chiark - git - mdw - ssh-ca/blob - bin/sign

   1 #! /bin/sh
   2
   3 set -e
   4 . lib/func.sh
   5
   6 ## The key types are adorned with bit lengths.  Work out the raw key type
   7 ## names.
   8 rawkeytypes=""
   9 for kt in $keytypes; do
  10   rawkeytypes="$rawkeytypes ${kt%:*}"
  11 done
  12
  13 ## Start a new output directory.
  14 rm -rf publish.new
  15 mkdir publish.new
  16 for kt in $rawkeytypes; do
  17   cp ca/ca-$kt.pub publish.new/
  18   read pub <ca/ca-$kt.pub
  19   echo "@cert-authority $scope $pub" >publish.new/ca-$kt.entry
  20 done
  21
  22 ## Sign the various host keys.
  23 exec 3<etc/hosts 4>publish.new/hosts.list
  24 last=%%%
  25 while read line <&3; do
  26
  27   ## Ignore comments and empty lines.
  28   case "$line" in
  29     "#"* | "") continue ;;
  30     ##*[!       ]*) ;;
  31     ##*) continue ;;
  32   esac
  33
  34   ## Read the host line.
  35   set -- $line
  36   host=$1
  37   names=""
  38   nicks=""
  39
  40   ## If this is a different host, then start a new section of the list.
  41   case "$last" in
  42     "%%%") echo "$host" >&4 ;;
  43     "$host") ;;
  44     *) { echo; echo "$host"; } >&4 ;;
  45   esac
  46   last=$host
  47
  48   ## Build a list of names for the host.
  49   for n in "$@"; do
  50     case "$n" in
  51       .*) for h in $nicks; do names=${names:+$names,}$h$n,$h$n.$domain; done ;;
  52       *.* | *:*) names=${names:+$names,}$n ;;
  53       *) nicks=${nicks:+$nicks }$n names=${names:+$names,}$n,$n.$domain ;;
  54     esac
  55   done
  56
  57   ## Sign certificates.
  58   for kt in $rawkeytypes; do
  59     if [ ! -f host/$host-$kt.pub ]; then continue; fi
  60     cp host/$host-$kt.pub publish.new/
  61     ssh-keygen -q -tv00 -sca/ca-$kt \
  62       -h -I"$cacomment:$host.$domain" -n$names \
  63       -V$validity \
  64       publish.new/$host-$kt.pub
  65     mv publish.new/$host-$kt-cert.pub \
  66       publish.new/$host-$kt.cert
  67     ssh-keygen -lv -fpublish.new/$host-$kt.pub | sed 's,^,| ,' >&4
  68   done
  69 done
  70 exec 3>&- 4>&-
  71
  72 ## Sign the list.
  73 run_gpg --armor -o publish.new/hosts.asc \
  74   --clearsign publish.new/hosts.list
  75 rm publish.new/hosts.list
  76
  77 ## Include a copy of the public key.
  78 run_gpg --export --armor -o publish.new/ca-gnupg.asc
  79
  80 ## Done.
  81 if [ -d publish ]; then
  82   rm -rf publish.old
  83   mv publish publish.old
  84 fi
  85 mv publish.new publish
  86 rm -rf publish.old