website/news/modified-gnutls-2.4.x-available.mdwn

   1 [[meta title="Modified GnuTLS 2.4.x available"]]
   2
   3 -----
   4
   5 **2008-10-25 UPDATE:** [GnuTLS 2.6 has been released, and it contains the
   6 functionality we needed](/news/gnutls-2.6-enables-monkeysphere).
   7 Please upgrade to GnuTLS 2.6 if you need Monkeysphere to deal with
   8 passphrase-protected authentication subkeys.  The information on this
   9 page is now of historical interest only.
  10
  11 -----
  12
  13 The MonkeySphere project is now making available a patched version of
  14 [GnuTLS](http://gnutls.org/) version 2.4.x, which enhances the utility
  15 of the `monkeysphere` package by enabling it to read authentication
  16 subkeys emitted by [GnuPG](http://gnupg.org/) under certain
  17 circumstances.
  18
  19 You can track this package in debian lenny by adding the following
  20 lines to `/etc/apt/sources.list`:
  21
  22         deb http://archive.monkeysphere.info/debian experimental gnutls
  23         deb-src http://archive.monkeysphere.info/debian experimental gnutls
  24
  25 Or you can patch and build the packages yourself with the patches and
  26 scripts provided in [the MonkeySphere git repo](/download).
  27
  28 The only modification needed simply enables the library to parse a GNU
  29 extension to the String-to-key (S2K) mechanism as laid out in [RFC
  30 4880](http://tools.ietf.org/html/rfc4880#section-3.7).
  31
  32 The specific S2K extension supported is known as gnu-dummy, and it
  33 simply allows a "secret" key block to be written *without* storing any
  34 of the secret key material.  This is used by GnuPG on the primary key
  35 when the `--export-secret-subkeys` argument is given.
  36
  37 GnuPG's [DETAILS
  38 file](http://cvs.gnupg.org/cgi-bin/viewcvs.cgi/trunk/doc/DETAILS?root=GnuPG)
  39 describes this extension this way:
  40
  41         GNU extensions to the S2K algorithm
  42         ===================================
  43         S2K mode 101 is used to identify these extensions.
  44         After the hash algorithm the 3 bytes "GNU" are used to make
  45         clear that these are extensions for GNU, the next bytes gives the
  46         GNU protection mode - 1000.  Defined modes are:
  47           1001 - do not store the secret part at all
  48           1002 - a stub to access smartcards (not used in 1.2.x)
  49
  50 And [`gpg(1)`](http://linux.die.net/man/1/gpg) says of `--export-secret-subkeys`:
  51
  52
  53         [This] command has the special property to render the secret
  54         part of the primary key useless; this is a GNU extension to
  55         OpenPGP and other implementations can not be expected to
  56         successfully import such a key.
  57
  58 A version of this patch was first proposed [on
  59 `gnutls-dev`](http://lists.gnu.org/archive/html/gnutls-devel/2008-08/msg00005.html),
  60 and looks like it will be adopted upstream in the GnuTLS 2.6.x series,
  61 at which point these packages will be unnecessary.
  62
  63 Until that time, these packages are provided to tide over users of
  64 `monkeysphere` on debian lenny (or compatible systems) who want to be
  65 able to hand off the authentication-capable OpenPGP subkeys in their
  66 GnuPG keyring to their SSH agent.