testprogs/blackbox/test_kpasswd_mit.sh

   1 #!/bin/sh
   2 # Blackbox tests for chainging passwords with kinit and kpasswd
   3 #
   4 # Copyright (c) 2006-2007 Jelmer Vernooij <jelmer@samba.org>
   5 # Copyright (c) 2006-2008 Andrew Bartlett <abartlet@samba.org>
   6 # Copyright (c) 2016      Andreas Schneider <asn@samba.org>
   7
   8 if [ $# -lt 7 ]; then
   9         cat <<EOF
  10 Usage: test_kpasswd_mit.sh SERVER USERNAME PASSWORD REALM DOMAIN PREFIX CONFIGURATION
  11 EOF
  12         exit 1
  13 fi
  14
  15 SERVER=$1
  16 USERNAME=$2
  17 PASSWORD=$3
  18 REALM=$4
  19 DOMAIN=$5
  20 PREFIX=$6
  21 CONFIGURATION=${7}
  22 shift 7
  23 failed=0
  24
  25 samba_bindir="$BINDIR"
  26
  27 samba_kinit=kinit
  28 samba_kpasswd=kpasswd
  29
  30 smbclient="$samba_bindir/smbclient"
  31 samba_tool="$samba_bindir/samba-tool"
  32 net_tool="$samba_bindir/net ${CONFIGURATION}"
  33 texpect="$samba_bindir/texpect"
  34
  35 newuser="$samba_tool user create ${CONFIGURATION}"
  36 SMB_UNC="//$SERVER/tmp"
  37
  38 . $(dirname $0)/subunit.sh
  39 . $(dirname $0)/common_test_fns.inc
  40
  41 do_kinit()
  42 {
  43         principal="$1"
  44         password="$2"
  45         shift
  46         shift
  47         echo $password | $samba_kinit $principal
  48 }
  49
  50 UID_WRAPPER_ROOT=1
  51 export UID_WRAPPER_ROOT
  52
  53 testit "reset password policies beside of minimum password age of 0 days" \
  54         $VALGRIND $PYTHON $samba_tool domain passwordsettings set "${CONFIGURATION}" --complexity=default --history-length=default --min-pwd-length=default --min-pwd-age=0 --max-pwd-age=default || failed=$(expr $failed + 1)
  55
  56 TEST_USERNAME="$(mktemp -u samson-XXXXXX)"
  57 TEST_PASSWORD="testPaSS@00%"
  58 TEST_PASSWORD_NEW="testPaSS@01%"
  59 TEST_PASSWORD_SHORT="secret"
  60 TEST_PASSWORD_WEAK="Supersecret"
  61 TEST_PRINCIPAL="$TEST_USERNAME@$REALM"
  62
  63 testit "create user locally" \
  64         $VALGRIND $PYTHON $newuser "${CONFIGURATION}" $TEST_USERNAME $TEST_PASSWORD || failed=$(expr $failed + 1)
  65
  66 KRB5CCNAME="$PREFIX/tmpuserccache"
  67 export KRB5CCNAME
  68
  69 testit "kinit with user password" \
  70         do_kinit $TEST_PRINCIPAL $TEST_PASSWORD || failed=$(expr $failed + 1)
  71
  72 test_smbclient "Test login with user kerberos ccache" \
  73         "ls" "$SMB_UNC" --use-krb5-ccache=$KRB5CCNAME || failed=$(expr $failed + 1)
  74
  75 testit "change user password with 'samba-tool user password' (unforced)" \
  76         $VALGRIND $PYTHON $samba_tool user password -W$DOMAIN -U$TEST_USERNAME%$TEST_PASSWORD --use-kerberos=off --newpassword=$TEST_PASSWORD_NEW || failed=$(expr $failed + 1)
  77
  78 TEST_PASSWORD_OLD=$TEST_PASSWORD
  79 TEST_PASSWORD=$TEST_PASSWORD_NEW
  80 TEST_PASSWORD_NEW="testPaSS@02%"
  81
  82 testit "kinit with user password" \
  83         do_kinit $TEST_PRINCIPAL $TEST_PASSWORD || failed=$(expr $failed + 1)
  84
  85 test_smbclient "Test login with user kerberos ccache" \
  86         "ls" "$SMB_UNC" --use-krb5-ccache=$KRB5CCNAME || failed=$(expr $failed + 1)
  87
  88 ###########################################################
  89 ### check that a password mismatch is detected
  90 ###########################################################
  91
  92 cat >$PREFIX/tmpkpasswdscript <<EOF
  93 expect Password for $TEST_PRINCIPAL
  94 password ${TEST_PASSWORD}\n
  95 expect Enter new password
  96 send ${TEST_PASSWORD_WEAK}\n
  97 expect Enter it again
  98 send ${TEST_PASSWORD_NEW}\n
  99 expect kpasswd: Password mismatch while reading password
 100 EOF
 101
 102 testit_expect_failure "kpasswd check password mismatch" \
 103         $texpect $PREFIX/tmpkpasswdscript $samba_kpasswd $TEST_PRINCIPAL && failed=$(expr $failed + 1)
 104
 105 ###########################################################
 106 ### check that a short password is rejected
 107 ###########################################################
 108
 109 cat >$PREFIX/tmpkpasswdscript <<EOF
 110 expect Password for $TEST_PRINCIPAL
 111 password ${TEST_PASSWORD}\n
 112 expect Enter new password
 113 send ${TEST_PASSWORD_SHORT}\n
 114 expect Enter it again
 115 send ${TEST_PASSWORD_SHORT}\n
 116 expect Password change rejected: Password too short, password must be at least 7 characters long
 117 EOF
 118
 119 testit_expect_failure "kpasswd check short user password" \
 120         $texpect $PREFIX/tmpkpasswdscript $samba_kpasswd $TEST_PRINCIPAL && failed=$(expr $failed + 1)
 121
 122 ###########################################################
 123 ### check that a weak password is rejected
 124 ###########################################################
 125
 126 cat >$PREFIX/tmpkpasswdscript <<EOF
 127 expect Password for $TEST_PRINCIPAL
 128 password ${TEST_PASSWORD}\n
 129 expect Enter new password
 130 send ${TEST_PASSWORD_WEAK}\n
 131 expect Enter it again
 132 send ${TEST_PASSWORD_WEAK}\n
 133 expect Password change rejected: Password does not meet complexity requirement
 134 EOF
 135
 136 testit_expect_failure "kpasswd check weak user password" \
 137         $texpect $PREFIX/tmpkpasswdscript $samba_kpasswd $TEST_PRINCIPAL && failed=$(expr $failed + 1)
 138
 139 ###########################################################
 140 ### check that a strong password is accepted
 141 ###########################################################
 142
 143 cat >$PREFIX/tmpkpasswdscript <<EOF
 144 expect Password for $TEST_PRINCIPAL
 145 password ${TEST_PASSWORD}\n
 146 expect Enter new password
 147 send ${TEST_PASSWORD_NEW}\n
 148 expect Enter it again
 149 send ${TEST_PASSWORD_NEW}\n
 150 expect Password changed.
 151 EOF
 152
 153 testit "kpasswd change user password" \
 154         $texpect $PREFIX/tmpkpasswdscript $samba_kpasswd $TEST_PRINCIPAL || failed=$(expr $failed + 1)
 155
 156 TEST_PASSWORD=$TEST_PASSWORD_NEW
 157 TEST_PASSWORD_NEW="testPaSS@03%"
 158
 159 test_smbclient "Test login with user kerberos" 'ls' "$SMB_UNC" --use-kerberos=required -U$TEST_PRINCIPAL%$TEST_PASSWORD || failed=$(expr $failed + 1)
 160
 161 ###########################################################
 162 ### Force password change at login
 163 ###########################################################
 164
 165 testit "set password on user locally" \
 166         $VALGRIND $PYTHON $samba_tool user setpassword $TEST_USERNAME "${CONFIGURATION}" --newpassword=$TEST_PASSWORD_NEW --must-change-at-next-login || failed=$(expr $failed + 1)
 167
 168 TEST_PASSWORD=$TEST_PASSWORD_NEW
 169 TEST_PASSWORD_NEW="testPaSS@04%"
 170
 171 cat >$PREFIX/tmpkinitscript <<EOF
 172 expect Password for $TEST_PRINCIPAL
 173 password ${TEST_PASSWORD}\n
 174 expect Password expired
 175 expect Enter new password
 176 send ${TEST_PASSWORD_NEW}\n
 177 expect Enter it again
 178 send ${TEST_PASSWORD_NEW}\n
 179 EOF
 180
 181 testit "kinit and change user password" \
 182         $texpect $PREFIX/tmpkinitscript $samba_kinit $TEST_PRINCIPAL || failed=$(expr $failed + 1)
 183
 184 TEST_PASSWORD=$TEST_PASSWORD_NEW
 185 TEST_PASSWORD_NEW="testPaSS@05%"
 186
 187 test_smbclient "Test login with user kerberos" \
 188         "ls" "$SMB_UNC" --use-kerberos=required -U$TEST_PRINCIPAL%$TEST_PASSWORD || failed=$(expr $failed + 1)
 189
 190 ###########################################################
 191 ### Test kpasswd service via 'net ads password'
 192 ###########################################################
 193
 194 testit "change user password with 'net ads password', admin: $DOMAIN/$TEST_USERNAME, target: $TEST_PRINCIPAL" \
 195         $VALGRIND $net_tool ads password -W$DOMAIN -U$TEST_PRINCIPAL%$TEST_PASSWORD $TEST_PRINCIPAL "$TEST_PASSWORD_NEW" || failed=$(expr $failed + 1)
 196
 197 #TEST_PASSWORD=$TEST_PASSWORD_NEW
 198 #TEST_PASSWORD_NEW="testPaSS@06%"
 199
 200 #test_smbclient "Test login with smbclient (ntlm)" \
 201 #       "ls" "$SMB_UNC" --use-kerberos=disabled -U$TEST_PRINCIPAL%$TEST_PASSWORD || failed=`expr $failed + 1`
 202
 203 ###########################################################
 204 ### Test kpasswd service via 'net ads password' as admin
 205 ###########################################################
 206
 207 testit "set user password with 'net ads password', admin: $DOMAIN/$USERNAME, target: $TEST_PRINCIPAL" \
 208         $VALGRIND $net_tool ads password -W$DOMAIN -U$USERNAME@$REALM%$PASSWORD $TEST_PRINCIPAL "$TEST_PASSWORD_NEW" || failed=$(expr $failed + 1)
 209
 210 TEST_PASSWORD=$TEST_PASSWORD_NEW
 211 TEST_PASSWORD_NEW="testPaSS@07%"
 212
 213 test_smbclient "Test login with smbclient (ntlm)" \
 214         "ls" "$SMB_UNC" --use-kerberos=disabled -U$TEST_PRINCIPAL%$TEST_PASSWORD || failed=$(expr $failed + 1)
 215
 216 ###########################################################
 217 ### Cleanup
 218 ###########################################################
 219
 220 testit "reset password policies" \
 221         $VALGRIND $PYTHON $samba_tool domain passwordsettings set "${CONFIGURATION}" --complexity=default --history-length=default --min-pwd-length=default --min-pwd-age=default --max-pwd-age=default || failed=$(expr $failed + 1)
 222
 223 testit "delete user" \
 224         $VALGRIND $PYTHON $samba_tool user delete $TEST_USERNAME -U"$USERNAME%$PASSWORD" "${CONFIGURATION}" --use-kerberos=off || failed=$(expr $failed + 1)
 225
 226 rm -f $PREFIX/tmpuserccache $PREFIX/tmpkpasswdscript $PREFIX/tmpkinitscript
 227 exit $failed