Общая спецификация интеграции GnuPG [ЧЕРНОВИК]

Задачи

Задачами, решаемыми интеграцией GnuPG, являются:

1. Валидация загружаемого пользователем (в свой профиль) открытого ключа на корректность с последующим внесением отпечатка в базу данных.
2. Защита приватной связи между пользователями сайта.
3. Защита отправляемого пользователю восстановленного пароля.

Возможность аутентификации на сайте с помощью протокола запрос-ответ (подписание пользователем строки запроса, сгенерированной сервером) не определяется в числе задач, поскольку, хотя и скрывает пароль от наблюдателя на канале связи, сама по себе не в силах предотвратить несанкционированный доступ к учетной записи пользователя с помощью перехваченных cookie и иными путями. Решение же данной проблемы — SSL — вообще делает подобную схему избыточной, поскольку защищает как реквизиты авторизованной сессии (cookie/SID) при работе с сайтом, так и реквизиты пользователя (логин/пароль) в момент аутентификации.

Тем не менее, список задач остается открыт для дополнений.

Функции

Для решения означенных задач требуется реализовать следующий набор функций (достаточность и необходимость всех функций из списка подлежит обсуждению).

Загрузка/валидация ключа

Загрузка ключа выполняется на странице персональных настроек уже после регистрации и успешного входа в систему. Загрузка на этапе регистрации не имеет смысла по той причине, что HTTP-POST-запрос как целое не подвергается цифровому подписанию, и потому может быть модифицирован злоумышленником, тогда как использование SSL снимает подобные риски и на этапе регистрации, и последующего логина и изменения настроек.

Все этапы загрузки/валидации ключа выполняются в контексте специальной временной связки. Если импортированный ключ удовлетворяет необходимым условиям (см. ниже), производится его автоматический перенос в основную связку сервера.

UploadPK(keyASCII)

Импортирует загруженный ключ на временную связку. Единственный аргумент, keyASCII, представляет собой загруженный пользователем блок открытого ключа, передаваемый в GnuPG через STDIN с параметром --import. Сразу после исполнения вызывается CheckPK(keyID), которая анализирует ключ с целью определения его пригодности для зашифрования.

RecievePK(keyID[, ksURL])

Импортирует ключ с сервера ключей на временную связку. Передает GnuPG указанный пользователем (в профиле) ID ключа в параметре командной строки --recv-keys. Опциональный аргумент ksURL позволяет пользователю задать URL сервера ключей, вместо дефолтного subkeys.pgp.net. Как и в предыдущем случае сразу после исполнения вызывается CheckPK(keyID).

Вопросы: следует ли перед исполнением команды с параметром --recv-keys исполнить ее с --search-keys и, если сервер вернет более одно ключа, остановить программу и выдать предупрждение (к примеру, чтобы пользователь скорректировал запрос и указал keyID в 16-значном формате)? Альтернативным способом снятия двусмысленности может быть такой: показать пользователю результаты поиска и предложить выбрать принадлежащий ему ключ. Требуется протестировать альфу и изучить статус-коды, возвращаемые в различных описанных режимах.

CheckPK(keyID)

Парсит сертификат ключа (используются параметры --with-colons --list-public-keys <keyID>) и проверяет следующие условия: 1) ключ содержит по крайней мере один шифровальный подключ и 2) базовый ключ и шифровальный подключ в данный момент действительны. Оба условия не имеют критического значения при загрузке ключа (пользователю выводится только предупреждение), но при восстановлении пароля или отправке приватного сообщения операция завершится неудачей.

AcceptPK(keyID)

Вызывается при импорте ключа в случае положительного ответа CheckPK() и переносит импортированный ключ с временной связки на главную. Использование идентификатора ключа в аргументе функции делает невозможным перенос нескольких ключей на главную связку, даже если пользователь и попытается это сделать (фактически будет импортирован только первый ключ в блоке).

<...>

Функции обслуживания

DeletePK(keyID)

Удаляет открытый ключ с главной связки, например, при необходимости заменить ключ или при удалении учетной записи пользователя из системы.

<...>

Реализация

Ограничивающим фактором в реализации схемы выступает запрет стандартной PHP-функции exec() (что является нормой для любого виртуального хостинга). Таким образом, взаимодействие с GnuPG может осуществляться только через интерфейс CGI. Использовать с этой целью CGI-сборку PHP нерационально, поэтому итоговая конструкция представляет собой:

Класс openSpace-GPG

<?php // OPENSPACE-GPG INTEGRATION CLASS version 0.3.1 // (c) 2007 SATtva, http://www.vladmiller.info // Originally for "openPGP in Russia" http://www.pgpru.com // Licensed under GNU General Public License (GPL) // http://opensource.org/licenses/gpl-license.php // ToDo: // - public key download from keyserver // - encryption functions /* ######################################################## ## openSpace-GPG integration class ## ######################################################## NOTE: PHP 5.0 and GnuPG 1.4 or later required! */ // CONSTANTS define('GPG_STATUS_LINE', '[GNUPG:] '); define('GPG_VERSION_STRING', 'gpg (GnuPG)'); define('GPG_TEMP_FILE_SIZE', 262144); define('GPG_TEMP_RING_NAME', 'tempring'); define('GPG_TEMP_FILE_NAME', 'tempfile'); define('GPG_STATUS_NAME', 'status'); define('GPG_STDERR_NAME', 'error'); class GPG { // VARIABLES var $engine; var $UID = NULL; // pubkey user ID var $keyID = NULL; // pubkey ID var $finger = NULL; // pubkey fingerprint var $baseurl; // site url with a proper protocol var $homedir; // gpg homedir var $tempdir; // temporary data dir var $sessdir; // user session dir var $stfile; // gpg status file var $srfile; // gpg stderr file // CONSTRUCTOR function __construct(&$engine) { // defining main object properties $this->engine = & $engine; $this->baseurl = str_replace('https://', 'http://', $this->engine->config['base_url']); $this->homedir = rtrim($this->engine->config['gpg_home'], '/'); $this->tempdir = rtrim($this->engine->config['gpg_temp'], '/'); $this->wrapper = trim($this->engine->config['gpg_wrapper'], '/'); $this->sessdir = $this->tempdir.'/'.session_id(); $this->stfile = $this->sessdir.'/'.GPG_STATUS_NAME; $this->srfile = $this->sessdir.'/'.GPG_STDERR_NAME; // creating user session directory if (false === mkdir($this->sessdir)) { die('openSpace-GPG: unable to create user session directory.'); } else { // creating session files and setting correct privileges $file = @fopen($this->stfile, 'w'); @fclose($file); $file = @fopen($this->srfile, 'w'); @fclose($file); chmod($this->sessdir, 0777); chmod($this->stfile, 0777); chmod($this->srfile, 0777); } } ######################################################## ## Common functions ## ######################################################## // call openspace-gpg wrapper: executes gpg with passed // command line parameters and returns STDOUT. status codes // and STDERR are written into the out files and can be // processed later. // $request - additional gpg command line parameters // (except homedir and status-file) // $method - passing method: post or get (default) // $input - any data that is needed to be passed to // gpg in STDIN for processing (with // $method = 'post' only) function Call($request, $method = 'get', $input = '') { // defining http method if ($method != 'get' && $method != 'post') $method = 'get'; // preparing stdin data if ($method != 'post') $input = ''; else $input = base64_encode(str_replace("\r", '', $input)); // preparing http request $request = array( 'http' => array( 'method' => $method, 'header' => ( $method == 'post' ? 'Content-type: application/x-www-form-urlencoded' : '' ), 'content' => http_build_query(array( 'hd' => $this->homedir, // homedir 'sf' => $this->stfile, // status-file 'sr' => $this->srfile, // stderr 'cl' => $request, // command line params 'st' => $input) // stdin data ) // end of content array ) // end of http array ); // end of request array $context = stream_context_create($request); $script = fopen("{$this->baseurl}{$this->wrapper}", 'r', false, $context); if (!$script) { die('openSpace-GPG: unable to open CGI wrapper.'); } else { // reading output till the end while (false === feof($script)) { $result .= fgets($script, 1024); } fclose($script); // here is what gpg returned return str_replace("\r", '', trim($result)); } } // get gpg status codes of the last operation. returns // multidimensional array with [GNUPG:] string thrown out function GetStatus() { $statusfile = @fopen($this->stfile, 'r'); // read status file if (!$statusfile) { return false; } else { while (false === feof($statusfile)) { $statuscodes .= fread($statusfile, 1024); } fclose($statusfile); } if ($statuscodes) { $len = strlen(GPG_STATUS_LINE); $rows = explode("\n", str_replace("\r", '', $statuscodes)); foreach ($rows as $row) if (substr($row, 0, $len) == GPG_STATUS_LINE) $matrix[] = explode(' ', substr($row, $len)); return $matrix; } else return false; } // get parseable key details listing. returns multidimensional // array with 'tru' (trustdb) values excepted (empty array if // selected key is absent). // $keyring defines source db to search: 'temp' or 'work' function GetList($keyring, $keyID = '') { if (!$keyID) $keyID = '0x'.$this->finger; if (!$keyID) $keyID = $this->keyID; if (!$keyID) return false; if ($keyring == 'temp') $ring = "--no-default-keyring --keyring {$this->sessdir}/".GPG_TEMP_RING_NAME; else if ($keyring == 'work') $ring = ''; else return false; if ($list = $this->Call("$ring --list-public-keys $keyID")) { $rows = explode("\n", $list); foreach ($rows as $row) if ($row && substr($row, 0, 3) != 'tru') $matrix[] = explode(':', $row); return $matrix; } else return false; } // define pubkey-related object properties from gpg status // codes ('status') or key listing ('list'). // $keyring definition is the same as in the GetList() method. // $keyID and $keyring required only in case $source = 'list' function DefineKey($source, $keyring = '', $keyID = '') { if ($source == 'status') { if (false === $status = $this->GetStatus()) { return false; } else foreach ($status as $code) { if ($code[0] == 'IMPORTED') { $this->keyID = $code[1]; // recompose primary user ID into a single string $temp = $code; unset($temp[0], $temp[1]); $this->UID = implode(' ', $temp); } else if ($code[0] == 'IMPORT_OK') { $this->keyID = substr($code[2], -16); $this->finger = $code[2]; } } return true; } else if ($source == 'list') { if (false === $list = $this->GetList($keyring, $keyID)) { return false; } else foreach ($list as $row) { if ($row[0] == 'pub') { $this->keyID = $row[4]; } else if ($row[0] == 'fpr') { $this->finger = $row[9]; } else if ($row[0] == 'uid' && !$definedUID) { $this->UID = str_replace('\x3a', ':', $row[9]); $definedUID = true; } } return true; } } ######################################################## ## Special functions ## ######################################################## // check gpg operation. mostly for debug purposes function SelfCheck() { $gpg = $this->Call('--version'); if ($gpg == true) { $gpg = substr($gpg, 0, strpos($gpg, "\n")); if (stristr($gpg, GPG_VERSION_STRING) == true) return true; else return false; } else { return false; } } // make sure an imported key is suitable for encryption. // $keyring definition is the same as in the GetList() method. // checks the following conditions are met: // - at least one encryption subkey is present, not expired, // and not revoked // - base key is not expired and not revoked // returns these error code values: // 0 - everything's okey // 1 - not suitable for encryption (encryption subkey is // absent, expired or revoked) // 2 - pubkey is unusable (expired or revoked) // 3 - no key found in GetList() output function CheckPK($keyring, $keyID) { $pubkey = false; $subkey = false; if (false == $list = $this->GetList($keyring, $keyID)) { // no key found return 3; } else foreach ($list as $row) { // check for base key usability if ($row[0] == 'pub') { if ( ($row[1] != 'r' && $row[1] != 'e') && // check for revocation/expiry status ($row[5] < time() && ($row[6] == '' || $row[6] > time())) ) // check creation and expiration dates { $pubkey = true; } } // check for subkey presence and usability else if ($row[0] == 'sub') { if ( ($row[1] != 'r' && $row[1] != 'e') && // check for revocation/expiry status (strpos($row[11], 'e') !== false) && // check that subkey is intended for encryption ($row[5] < time() && ($row[6] == '' || $row[6] > time())) ) // check creation and expiration dates { $subkey = true; } } } // return codes if ($pubkey === false) return 2; // public key is unusable if ($subkey === false) return 1; // key is not suitable for encryption // key is okey return 0; } // import key onto the temp keyring through webform for // later processing. be warned that imported key must // be processed in the current cycle before object destructor // cleans things up function UploadPK($keyblock) { // import key $this->Call("--no-default-keyring --keyring {$this->sessdir}/".GPG_TEMP_RING_NAME." --import", 'post', $keyblock); } // move selected key from a temp keyring to the main keyring. // $keyID variable is necessary to not allow passing of multiple // uploaded keys function AcceptPK($keyID) { $pack = $this->Call("--no-default-keyring --keyring {$this->sessdir}/".GPG_TEMP_RING_NAME." --export $keyID"); $this->Call("--import", 'post', $pack); } // remove selected public key from the main keyring function DeletePK($keyID) { $this->Call("--delete-key $keyID"); } // DESTRUCTOR function __destruct() { // flush session dir in the end of script execution if ($dh = opendir($this->sessdir)) { while (false !== ($filename = readdir($dh))) { if (is_dir($file = $this->sessdir.'/'.$filename) !== true) unlink($file); } closedir($dh); rmdir($this->sessdir); } } } ?>

Файл конфигурации gpg.conf

Поскольку GnuPG должен работать в полностью автономном режиме, видится необходимым следующий конфигурационный файл:

# корректировки? # Stand-alone GPG configuration for openSpace-GPG force-mdc no-greeting no-emit-version no-auto-check-trustdb no-secmem-warning trust-model always quiet batch yes armor with-colons fixed-list-mode with-fingerprint comment openSpace-GPG - http://openspace.vladmiller.info keyserver-options no-auto-key-retrieve import-options import-minimal export-options export-minimal # verify-options show-primary-uid-only # no-utf8-strings personal-cipher-preferences TWOFISH AES256 AES192 BLOWFISH CAST5 AES 3DES personal-digest-preferences SHA512 SHA384 SHA256 RIPEMD160 SHA1 MD5 personal-compress-preferences BZIP2 ZLIB ZIP Uncompressed

CGI-обертка openSpace-GPG

Идея использования пайпа для передачи данных GnuPG из стандартного ввода принадлежит ПэГусеву, за что ему особая благодарность. В остальном обертка не содержит ничего существенного:

#!/usr/bin/perl # OPENSPACE-GPG CGI WRAPPER version 0.9.5 # (c) 2007 SATtva, http://www.vladmiller.info # Originally for "openPGP in Russia" http://www.pgpru.com # Licensed under GNU General Public License (GPL) # http://opensource.org/licenses/gpl-license.php # Input processing code based on Quick Survey 1.4 # Copyright 1999-2003 CGI-Factory.com TM # A subsidiary of SiliconSoup.com LLC # Web site: http://www.cgi-factory.com # E-Mail: cgifactory@cgi-factory.com # Released Date: June 24, 2003 # Processing input if ($ENV{'REQUEST_METHOD'} eq 'GET') { @pairs = split(/&/, $ENV{'QUERY_STRING'}); } else { read(STDIN, $buffer, $ENV{'CONTENT_LENGTH'}); @pairs = split(/&/, $buffer); } foreach $pair (@pairs) { ($name, $value) = split(/=/, $pair); $name =~ tr/+/ /; $name =~ s/%([a-fA-F0-9][a-fA-F0-9])/pack("C", hex($1))/eg; $value =~ tr/+/ /; $value =~ s/%([a-fA-F0-9][a-fA-F0-9])/pack("C", hex($1))/eg; $value =~ s/\n/\s/g; if ($name && $value) { $input{$name} = $value; } } # Decomposing Base64 input (aka "quazi-STDIN") if ($input{'st'}) { use MIME::Base64 (); $pack = MIME::Base64::decode($input{'st'}); } # Envoking GPG. # Homedir and status file paths must be passed by the calling # application. # We are using piping to trick GPG into using passed data as # STDIN, thus allowing to process anything in one call with no # temporary files involved (such "STDIN" is have to be base64- # encoded). Credit for the idea goes to PeGusev @ pgpru.com. # STDOUT can be captured by the calling application for later # processing. No error code values are returned (rely on status # codes and STDERR if necessary). print "Content-Type: text/plain\n\n"; open(GPGIN, "| gpg --homedir $input{'hd'} --status-file $input{'sf'} $input{'cl'} 2>$input{'sr'}"); print GPGIN "$pack\n"; close(GPGIN);