tm-verify: автоматизация проверки нотариального журнала

Описание

РУС
Утилита tm-verify предназначена для автоматической проверки записей аудиторского журнала TimeMarker.org в операционной системе Linux. Для работы программы требуется GnuPG и интерпретатор Python.

ENG
tm-verify is a utility program that automates verification of TimeMarker.org audit log chains under Linux operating system. Requires installed GnuPG and Python interpreter.

Функциональность

• Сверяет подписи с файлов меток.
• Проверяет связность цепочки меток по хэшам.
• Выводит диагностику и результат проверки.

Как использовать

• Взять из нотариального журнала цепочку меток, распаковать в произвольный каталог.
• Выполнить: ./tm-verify.py [путь к каталогу]. Если не указать путь, проверяется текущий каталог. Подробности через ./tm-verify.py --help.

Текущие ограничения

• Все метки, лежащие в конкретном каталоге, должны идти последовательно. Скажем, если в каталоге лежат метки 51, 52, 53, 55, 56, 57, то метка 55 выдаст ошибку связности хэшей из-за отсутствия метки 54. Проверка продолжится несмотря на ошибку, но имейте в виду.
• Поскольку состояние подписей проверяется только по коду возврата GnuPG (а не через интерфейс статусов), убедитесь, чтобы GnuPG в обычном режиме не возвращал никаких ошибок (типа ненайденных связок ключей и т.п.), иначе все подписи будут опознаваться как повреждённые.
• По той же причине, что и в предыдущем пункте, существует возможность атаки на процесс сверки цепочек: если взломщик подменит архив с цепочкой меток и тем или иным образом подбросит свой открытый ключ на связку пользователя, программа завершится с корректным результатом (сами подписи ведь верны; другое дело, что проставлены посторонним ключом).
• Проверка ведётся только по хэшам SHA-512.
• Не проверяются дополнительные поля: последовательность номеров меток и дат их выдачи и их принадлежность к одному сервису (всё это также оставляет потенциал для атаки).

Планы развития

Ближайшие

• Проверка соответствия дополнительных полей меток: Signed-by, Number, Timestamp (последовательность номеров и дат и принадлежность всех меток одному сервису).
• Проверка состояния подписей через интерфейс статусов GnuPG.
• Проверка связности цепочек по обоим хэш-алгоритмам (RIPEMD160 в дополнение к SHA512).
• Распараллеливание процессов сверки подписей и связности цепочек.

Отдалённые (после выхода API)

• Автоматическое скачивание цепочек.
• Возможность демонизации программы и/или её исполнение по крону.

Код

#!/usr/bin/env python # -*- coding: utf-8 -*- # @copyright: 2008 Vlad "SATtva" Miller, http://www.vladmiller.info # @license: GNU GPL, http://gnu.org/licenses/gpl.html # @version: 0.1 # # Current limitations: # XXX GnuPG communication relies solely on error codes (no status-fd), # thus any errors in gpg configuration will lead to 'invalid' sigs # XXX Only SHA512 referrences is checked '''TimeMARKER.org chains verifier v.0.1 Usage: ./tm-verify.py [OPTIONS] [PATH] Options: -v, --verbose print more information during operation -h, --help display this help message Optional PATH is a path to the directory containing marker chain files. Note: All marker files must be in consecutive order, or you will get verification errors. Return values: 0 all checks passed correctly 1 digsig integrity or hashes chaining errors detected 2 program execution error (c) 2008 Vlad "SATtva" Miller <http://www.vladmiller.info> License GNU GPL v3 or later <http://gnu.org/licenses/gpl.html>''' import sys, os, getopt, glob from subprocess import * from os.path import abspath, expanduser, exists, split _verbose = 0 def gpghome(): 'Get GnuPG home dir. Could be lame and inaccurate in some circumstances.' try: home = os.environ['GNUPGHOME'] except KeyError: home = os.environ['HOME'] + '/.gnupg' return home def verify(filename): 'Return status code and original plaintext (lines list) of a signed marker' p = Popen(['gpg', '-q', '-d', filename], stdout=PIPE, stderr=PIPE, close_fds=True, universal_newlines=False, env={'PATH': '/usr/bin', 'GNUPGHOME': gpghome()}) p.wait() return p.returncode, p.stdout.readlines() def hash(str): 'Calculate SHA-512 hash of a marker meta' p = Popen(['gpg', '-q', '--print-md', 'SHA512'], universal_newlines=False, stdin=PIPE, stdout=PIPE, stderr=PIPE, close_fds=True, env={'PATH': '/usr/bin', 'GNUPGHOME': gpghome()}) o = p.communicate(str)[0] return o.replace(' ', '').replace('\n', '').lower() def filelist(path): 'Get file list in a "human sorted" order (e.g. marker312 goes after marker51)' p = abspath(expanduser(path)) if not exists(p): print 'Directory %s not found.' % path print 'Run with --help flag for more information.' sys.exit(2) files = glob.glob(p + '/Marker*.pgp') files.sort(cmp = lambda f1, f2: cmp(int(f1[len(p)+7:-4]), int(f2[len(p)+7:-4]))) if files: return files else: return None def run(path): 'Run checks on markers chain' global _verbose sig_errors = [] ref_errors = [] try: for file in filelist(path): # Verifying pgp signature code, lines = verify(file) p, f = split(file) if code != 0: sig_errors.append(f) print 'BAD signature in', f elif _verbose: print 'Good signature in', f # Verifying meta chaining sharef = lines[5][20:].rstrip() # Previous metadata checksum (referrenced) try: if sharef != digest: ref_errors.append(f) print 'BAD Ref-Hash-SHA512 in', f elif _verbose: print 'Good Ref-Hash-SHA512 in', f except NameError: pass # Hashing current metadata for future use digest = hash(''.join(lines)[:-2]) # Some debugging data if _verbose: print ' Ref N-1:', sharef[:40] + '...' print ' Ref N: ', digest[:40] + '...' print except TypeError: if not path: path = 'current' print 'No marker files found in %s directory.' % path print 'Run with --help flag for more information.' sys.exit(2) # Display summary if len(sig_errors): print '!!! PGP signature verification failed on following markers:' print ' ' + ', '.join(sig_errors) else: print 'All PGP signatures verified correctly.' if len(ref_errors): print '!!! Timestamps hash chaining failed on following markers:' print ' ' + ', '.join(ref_errors) else: print 'All timestamps hashes chained correctly.' # Return error code if len(sig_errors) or len(ref_errors): sys.exit(1) else: sys.exit(0) def entry(argv): opts, args = getopt.getopt(argv, 'hv', ['help', 'verbose']) for o, a in opts: if o in ('-h', '--help'): print __doc__ sys.exit() elif o in ('-v', '--verbose'): global _verbose _verbose = 1 run(''.join(args)) if __name__ == "__main__": entry(sys.argv[1:])