Общая спецификация интеграции GnuPG [ЧЕРНОВИК]

Задачи

Задачами, решаемыми интеграцией GnuPG, являются:

1. Валидация загружаемого пользователем (в свой профиль) открытого ключа на корректность с последующим внесением отпечатка в базу данных.
2. Защита приватной связи между пользователями сайта.
3. Защита отправляемого пользователю восстановленного пароля.
4. Функциональное обеспечение публичного доступа к серверам ключей.
5. Функциональное обеспечение публичного декодировщика OpenPGP-пакетов.

Возможность аутентификации на сайте с помощью протокола запрос-ответ (подписание пользователем строки запроса, сгенерированной сервером) не определяется в числе задач, поскольку, хотя и скрывает пароль от наблюдателя на канале связи, сама по себе не в силах предотвратить несанкционированный доступ к учетной записи пользователя с помощью перехваченных cookie и иными путями. Решение же данной проблемы — SSL — вообще делает подобную схему избыточной, поскольку защищает как реквизиты авторизованной сессии (cookie/SID) при работе с сайтом, так и реквизиты пользователя (логин/пароль) в момент аутентификации.

Тем не менее, список задач остается открыт для дополнений.

Функции

Для решения означенных задач требуется реализовать следующий набор функций (достаточность и необходимость всех функций из списка подлежит обсуждению).

Загрузка/валидация ключа

Загрузка ключа выполняется на странице персональных настроек уже после регистрации и успешного входа в систему. Загрузка на этапе регистрации не имеет смысла по той причине, что HTTP-POST-запрос как целое не подвергается цифровому подписанию, и потому может быть модифицирован злоумышленником, тогда как использование SSL снимает подобные риски и на этапе регистрации, и последующего логина и изменения настроек.

Все этапы загрузки/валидации ключа выполняются в контексте специальной временной связки. Если импортированный ключ удовлетворяет необходимым условиям (см. ниже), производится его автоматический перенос в основную связку сервера.

UploadPK(keyASCII)

Импортирует загруженный ключ на временную связку. Единственный аргумент, keyASCII, представляет собой загруженный пользователем блок открытого ключа, передаваемый в GnuPG через STDIN с параметром --import. Сразу после исполнения вызывается CheckPK(keyID), которая анализирует ключ с целью определения его пригодности для зашифрования.

RecievePK(keyID[, ksURL])

Импортирует ключ с сервера ключей на временную связку. Передает GnuPG указанный пользователем (в профиле) ID ключа в параметре командной строки --recv-keys. Опциональный аргумент ksURL позволяет пользователю задать URL сервера ключей, вместо дефолтного subkeys.pgp.net. Как и в предыдущем случае сразу после исполнения вызывается CheckPK(keyID).

Вопросы: следует ли перед исполнением команды с параметром --recv-keys исполнить ее с --search-keys и, если сервер вернет более одно ключа, остановить программу и выдать предупрждение (к примеру, чтобы пользователь скорректировал запрос и указал keyID в 16-значном формате)? Альтернативным способом снятия двусмысленности может быть такой: показать пользователю результаты поиска и предложить выбрать принадлежащий ему ключ. Требуется протестировать альфу и изучить статус-коды, возвращаемые в различных описанных режимах.

AcceptPK(keyID)

Вызывается при импорте ключа в случае положительного ответа CheckPK() и переносит импортированный ключ с временной связки на главную. Использование идентификатора ключа в аргументе функции делает невозможным перенос нескольких ключей на главную связку, даже если пользователь и попытается это сделать (фактически будет импортирован только первый ключ в блоке).

<...>

Функции обслуживания

CheckPK(keyID)

Парсит сертификат ключа (используются параметры --with-colons --list-public-keys <keyID>) и проверяет следующие условия: 1) ключ содержит по крайней мере один шифровальный подключ и 2) базовый ключ и шифровальный подключ в данный момент действительны. Оба условия не имеют критического значения при загрузке ключа (пользователю выводится только предупреждение), но при восстановлении пароля или отправке зашифрованного приватного сообщения должно привести к неудачному завершению операции.

DeletePK(keyID)

Удаляет открытый ключ с главной связки, например, при необходимости заменить ключ или при удалении учетной записи пользователя из системы.

<...>

Реализация

Ограничивающим фактором в реализации схемы выступает запрет стандартной PHP-функции exec() (что является нормой для любого виртуального хостинга). Таким образом, взаимодействие с GnuPG может осуществляться только через интерфейс CGI. Использовать с этой целью CGI-сборку PHP нерационально, поэтому итоговая конструкция представляет собой:

Класс openSpace-GPG

<?php // OPENSPACE-GPG INTEGRATION CLASS version 0.3.1 // (c) 2007 SATtva, http://www.vladmiller.info // Originally for "openPGP in Russia" http://www.pgpru.com // Licensed under GNU General Public License (GPL) // http://opensource.org/licenses/gpl-license.php // ToDo: // - public key download from keyserver // - encryption functions /* ######################################################## ## openSpace-GPG integration class ## ######################################################## NOTE: PHP 5.0 and GnuPG 1.4 or later required! */ // CONSTANTS define('GPG_STATUS_LINE', '[GNUPG:] '); define('GPG_VERSION_STRING', 'gpg (GnuPG)'); define('GPG_TEMP_FILE_SIZE', 262144); define('GPG_TEMP_RING_NAME', 'tempring'); define('GPG_TEMP_FILE_NAME', 'tempfile'); define('GPG_STATUS_NAME', 'status'); define('GPG_STDERR_NAME', 'error'); class GPG { // VARIABLES var $engine; var $UID = NULL; // pubkey user ID var $keyID = NULL; // pubkey ID var $finger = NULL; // pubkey fingerprint var $baseurl; // site url with a proper protocol var $homedir; // gpg homedir var $tempdir; // temporary data dir var $sessdir; // user session dir var $stfile; // gpg status file var $srfile; // gpg stderr file // CONSTRUCTOR function __construct(&$engine) { // defining main object properties $this->engine = & $engine; $this->baseurl = str_replace('https://', 'http://', $this->engine->config['base_url']); $this->homedir = rtrim($this->engine->config['gpg_home'], '/'); $this->tempdir = rtrim($this->engine->config['gpg_temp'], '/'); $this->wrapper = trim($this->engine->config['gpg_wrapper'], '/'); $this->sessdir = $this->tempdir.'/'.session_id(); $this->stfile = $this->sessdir.'/'.GPG_STATUS_NAME; $this->srfile = $this->sessdir.'/'.GPG_STDERR_NAME; // creating user session directory if (false === mkdir($this->sessdir)) { die('openSpace-GPG: unable to create user session directory.'); } else { // creating session files and setting correct privileges $file = @fopen($this->stfile, 'w'); @fclose($file); $file = @fopen($this->srfile, 'w'); @fclose($file); chmod($this->sessdir, 0777); chmod($this->stfile, 0777); chmod($this->srfile, 0777); } } ######################################################## ## Common functions ## ######################################################## // call openspace-gpg wrapper: executes gpg with passed // command line parameters and returns STDOUT. status codes // and STDERR are written into the out files and can be // processed later. // $request - additional gpg command line parameters // (except homedir and status-file) // $method - passing method: post or get (default) // $input - any data that is needed to be passed to // gpg in STDIN for processing (with // $method = 'post' only) function Call($request, $method = 'get', $input = '') { // defining http method if ($method != 'get' && $method != 'post') $method = 'get'; // preparing stdin data if ($method != 'post') $input = ''; else $input = base64_encode(str_replace("\r", '', $input)); // preparing http request $request = array( 'http' => array( 'method' => $method, 'header' => ( $method == 'post' ? 'Content-type: application/x-www-form-urlencoded' : '' ), 'content' => http_build_query(array( 'hd' => $this->homedir, // homedir 'sf' => $this->stfile, // status-file 'sr' => $this->srfile, // stderr 'cl' => $request, // command line params 'st' => $input) // stdin data ) // end of content array ) // end of http array ); // end of request array $context = stream_context_create($request); $script = fopen("{$this->baseurl}{$this->wrapper}", 'r', false, $context); if (!$script) { die('openSpace-GPG: unable to open CGI wrapper.'); } else { // reading output till the end while (false === feof($script)) { $result .= fgets($script, 1024); } fclose($script); // here is what gpg returned return str_replace("\r", '', trim($result)); } } // get gpg status codes of the last operation. returns // multidimensional array with [GNUPG:] string thrown out function GetStatus() { $statusfile = @fopen($this->stfile, 'r'); // read status file if (!$statusfile) { return false; } else { while (false === feof($statusfile)) { $statuscodes .= fread($statusfile, 1024); } fclose($statusfile); } if ($statuscodes) { $len = strlen(GPG_STATUS_LINE); $rows = explode("\n", str_replace("\r", '', $statuscodes)); foreach ($rows as $row) if (substr($row, 0, $len) == GPG_STATUS_LINE) $matrix[] = explode(' ', substr($row, $len)); return $matrix; } else return false; } // get parseable key details listing. returns multidimensional // array with 'tru' (trustdb) values excepted (empty array if // selected key is absent). // $keyring defines source db to search: 'temp' or 'work' function GetList($keyring, $keyID = '') { if (!$keyID) $keyID = '0x'.$this->finger; if (!$keyID) $keyID = $this->keyID; if (!$keyID) return false; if ($keyring == 'temp') $ring = "--no-default-keyring --keyring {$this->sessdir}/".GPG_TEMP_RING_NAME; else if ($keyring == 'work') $ring = ''; else return false; if ($list = $this->Call("$ring --list-public-keys $keyID")) { $rows = explode("\n", $list); foreach ($rows as $row) if ($row && substr($row, 0, 3) != 'tru') $matrix[] = explode(':', $row); return $matrix; } else return false; } // define pubkey-related object properties from gpg status // codes ('status') or key listing ('list'). // $keyring definition is the same as in the GetList() method. // $keyID and $keyring required only in case $source = 'list' function DefineKey($source, $keyring = '', $keyID = '') { if ($source == 'status') { if (false === $status = $this->GetStatus()) { return false; } else foreach ($status as $code) { if ($code[0] == 'IMPORTED') { $this->keyID = $code[1]; // recompose primary user ID into a single string $temp = $code; unset($temp[0], $temp[1]); $this->UID = implode(' ', $temp); } else if ($code[0] == 'IMPORT_OK') { $this->keyID = substr($code[2], -16); $this->finger = $code[2]; } } return true; } else if ($source == 'list') { if (false === $list = $this->GetList($keyring, $keyID)) { return false; } else foreach ($list as $row) { if ($row[0] == 'pub') { $this->keyID = $row[4]; } else if ($row[0] == 'fpr') { $this->finger = $row[9]; } else if ($row[0] == 'uid' && !$definedUID) { $this->UID = str_replace('\x3a', ':', $row[9]); $definedUID = true; } } return true; } } ######################################################## ## Special functions ## ######################################################## // check gpg operation. mostly for debug purposes function SelfCheck() { $gpg = $this->Call('--version'); if ($gpg == true) { $gpg = substr($gpg, 0, strpos($gpg, "\n")); if (stristr($gpg, GPG_VERSION_STRING) == true) return true; else return false; } else { return false; } } // make sure an imported key is suitable for encryption. // $keyring definition is the same as in the GetList() method. // checks the following conditions are met: // - at least one encryption subkey is present, not expired, // and not revoked // - base key is not expired and not revoked // returns these error code values: // 0 - everything's okey // 1 - not suitable for encryption (encryption subkey is // absent, expired or revoked) // 2 - pubkey is unusable (expired or revoked) // 3 - no key found in GetList() output function CheckPK($keyring, $keyID) { $pubkey = false; $subkey = false; if (false == $list = $this->GetList($keyring, $keyID)) { // no key found return 3; } else foreach ($list as $row) { // check for base key usability if ($row[0] == 'pub') { if ( ($row[1] != 'r' && $row[1] != 'e') && // check for revocation/expiry status ($row[5] < time() && ($row[6] == '' || $row[6] > time())) ) // check creation and expiration dates { $pubkey = true; } } // check for subkey presence and usability else if ($row[0] == 'sub') { if ( ($row[1] != 'r' && $row[1] != 'e') && // check for revocation/expiry status (strpos($row[11], 'e') !== false) && // check that subkey is intended for encryption ($row[5] < time() && ($row[6] == '' || $row[6] > time())) ) // check creation and expiration dates { $subkey = true; } } } // return codes if ($pubkey === false) return 2; // public key is unusable if ($subkey === false) return 1; // key is not suitable for encryption // key is okey return 0; } // import key onto the temp keyring through webform for // later processing. be warned that imported key must // be processed in the current cycle before object destructor // cleans things up function UploadPK($keyblock) { // import key $this->Call("--no-default-keyring --keyring {$this->sessdir}/".GPG_TEMP_RING_NAME." --import", 'post', $keyblock); } // move selected key from a temp keyring to the main keyring. // $keyID variable is necessary to not allow passing of multiple // uploaded keys function AcceptPK($keyID) { $pack = $this->Call("--no-default-keyring --keyring {$this->sessdir}/".GPG_TEMP_RING_NAME." --export $keyID"); $this->Call("--import", 'post', $pack); } // remove selected public key from the main keyring function DeletePK($keyID) { $this->Call("--delete-key $keyID"); } // DESTRUCTOR function __destruct() { // flush session dir in the end of script execution if ($dh = opendir($this->sessdir)) { while (false !== ($filename = readdir($dh))) { if (is_dir($file = $this->sessdir.'/'.$filename) !== true) unlink($file); } closedir($dh); rmdir($this->sessdir); } } } ?>

Файл конфигурации gpg.conf

Поскольку GnuPG должен работать в полностью автономном режиме, видится необходимым следующий конфигурационный файл (корректировки?):

# Stand-alone GPG configuration for openSpace-GPG force-mdc no-greeting no-emit-version no-auto-check-trustdb no-secmem-warning trust-model always quiet batch yes armor with-colons fixed-list-mode with-fingerprint comment openSpace-GPG - http://openspace.vladmiller.info keyserver-options no-auto-key-retrieve import-options import-minimal export-options export-minimal # verify-options show-primary-uid-only # no-utf8-strings personal-cipher-preferences TWOFISH AES256 AES192 BLOWFISH CAST5 AES 3DES personal-digest-preferences SHA512 SHA384 SHA256 RIPEMD160 SHA1 MD5 personal-compress-preferences BZIP2 ZLIB ZIP Uncompressed

CGI-обертка openSpace-GPG

Идея использования пайпа для передачи данных GnuPG из стандартного ввода принадлежит ПэГусеву, за что ему особая благодарность. В остальном обертка не содержит ничего существенного:

#!/usr/bin/perl # OPENSPACE-GPG CGI WRAPPER version 0.9.5 # (c) 2007 SATtva, http://www.vladmiller.info # Originally for "openPGP in Russia" http://www.pgpru.com # Licensed under GNU General Public License (GPL) # http://opensource.org/licenses/gpl-license.php # Input processing code based on Quick Survey 1.4 # Copyright 1999-2003 CGI-Factory.com TM # A subsidiary of SiliconSoup.com LLC # Web site: http://www.cgi-factory.com # E-Mail: cgifactory@cgi-factory.com # Released Date: June 24, 2003 # Processing input if ($ENV{'REQUEST_METHOD'} eq 'GET') { @pairs = split(/&/, $ENV{'QUERY_STRING'}); } else { read(STDIN, $buffer, $ENV{'CONTENT_LENGTH'}); @pairs = split(/&/, $buffer); } foreach $pair (@pairs) { ($name, $value) = split(/=/, $pair); $name =~ tr/+/ /; $name =~ s/%([a-fA-F0-9][a-fA-F0-9])/pack("C", hex($1))/eg; $value =~ tr/+/ /; $value =~ s/%([a-fA-F0-9][a-fA-F0-9])/pack("C", hex($1))/eg; $value =~ s/\n/\s/g; if ($name && $value) { $input{$name} = $value; } } # Decomposing Base64 input (aka "quazi-STDIN") if ($input{'st'}) { use MIME::Base64 (); $pack = MIME::Base64::decode($input{'st'}); } # Envoking GPG. # Homedir and status file paths must be passed by the calling # application. # We are using piping to trick GPG into using passed data as # STDIN, thus allowing to process anything in one call with no # temporary files involved (such "STDIN" is have to be base64- # encoded). Credit for the idea goes to PeGusev @ pgpru.com. # STDOUT can be captured by the calling application for later # processing. No error code values are returned (rely on status # codes and STDERR if necessary). print "Content-Type: text/plain\n\n"; open(GPGIN, "| gpg --homedir $input{'hd'} --status-file $input{'sf'} $input{'cl'} 2>$input{'sr'}"); print GPGIN "$pack\n"; close(GPGIN);