WebSVN – oidplus – Diff – /trunk/includes/classes/OIDplus.class.php

                         $out = self::$system_id_cache;
                 } else {
                         $out = false;
                         if (self::getPkiStatus(true)) {
-                                $pubKey = OIDplus::config()->getValue('oidplus_public_key');
+                                $pubKey = OIDplus::getSystemPublicKey();
                                 $out = self::getSystemIdFromPubKey($pubKey);
+                        }
                         self::$system_id_cache = $out;
+                }
                 if (!$out) return false;
                 // Bug reports are more than 10 years old and nobody cares...
                 // Use our own config file
                 return __DIR__.'/../../vendor/phpseclib/phpseclib/phpseclib/openssl.cnf';
+        }
+        private static function getPrivKeyPassphraseFilename() {
+                return OIDplus::localpath() . 'userdata/privkey_secret.php';
+        }
+        private static function tryCreatePrivKeyPassphrase() {
+                $file = self::getPrivKeyPassphraseFilename();
+                $passphrase = generateRandomString(64);
+                $cont = "<?php\n";
+                $cont .= "// ATTENTION! This file was automatically generated by OIDplus to encrypt the private key\n";
+                $cont .= "// that is located in your database configuration table. DO NOT ALTER OR DELETE THIS FILE,\n";
+                $cont .= "// otherwise you will lose your OIDplus System-ID and all services connected with it!\n";
+                $cont .= "\$passphrase = '$passphrase';\n";
+                $cont .= "// End of file\n";
+                @file_put_contents($file, $cont);
+        }
+        private static function getPrivKeyPassphrase() {
+                $file = self::getPrivKeyPassphraseFilename();
+                if (!file_exists($file)) return false;
+                $cont = file_get_contents($file);
+                $m = array();
+                if (!preg_match("@'(.+)'@isU", $cont, $m)) return false;
+                return $m[1];
+        }
+        public static function getSystemPrivateKey() {
+                $privKey = OIDplus::config()->getValue('oidplus_private_key');
+                if ($privKey == '') return false;
+                $passphrase = self::getPrivKeyPassphrase();
+                if ($passphrase !== false) {
+                        $privKey = decrypt_private_key($privKey, $passphrase);
+                }
+                if (is_privatekey_encrypted($privKey)) {
+                        // This can happen if the key file has vanished
+                        return false;
+                }
+                return $privKey;
+        }
+        public static function getSystemPublicKey() {
+                $pubKey = OIDplus::config()->getValue('oidplus_public_key');
+                if ($pubKey == '') return false;
+                return $pubKey;
+        }
         public static function getPkiStatus($try_generate=false) {
                 if (!function_exists('openssl_pkey_new')) return false;
+                if ($try_generate) {
-                // For debug purposes: Invalidate current key
+                        // For debug purposes: Invalidate current key once:
-                //OIDplus::config()->setValue('oidplus_private_key', '');
+                        //OIDplus::config()->setValue('oidplus_private_key', '');
-                $privKey = OIDplus::config()->getValue('oidplus_private_key');
+                        $privKey = OIDplus::getSystemPrivateKey();
-                $pubKey = OIDplus::config()->getValue('oidplus_public_key');
+                        $pubKey = OIDplus::getSystemPublicKey();
+                        if (!verify_private_public_key($privKey, $pubKey)) {
+                                if ($pubKey) {
+                                        OIDplus::logger()->log("[WARN]A!", "The private/public key-pair is broken. A new key-pair will now be generated for your system. Your System-ID will change.");
+                                }
-                if ($try_generate && !verify_private_public_key($privKey, $pubKey)) {
-                        $pkey_config = array(
+                                $pkey_config = array(
-                            "digest_alg" => "sha512",
+                                    "digest_alg" => "sha512",
-                            "private_key_bits" => defined('OPENSSL_SUPPLEMENT') ? 1024 : 2048, // openssl_supplement.inc.php is based on phpseclib, which is very slow. So we use 1024 bits instead of 2048 bits
+                                    "private_key_bits" => defined('OPENSSL_SUPPLEMENT') ? 1024 : 2048, // openssl_supplement.inc.php is based on phpseclib, which is very slow. So we use 1024 bits instead of 2048 bits
-                            "private_key_type" => OPENSSL_KEYTYPE_RSA,
+                                    "private_key_type" => OPENSSL_KEYTYPE_RSA,
-                            "config" => OIDplus::getOpenSslCnf()
+                                    "config" => OIDplus::getOpenSslCnf()
-                        // Create the private and public key
+                                // Create the private and public key
-                        $res = openssl_pkey_new($pkey_config);
+                                $res = openssl_pkey_new($pkey_config);
-                        if ($res === false) return false;
+                                if ($res === false) return false;
-                        // Extract the private key from $res to $privKey
+                                // Extract the private key from $res to $privKey
-                        // TODO: Should we password-protect it? e.g. with OIDplus-Server-Secret
-                        if (openssl_pkey_export($res, $privKey, null, $pkey_config) === false) return false;
+                                if (openssl_pkey_export($res, $privKey, null, $pkey_config) === false) return false;
-                        // Extract the public key from $res to $pubKey
+                                // Extract the public key from $res to $pubKey
-                        $tmp = openssl_pkey_get_details($res);
+                                $tmp = openssl_pkey_get_details($res);
-                        if ($tmp === false) return false;
+                                if ($tmp === false) return false;
-                        $pubKey = $tmp["key"];
+                                $pubKey = $tmp["key"];
+                                // encrypt new keys using a passphrase stored in a secret file
+                                self::tryCreatePrivKeyPassphrase(); // *try* (re)generate this file
+                                $passphrase = self::getPrivKeyPassphrase();
-                        // Log
+                                if ($passphrase !== false) {
-                        OIDplus::logger()->log("[INFO]A!", "Generating new SystemID using a new key pair");
+                                        $privKey = encrypt_private_key($privKey, $passphrase);
+                                }
+                                // Calculate the system ID from the public key
+                                $system_id = self::getSystemIdFromPubKey($pubKey);
+                                if ($system_id !== false) {
-                        // Save the key pair to database
+                                        // Save the key pair to database
-                        OIDplus::config()->setValue('oidplus_private_key', $privKey);
+                                        OIDplus::config()->setValue('oidplus_private_key', $privKey);
-                        OIDplus::config()->setValue('oidplus_public_key', $pubKey);
+                                        OIDplus::config()->setValue('oidplus_public_key', $pubKey);
-                        // Log the new system ID
+                                        // Log the new system ID
+                                        OIDplus::logger()->log("[INFO]A!", "A new private/public key-pair for your system had been generated. Your SystemID is now $system_id");
+                                }
+                        } else {
-                        $system_id = self::getSystemIdFromPubKey($pubKey);
+                                $passphrase = self::getPrivKeyPassphrase();
+                                if (($passphrase === false) || !is_privatekey_encrypted($privKey)) {
+                                        // Upgrade to new encrypted keys
+                                        self::tryCreatePrivKeyPassphrase(); // *try* generate this file
+                                        $passphrase = self::getPrivKeyPassphrase();
-                        if ($system_id !== false) {
+                                        if ($passphrase !== false) {
+                                                $privKey = encrypt_private_key($privKey, $passphrase);
+                                                OIDplus::logger()->log("[INFO]A!", "The private/public key-pair has been upgraded to an encrypted key-pair. The key is saved in ".self::getPrivKeyPassphraseFilename());
-                                OIDplus::logger()->log("[INFO]A!", "Your SystemID is now $system_id");
+                                                OIDplus::config()->setValue('oidplus_private_key', $privKey);
+                                        }
+                                }
+                        }
+                }
+                $privKey = OIDplus::getSystemPrivateKey();
+                $pubKey = OIDplus::getSystemPublicKey();
                 return verify_private_public_key($privKey, $pubKey);
+        }
         public static function getInstallType() {
                 $counter = 0;

Subversion Repositories oidplus

oidplus/trunk/includes/classes/OIDplus.class.php – Rev 827 → 830