-
Notifications
You must be signed in to change notification settings - Fork 0
/
Copy pathmakefile
301 lines (219 loc) · 8.79 KB
/
makefile
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
82
83
84
85
86
87
88
89
90
91
92
93
94
95
96
97
98
99
100
101
102
103
104
105
106
107
108
109
110
111
112
113
114
115
116
117
118
119
120
121
122
123
124
125
126
127
128
129
130
131
132
133
134
135
136
137
138
139
140
141
142
143
144
145
146
147
148
149
150
151
152
153
154
155
156
157
158
159
160
161
162
163
164
165
166
167
168
169
170
171
172
173
174
175
176
177
178
179
180
181
182
183
184
185
186
187
188
189
190
191
192
193
194
195
196
197
198
199
200
201
202
203
204
205
206
207
208
209
210
211
212
213
214
215
216
217
218
219
220
221
222
223
224
225
226
227
228
229
230
231
232
233
234
235
236
237
238
239
240
241
242
243
244
245
246
247
248
249
250
251
252
253
254
255
256
257
258
259
260
261
262
263
264
265
266
267
268
269
270
271
272
273
274
275
276
277
278
279
280
281
282
283
284
285
286
287
288
289
290
291
292
293
294
295
296
297
298
299
300
301
.EXPORT_ALL_VARIABLES:
.ONESHELL:
.SILENT:
MAKEFLAGS += --no-builtin-rules --no-builtin-variables
###############################################################################
# Examples:
# > make COMMON_NAME=example.com
# > make COMMON_NAME=example.com SUBJECT_ALT_NAME=example.org
###############################################################################
COMMON_NAME ?=
SUBJECT_ALT_NAME ?=
ifdef COMMON_NAME
ifndef SUBJECT_ALT_NAME
SUBJECT_ALT_NAME := DNS:$(COMMON_NAME)
endif
endif
###############################################################################
# Settings
###############################################################################
GPG_KEY ?= 1A4A6FC0BB90A4B5F2A11031E577D405DD6ABEA5
pkey_pass_size := 64
openssl_version := $(shell openssl version)
make_version := $(shell make --version | head -n 1)
gpg_version := $(shell gpg --version | head -n 1)
###############################################################################
# Errors Check
###############################################################################
ifeq ($(shell which openssl),)
$(error Missing command 'openssl'. https://www.openssl.org/)
endif
ifeq ($(shell which gpg),)
$(error Missing command 'gpg'. https://gnupg.org/)
endif
###############################################################################
# General Targets
###############################################################################
.PHONY: default clean settings
default: settings root signing server
settings: $(dirs)
$(call header,Certificate)
$(call var,COMMON_NAME,$(COMMON_NAME))
$(call var,SUBJECT_ALT_NAME,$(SUBJECT_ALT_NAME))
$(call header,Encryption Key)
$(call var,GPG_KEY,$(GPG_KEY))
$(call header,Software)
$(call var,OpenSSL,$(openssl_version))
$(call var,Make,$(make_version))
$(call var,GPG,$(gpg_version))
clean: prompt-delete
$(call header,Cleaning PKI DB)
-rm -rf ca crl certs .initialized
$(MAKE) db
dirs := ca/root/db ca/signing/db certs
$(dirs):
mkdir -p $(@)
###############################################################################
# Root PKI
###############################################################################
root_db := ca/root/db/root.db ca/root/db/root.db.attr
root_asc := ca/root.asc
root_key := ca/root.key
root_csr := ca/root.csr
root_crt := ca/root.crt
$(root_db): $(dirs)
touch $(@)
$(root_asc):
$(call gen_pass,$(pkey_pass_size)) > $(@)
$(root_key): $(root_asc)
openssl genpkey -algorithm RSA -pkeyopt rsa_keygen_bits:4096 -aes-256-cbc -pass pass:$(shell gpg -dq $(root_asc)) -out $(@)
$(root_csr): $(root_key)
openssl req -new -config etc/root.conf -key $(root_key) -passin pass:$(shell gpg -dq $(root_asc)) -out $(@)
$(root_crt): $(root_csr)
openssl ca -selfsign -rand_serial -config etc/root.conf -in $(root_csr) -extensions root_ca_ext -passin pass:$(shell gpg -dq $(root_asc)) -out $(@)
$(call clean_cert,$(@))
###############################################################################
# Signing PKI
###############################################################################
signing_db := ca/signing/db/signing.db ca/signing/db/signing.db.attr
signing_asc := ca/signing.asc
signing_key := ca/signing.key
signing_csr := ca/signing.csr
signing_crt := ca/signing.crt
$(signing_db): $(dirs)
touch $(@)
$(signing_asc): $(root_crt)
$(call gen_pass,$(pkey_pass_size)) > $(@)
$(signing_key): $(signing_asc)
openssl genpkey -algorithm RSA -pkeyopt rsa_keygen_bits:4096 -aes-256-cbc -pass pass:$(shell gpg -dq $(signing_asc)) -out $(@)
$(signing_csr): $(signing_key)
openssl req -new -config etc/signing.conf -key $(signing_key) -passin pass:$(shell gpg -dq $(signing_asc)) -out $(@)
$(signing_crt): $(signing_csr)
openssl ca -rand_serial -config etc/root.conf -in $(signing_csr) -extensions signing_ca_ext -passin pass:$(shell gpg -dq $(root_asc)) -out $(@)
$(call clean_cert,$(@))
###############################################################################
# CA certificates
###############################################################################
root_ca := certs/ca-certificates.crt
$(root_ca): $(root_crt) $(signing_crt)
cat $(root_crt) $(signing_crt) > $(@)
###############################################################################
# Servers PKI
###############################################################################
server_asc := certs/$(COMMON_NAME).asc
server_key := certs/$(COMMON_NAME).key
server_csr := certs/$(COMMON_NAME).csr
server_crt := certs/$(COMMON_NAME).crt
server_p12 := certs/$(COMMON_NAME).p12
$(server_asc):
$(call gen_pass,15) > $(@)
$(server_key): $(server_asc)
openssl genpkey -algorithm RSA -pkeyopt rsa_keygen_bits:2048 -aes-256-cbc -pass pass:$(shell gpg -dq $(server_asc)) -out $(@)
$(server_csr): $(server_key)
openssl req -new -config etc/server.conf -key $(server_key) -passin pass:$(shell gpg -dq $(server_asc)) -out $(@)
$(server_crt): $(signing_crt) $(server_csr)
openssl ca -rand_serial -config etc/signing.conf -in $(server_csr) -extensions server_ext -passin pass:$(shell gpg -dq $(signing_asc)) -out $(@)
$(call clean_cert,$(@))
$(server_p12): $(server_key) $(server_crt) $(root_ca)
openssl pkcs12 -export -legacy -inkey $(server_key) -in $(server_crt) -chain -CAfile $(root_ca) -name $(COMMON_NAME) -passout pass:$(shell gpg -dq $(server_asc)) -passin pass:$(shell gpg -dq $(server_asc)) -out $(@)
db: $(root_db) $(signing_db)
root: $(root_crt)
signing: $(signing_crt)
ifdef COMMON_NAME
.PHONY: show-pass show-key show-csr show-crt show-p12
server: prompt-create $(root_ca) $(server_crt) $(server_p12)
show-pass:
gpg -dq $(server_asc)
show-key:
openssl pkey -in $(server_key) -passin pass:$(shell gpg -dq $(server_asc))
show-csr:
openssl req -text -noout -in $(server_csr)
show-crt:
openssl x509 -text -noout -in $(server_crt)
show-p12:
openssl pkcs12 -noenc -legacy -info -in $(server_p12) -passin 'pass:$(shell gpg -dq $(server_asc))'
else
server: $(root_ca)
endif
###############################################################################
# General Targets
###############################################################################
init_files := $(root_asc) $(root_key) $(root_csr) $(root_crt) $(signing_asc) $(signing_key) $(signing_csr) $(signing_crt) $(root_ca) $(server_asc) $(server_key) $(server_csr) $(server_crt) $(server_p12)
.initialized:
$(call header,Initialize PKI DB)
for file in $(init_files); do
test -f $${file} && touch $${file} && echo $${file} && sleep 1
done
touch $(@)
init:
rm -rf .initialized
$(MAKE) .initialized
###############################################################################
# NSSDB
###############################################################################
nssdb := ~/.pki/nssdb
.PHONY: nssdb-import nssdb-list nssdb-clean
.nssdb-import-ca: $(root_crt) $(signing_crt)
certutil -A -n "RootCA" -t "CT,C,C" -i $(root_crt) -d $(nssdb)
certutil -A -n "SigningCA" -t "C,C,C" -i $(signing_crt) -d $(nssdb)
touch $(@)
nssdb-import: .nssdb-import-ca $(server_p12)
pk12util -i $(server_p12) -W $(shell gpg -dq $(server_asc)) -d $(nssdb)
nssdb-list:
certutil -L -d $(nssdb)
nssdb-clean:
certutil -D -n "RootCA" -d $(nssdb)
certutil -D -n "SigningCA" -d $(nssdb)
certutil -D -n $(COMMON_NAME) -d $(nssdb)
rm .nssdb-import-ca
###############################################################################
# Functions
###############################################################################
define clean_cert
openssl x509 -outform PEM -in $(1) -out $(1)
endef
define gen_pass
gpg --gen-random --armor 1 128 | tr -d '/=+' | cut -c -$(1) | tr -d '[:space:]' | gpg -e -r $(GPG_KEY)
endef
###############################################################################
# Repo Version
###############################################################################
.PHONY: version
version:
version=$$(date +%Y.%m.%d-%H%M)
echo "$$version" >| VERSION
$(call header,Version: $$(cat VERSION))
git add --all
commit: version
git commit -m "$$(cat VERSION)"
release: commit
version=$$(date +%Y.%m.%d)
gh release create "$$version" *.mp4 -t "$$version" -n "$$version"
git push
###############################################################################
# Colors and Headers
###############################################################################
black := \033[30m
red := \033[31m
green := \033[32m
yellow := \033[33m
blue := \033[34m
magenta := \033[35m
cyan := \033[36m
white := \033[37m
reset := \033[0m
define header
echo "$(blue)==> $(1) <==$(reset)"
endef
define help
echo "$(green)$(1)$(reset) - $(white)$(2)$(reset)"
endef
define var
echo "$(magenta)$(1)$(reset): $(yellow)$(2)$(reset)"
endef
prompt-create:
echo -n "$(blue)Create Certificates?$(reset) $(white)(yes/no)$(reset)"
read -p ": " answer && [ "$$answer" = "yes" ] || exit 1
prompt-delete:
echo -n "$(blue)Delete PKI DB?$(reset) $(yellow)(yes/no)$(reset)"
read -p ": " answer && [ "$$answer" = "yes" ] || exit 1