Beyond Linux® From Scratch (systemd Utgave) - Versjon 12.2

Chapter 4. Sikkerhet

GnuTLS-3.8.7.1

Introduksjon til GnuTLS

GnuTLS pakken inneholder biblioteker og brukerromsverktøy som gir et sikkert lag over et pålitelig transport lag. For tiden GnuTLS biblioteket implementerer de foreslåtte standardene av IETFs TLS arbeidsgruppe. Siterer fra TLS 1.3 protokollspesifikasjon :

“ TLS lar klient/server-applikasjoner kommunisere over Internett på en måte som er utformet for å forhindre avlytting, tukling og meldingsforfalskning. ”

GnuTLS gir støtte for TLS 1.3, TLS 1.2, TLS 1.1, TLS 1.0 og (valgfritt) SSL 3.0-protokoller. Den støtter også TLS utvidelser, inkludert servernavn og maksimal poststørrelse. I tillegg, støtter biblioteket autentisering ved hjelp av SRP protokollen, X.509 sertifikater og OpenPGP nøkler, sammen med støtte for TLS Pre-Shared-Keys (PSK) utvidelse, den indre applikasjonen (TLS/IA) utvidelse, og X.509 og OpenPGP sertifikathåndtering.

Denne pakken er kjent for å bygge og fungere riktig ved å bruke en LFS 12.2 plattform.

Pakkeinformasjon

[Note]

Note

Når du pakker ut denne pakkens tarball, pakker den ut til gnutls-3.8.7 mappen, i stedet for den forventede gnutls-3.8.7.1 mappen.

GnuTLS Avhengigheter

Påkrevd

Nettle-3.10

Anbefalt

make-ca-1.14, libunistring-1.2, libtasn1-4.19.0, og p11-kit-0.25.5

Valgfri

Brotli-1.1.0, Doxygen-1.12.0, GTK-Doc-1.34.0, libidn-1.42 eller libidn2-2.3.7, libseccomp-2.5.5, Net-tools-2.10 (brukt under testpakken), texlive-20240312 eller install-tl-unx, Unbound-1.21.0 (for å bygge DANE biblioteket), Valgrind-3.23.0 (brukt under testpakken), autogen, cmocka og datefudge (brukt under testpakken hvis DANE bibliteket er bygget), og Trousers (Trusted Platform Module støtte)

[Note]

Note

Merk at hvis du ikke installerer libtasn1-4.19.0, en versjon sendt i GnuTLS tarballen blir brukt i stedet.

Installasjon av GnuTLS

Installer GnuTLS ved å kjøre følgende kommandoer: 

./configure --prefix=/usr \
            --docdir=/usr/share/doc/gnutls-3.8.7.1 \
            --with-default-trust-store-pkcs11="pkcs11:" &&
make

En test henger testprosedyren. Deaktiver den: sed '/ocsp-must-staple-connection/d' -i tests/Makefile. For å teste resultatene, utsted nå: make check.

Installer nå pakken som root bruker: 

make install

Parameterforklaringer

--with-default-trust-store-pkcs11="pkcs11:": Denne bryteren ber gnutls om å bruke PKCS #11 tillitslageret som standard tillit. Utelat denne bryteren hvis p11-kit-0.25.5 ikke er installert.

--with-default-trust-store-file=/etc/pki/tls/certs/ca-bundle.crt: Denne bryteren forteller configure hvor man finner eldre CA sertifikatbunter og bruke den i stedet for PKCS #11 modulen som standard. Bruk denne hvis p11-kit-0.25.5 ikke er installert.

--enable-gtk-doc: Bruk denne parameteren hvis GTK-Doc er installert og du ønsker å gjenoppbygge og installer API dokumentasjonen.

--enable-openssl-compatibility: Bruk denne bryteren hvis du ønsker å bygge OpenSSL kompatibilitetsbiblioteket.

--without-p11-kit: bruk denne bryteren hvis du ikke har installert p11-kit.

--with-included-unistring: bruker den medfølgende versjonen av libunistring, i stedet for systems. Bruk denne bryteren hvis du ikke har installert libunistring-1.2.

--disable-dsa: deaktiverer støtte for DSA algoritme fullstendig.

Innhold

Installerte Programmer: certtool, danetool, gnutls-cli, gnutls-cli-debug, gnutls-serv, ocsptool, p11tool, psktool, og srptool
Installerte Biblioteker: libgnutls.so, libgnutls-dane.so, libgnutlsxx.so, og libgnutls-openssl.so (valgfri)
Installerte Mapper: /usr/include/gnutls og /usr/share/doc/gnutls-3.8.7.1

Korte Beskrivelser

certtool

brukes til å generere X.509 sertifikater, sertifikatforespørsler, og private nøkler

danetool

er et verktøy som brukes til å generere og sjekke DNS-ressursposter for DANE protokollen

gnutls-cli

er et enkelt klientprogram for å sette opp en TLS tilkobling til en annen datamaskin

gnutls-cli-debug

er et enkelt klientprogram for å sette opp en TLS-tilkobling til en annen datamaskin og gir svært detaljerte fremdriftsresultater

gnutls-serv

er et enkelt serverprogram som lytter til innkommende TLS forbindelser

ocsptool

er et program som kan analysere og skrive ut informasjon om OCSP forespørsler/svar, generere forespørsler og verifisere svar

p11tool

er et program som tillater håndtering av data fra PKCS #11 smartkort og sikkerhetsmoduler

psktool

er et enkelt program som genererer tilfeldige nøkler for bruk med TLS-PSK

srptool

er et enkelt program som emulerer programmene i Stanford SRP biblioteker (Secure Remote Password) som bruker GnuTLS

libgnutls.so

inneholder kjerne API funksjonene og X.509 sertifikat API funksjonene