or Province Name (full name)
  252. stateOrProvinceName_default    = Some-State
  253.  
  254. localityName            = Locality Name (eg, city)
  255.  
  256. 0.organizationName        = Organization Name (eg, company)
  257. 0.organizationName_default    = Internet Widgits Pty Ltd
  258.  
  259. # we can do this but it is not needed normally :-)
  260. #1.organizationName        = Second Organization Name (eg, company)
  261. #1.organizationName_default    = World Wide Web Pty Ltd
  262.  
  263. organizationalUnitName        = Organizational Unit Name (eg, section)
  264. #organizationalUnitName_default    =
  265.  
  266. commonName            = Common Name (eg, your name or your server\'s hostname)
  267. commonName_max            = 255
  268.  
  269. emailAddress            = Email Address
  270. emailAddress_max        = 255
  271.  
  272. # SET-ex3            = SET extension number 3
  273.  
  274. [ usr_cert ]
  275. # These extensions are added when 'ca' signs a request.
  276. # This goes against PKIX guidelines but some CAs do it and some software
  277. # requires this to avoid interpreting an end user certificate as a CA.
  278. #basicConstraints=CA:FALSE
  279.  
  280. # Here are some examples of the usage of nsCertType. If it is omitted
  281. # the certificate can be used for anything *except* object signing.
  282.  
  283. # This is OK for an SSL server.
  284. # nsCertType            = nsCertType
  285. # For normal client use this is typical
  286. # nsCertType = client, email
  287. nsCertType            = NSCERTTYPE
  288.  
  289. keyUsage = nonRepudiation, digitalSignature, keyEncipherment
  290.  
  291. # This will be displayed in Netscape's comment listbox.
  292. nsComment            = "OpenSSL Generated Certificate"
  293.  
  294. # PKIX recommendations harmless if included in all certificates.
  295. subjectKeyIdentifier=hash
  296. authorityKeyIdentifier=keyid,issuer:always
  297.  
  298. # This stuff is for subjectAltName and issuerAltname.
  299. # Import the email address.
  300. subjectAltName=email:copy
  301.  
  302. # Copy subject details
  303. issuerAltName=issuer:copy
  304.  
  305. #nsCaRevocationUrl        = http://www.domain.dom/ca-crl.pem
  306. #nsBaseUrl
  307. #nsRevocationUrl
  308. #nsRenewalUrl
  309. #nsCaPolicyUrl
  310. #nsSslServerName
  311.  
  312. [ v3_ca ]
  313. # PKIX recommendation.
  314. subjectKeyIdentifier=hash
  315. authorityKeyIdentifier=keyid:always,issuer:always
  316.  
  317. # This is what PKIX recommends but some broken software chokes on critical
  318. # extensions.
  319. basicConstraints = critical,CA:true
  320. # So we do this instead.
  321. #basicConstraints = CA:true
  322.  
  323. # Key usage: this is typical for a CA certificate. However since it will
  324. # prevent it being used as an test self-signed certificate it is best
  325. # left out by default.
  326. keyUsage = cRLSign, keyCertSign
  327. nsCertType = sslCA
  328. EOF
  329.  
  330. #####
  331.  
  332. sed 's/NSCERTTYPE/server/g' < $BASEDIR/std000.cnf > $BASEDIR/std.cnf
  333. sed 's/NSCERTTYPE/client/g' < $BASEDIR/std000.cnf > $BASEDIR/stdC.cnf
  334. hostname=`hostname`
  335. if [ -z "$hostname" ];
  336. then
  337.  echo "An error occured while trying to determine hostname !"
  338.  exit 1
  339. fi
  340. # The value for organizationalUnitName must be 64 chars or less;
  341. #   thus, hostname must be 36 chars or less. If it's too big,
  342. #   try removing domain.
  343.  
  344. hostname_len=`echo $hostname| wc -c`
  345.  
  346. if [ $hostname_len -gt 36 ];
  347. then
  348.   hostname=`echo $hostname | cut -d '.' -f 1`
  349. fi
  350.  
  351. CAMAIL=ca@$hostname
  352. #cln CLNMAIL=nessus@$hostname
  353. SRVMAIL=nessusd@$hostname
  354. #
  355. # Create the root CA
  356. #
  357.  
  358.  
  359. echo 01 > $BASEDIR/serial
  360. touch $BASEDIR/index.txt
  361. openssl genrsa $RANDFLAG -out $CAKEY  1024 2> $BASEDIR/openssl-log
  362.  
  363.  
  364. echo "$COUNTRY
  365. $PROVINCE
  366. $LOCATION
  367. $ORGANIZATION
  368. Certification Authority for $hostname
  369. $hostname
  370. $CAMAIL" | 
  371. openssl req -config $BASEDIR/std.cnf -new -x509 -days $CACERT_LIFETIME -key $CAKEY -out $CACERT 2>> $BASEDIR/openssl-log
  372.  
  373. # Server key
  374. openssl genrsa $RANDFLAG -out $SRVKEY 1024 2>> $BASEDIR/openssl-log
  375.  
  376. # Server certificate "request"
  377. echo "$COUNTRY
  378. $PROVINCE
  379. $LOCATION
  380. $ORGANIZATION
  381. Server certificate for $hostname
  382. $hostname
  383. $SRVMAIL" | 
  384. openssl req -config $BASEDIR/std.cnf -new -key $SRVKEY -out $SRVREQ 2>> $BASEDIR/openssl-log
  385.  
  386. # Sign the server certificate
  387. openssl ca -config $BASEDIR/std.cnf -name NessusCA -batch -days $SRVCERT_LIFETIME -in $SRVREQ -out $SRVCERT 2>> $BASEDIR/openssl-log
  388.  
  389. #cln # Client key
  390. #cln openssl genrsa -out $CLNKEY 1024
  391.  
  392. #cln # Client certificate "request"
  393. #cln echo "$COUNTRY
  394. #cln $PROVINCE
  395. #cln $LOCATION
  396. #cln $ORGANIZATION
  397. #cln Client certificate for $hostname
  398. #cln $hostname
  399. #cln $CLNMAIL" | 
  400. #cln openssl req -config $BASEDIR/stdC.cnf -new -key $CLNKEY -out $CLNREQ
  401.  
  402. #cln # Sign the client certificate
  403. #cln openssl ca -config $BASEDIR/stdC.cnf -name NessusCA -batch -days $CLNCERT_LIFETIME -in $CLNREQ -out $CLNCERT
  404.  
  405. ####
  406.  
  407.  
  408. chmod a+r $CACERT $SRVCERT #cln $CLNCERT
  409.  
  410.  
  411. CF=/etc/nessus/nessusd.conf
  412. egrep -v '^ *(pem_password|cert_file|key_file|ca_file|force_pubkey_auth) *=' "$CF" > "$CF.tmp"
  413. echo "#
  414. # Added by nessus-mkcert
  415. #
  416. cert_file=$SRVCERT
  417. key_file=$SRVKEY
  418. ca_file=$CACERT
  419. # If you decide to protect your private key with a password, 
  420. # uncomment and change next line
  421. # pem_password=password
  422. # If you want to force the use of a client certificate, uncomment next line
  423. # force_pubkey_auth = yes" >> "$CF.tmp"
  424.  
  425.  
  426.  
  427.  
  428. test -z "$QUIET" && header
  429.  
  430. if [ -s "$CACERT" -a -s "$CAKEY" -a -s "$SRVCERT" -a -s "$SRVKEY" ];
  431.  then
  432.  test -z "$QUIET" && echo "Congratulations. Your server certificate was properly created."
  433.  
  434.  mv -f "$CF.tmp" "$CF"
  435.  test -z "$QUIET" && { 
  436.  echo
  437.  echo "$CF updated
  438.  "
  439.  
  440.  #cln echo "Your client certificates are in $BASEDIR
  441.  #cln You will have to copy them by hand
  442.  
  443.  echo "The following files were created : "
  444.  echo
  445.  echo ". Certification authority : "
  446.  echo "   Certificate = $CACERT"
  447.  echo "   Private key = $CAKEY"
  448.  echo
  449.  echo ". Nessus Server : "
  450.  echo "    Certificate = $SRVCERT"
  451.  echo "    Private key = $SRVKEY"
  452.  #cln ***** Nessus client *****
  453.  #cln Certificate = $CLNCERT
  454.  #cln Private key = $CLNKEY
  455.  }
  456. else
  457.  echo "An error occured while generating the certificates and/or keys !"
  458.  echo
  459.  echo_no_nl "Do you want to save openssl output in a file for further analysis ? (y/n) [y] " $Xc
  460.  read n < /dev/tty
  461.  test -z "$n" -o "$n" = "y" && {
  462.   echo_no_nl "Where should I save this file ? [$HOME/openssl-output] "
  463.   read n < /dev/tty
  464.   test -z "$n" && n="$HOME/openssl-output"
  465.   cp "$BASEDIR"/openssl-log "$n"
  466. }
  467. fi
  468.  
  469.  
  470.  
  471.  
  472. test -z "$QUIET" &&
  473. {
  474.  echo
  475.  echo "Press [ENTER] to exit"; read x
  476. }
  477. rm -rf "$BASEDIR"
  478.  
  479.  
  480. if [ -s "$CACERT" -a -s "$CAKEY" -a -s "$SRVCERT" -a -s "$SRVKEY" ];
  481. then
  482.  exit 0
  483. else
  484.  exit 1
  485. fi
  486.