Au-delà de Linux® From Scratch (édition systemd) - Version 11.0

Chapitre 4. Sécurité

GnuTLS-3.7.2

Introduction à GnuTLS

Le paquet GnuTLS contient une bibliothèque et des outils utilisateur qui offre une couche sécurisée pour une couche de transport fiable. La bibliothèque GnuTLS implémente actuellement les standards proposés par le groupe de travail TLS de l'IETF. Pour citer la spécification du protocole TLS :

« Le protocole TLS offre de rendre confidentielles les communications sur Internet. Le protocole permet aux applications client/serveur de communiquer d'une manière conçue pour empêcher les indiscrétions (écoutes), la falsification ou la contrefaçon de messages. »

GnuTLS fournit un support pour les protocoles TLS 1.3, TLS 1.2, TLS 1.1,TLS 1.0, et SSL 3.0, les extensions TLS, y compris les noms de serveur et la taille d'enregistrement maximale. En outre, la bibliothèque supporte l'authentification en utilisant le protocole SRP, les certificats X.509 et les clés OpenPGP, tout en supportant l'extension TLS Pre-Shared-Keys (PSK, clés pré-partagées TLS), l'extension d'application Inner (TLS/IA) et la gestion des certificats X.509 et OpenPGP.

This package is known to build and work properly using an LFS-11.0 platform.

Informations sur le paquet

Dépendances de GnuTLS

Requises

Nettle-3.7.3

Recommandées

make-ca-1.7, libunistring-0.9.10, libtasn1-4.17.0 et p11-kit-0.24.0

Facultatives

Doxygen-1.9.2, GTK-Doc-1.33.2, Guile-3.0.7, libidn-1.38 ou libidn2-2.3.2, libseccomp-2.5.1, Net-tools-2.10 (utilisé pendant la suite de tests), texlive-20210325 ou install-tl-unx, Unbound-1.13.2 (pour construire la bibliothèque DANE), Valgrind-3.17.0 (utilisé pendant la suite de tests), autogen, cmocka et datefudge (utilisé pendant la suite de tests si la bibliothèque DANE est construite) et Trousers (prise en charge du « Trusted Platform Module »)

[Note]

Note

Remarquez que si vous n’avez pas installé libtasn1-4.17.0, une ancienne version chargée dans l'archive de GnuTLS sera utilisée à la place.

Notes utilisateur : https://wiki.linuxfromscratch.org/blfs/wiki/gnutls

Installation de GnuTLS

Installez GnuTLS en lançant les commandes suivantes : 

./configure --prefix=/usr \
            --docdir=/usr/share/doc/gnutls-3.7.2 \
            --disable-guile \
            --disable-rpath \
            --with-default-trust-store-pkcs11="pkcs11:" &&
make

Pour tester les résultats lancez : make check.

Maintenant, en tant qu'utilisateur root : 

make install

Si vous passez le paramètre --enable-gtk-doc dans le script configure, l'API sera automatiquement installée. Cependant, si vous le souhaitez, vous pouvez installer la documentation de l'API dans le répertoire /usr/share/gtk-doc/html/gnutls en utilisant la commande suivante en tant qu'utilisateur root : 

make -C doc/reference install-data-local

Explication des commandes

--with-default-trust-store-pkcs11="pkcs11:" : Ce paramètre dit à gnutls d'utiliser le magasin de confiance PKCS #11 par défaut. N'utilisez pas ce paramètre si p11-kit-0.24.0 n'est pas installé.

--disable-guile : Ce paramètre désactive la prise en charge de Guile, comme GnuTLS ne prend pas encore en charge Guile-2.2.x.

--disable-rpath : ce paramètre évite de construire les utilitaires GnuTLS et les tests avec des chemins de recherche de bibliothèques codés en dur. Il est inutile de coder en dur des rpath dans BLFS et cela cause des échecs aux tests si une ancienne version de GnuTLS est déjà installée.

--with-default-trust-store-file=/etc/pki/tls/certs/ca-bundle.crt : Ce paramètre indique à configure ou trouver le vieil ensemble de certificats CA et de l'utiliser au lieu du module PKCS #11 par défaut. Utilisez ce paramètre si p11-kit-0.24.0 n'est pas installé.

--enable-gtk-doc : Utilisez ce paramètre si GTK-Doc est installé et si vous souhaitez reconstruire et installer la documentation de l'API.

--enable-openssl-compatibility : Utilisez ce paramètre si vous souhaitez construire la bibliothèque de compatibilité OpenSSL.

--without-p11-kit : utilisez ce paramètre si vous n'avez pas installé p11-kit.

--with-included-unistring : utilise la version incluse de libunistring plutôt que celle du système. Utilisez cette option si vous n'avez pas installé libunistring-0.9.10.

Contenu

Programmes installés: certtool, danetool, gnutls-cli, gnutls-cli-debug, gnutls-serv, ocsptool, p11tool, psktool et srptool
Bibliothèques installées: libgnutls.so, libgnutls-dane.so, libgnutlsxx.so et libgnutls-openssl.so (facultatif)
Répertoires installés: /usr/include/gnutls, /usr/share/gtk-doc/html/gnutls et /usr/share/doc/gnutls-3.7.2

Descriptions courtes

certtool

est utilisé pour générer des certificats X.509, des requêtes de certificat et des clés privées

danetool

est un outil utilisé pour générer et vérifier les enregistrements des ressources DNS pour le protocole DANE

gnutls-cli

est un client simple pour paramétrer une connexion TLS vers un autre ordinateur

gnutls-cli-debug

est un client simple pour paramétrer une connexion TLS à un autre ordinateur et produit des résultats de progression très verbeux

gnutls-serv

est un serveur simple qui écoute les connexions TLS entrantes

ocsptool

est un programme qui peut analyser et afficher des informations sur les requêtes/réponses OCSP, générer des requêtes et vérifier les réponses

p11tool

est un programme qui permet de gérer les données des cartes smart PKCS #11 et des modules de sécurité

psktool

est un programme simple générant des clés aléatoires pour une utilisation avec TLS-PSK

srptool

est un programme simple qui émule les programmes dans les bibliothèques SRP (Secure Remote Password, mot de passe distant sécurisé) de Stanford en utilisant GNU TLS

libgnutls.so

contient les fonctions de l'API du cœur et les fonctions de l'API du certificat X.509

Last updated on