Merge pull request #100 from ktdreyer/kadmin-systemd-setpgid

kadmin: handle systemd setpgid failure

make quiet

make quiet

remove stray a

check for JSON perl module and if not found ask developer to install it

partial fix for #74

rename roken base64, fixes #107

Merge pull request #112 from jhutz/rxkad-kdf

libkafs: derivation from non-DES key (rxkad-kdf)

resurrect password change support again

libkafs: derivation from non-DES key (rxkad-kdf)

Add support for the "rxkad-kdf" protocol for deriving rxkad session keys
from non-DES Kerberos session keys.  This allows rxkad to be used in
realms where the KDC is unwilling or unable to issue tickets with
single-DES session keys.

Avoid appearance of if if else ambiguity

Avoid kinit NPE when default cred not in keytab

Check _kdc_db_fetch return value before dereference entry pointer

This fixes a segfault if the _kdc_db_fetch function does not find
the entry in the database (the entry pointer will be NULL if entry
is not found).

Signed-off-by: Samuel Cabrero <scabrero@zentyal.com>
Signed-off-by: Love Hörnquist Åstrand <lha@h5l.org>

check for sys/errno.h

Merge pull request #108 from ktdreyer/kadm5-make-race

kadm5: fix race in Makefile with kadm5_err.h

kadm5: fix race in Makefile with kadm5_err.h

When running make with -j4, occasionally kadm5 fails due to a missing
header file kadm5_err.h. Fix the race condition.

Reported at https://bugzilla.redhat.com/1115164

Reviewed-by: Ken Dreyer <ktdreyer@ktdreyer.com>

asn1: check overflow against SIZE_MAX not +1

A comparison of (len > len + 1) is permitted to be optimized out
as dead code because it can't be true.  Overflowing is an exceptional
condition that results in undefined behavior.  The correct conditional
is (len == SIZE_MAX) when len is size_t.

Change-Id: Ia5586556a973d9fa5228430c4304ea9792c996bb

Merge pull request #104 from jelmer/kadmin-ktutil-to-usr-bin

Move kadmin and ktutil to /usr/bin.

Move kadmin and ktutil to /usr/bin.

Merge pull request #102 from jelmer/manpages-no-krb4

Remove references to Kerberos 4 from manpages.

Remove references to KRBTKFILE from login.1 and kinit.1.

afslog.1: Remove documentation for removed no-v4 argument.

Merge pull request #101 from jelmer/kimpersonate-no-kerb4

Remove kerberos 4 references from kimpersonate.8.

Remove kerberos 4 references from kimpersonate.8.

kadmin: handle systemd setpgid failure

When running as a service under systemd, kadmin cannot successfully use
setpgid().  The call fails with EPERM. Do not treat this as a fatal
error; instead, allow kadmind to continue starting up.

Merge pull request #99 from ktdreyer/klist-spelling-comments

klist: fix spelling in comments

klist: fix spelling in comments

roken: Windows ELOOP definition

Microsoft VC 2010 defines ELOOP as 114

Change-Id: Iba6cfd83e4a9ea1d43ed8aff7893d557648fc7e5

kinit: get_switched_ccache

Provide a new internal function called get_switched() to encapsulate
the algorithm for selecting a credential cache when the selected
ccache type supports switching.  There is no change in behavior for
UNIX which always calls krb5_cc_new_unique().  However, on Windows
alternate behavior is provided when the ccache type is API or MSLSA.

For the API ccache the default ccache name is stored in the Windows
registry which is shared across all logon sessions belonging to a
user.  For users that are members of the Administrators group this
includes both the UAC restricted and elevated sessions sharing the
same desktop.  It is very disconcerting when the elevated session obtains
credentials for the same client principal as the restricted session
and then all apps in the restricted session lose access to their
credential cache.   For Windows, the API credential caches are named
after the principal that is stored within them.  It provides for a
better end user experience.

For the MSLSA ccache tickets belonging to multiple principals are
all stored within the MSLSA ccache.  As a result, all attempts to
switch ccache names default back to the one and only one name.

Change-Id: I7865cd044cff01ff38ab107ec0961e42788fa073

Merge pull request #94 from jelmer/ignore-test-output

Update .gitignore to ignore all test binaries and output.

Update .gitignore to ignore all test binaries and output.

Use thread-safe errno on Solaris

Merge pull request #91 from ktdreyer/test-fx-weak-crypto

test_fx: enable weak crypto

test_fx: enable weak crypto

Now that test_fx checks 1DES keys, we need to call allow_weak_crypto on
the test's context.

Without this fix, "make check" was failing with the following error:

  lt-test_fx: krb5_crypto_init: Encryption type des-cbc-crc not
  supported

Merge pull request #88 from jelmer/rm-krb4-references

Remove rereferences to Kerberos 4.

Various manpages: Remove references to Kerberos 4.

kdc.8: Remove references to kerberos 4.

Remove use of krb4 settings in example krb5.conf.

Merge pull request #85 from jelmer/fix-typos

Fix some typos.

Fix some typos.

Merge pull request #80 from ktdreyer/ldap-declaration

build failure with Fedora regarding hdb_ldap_create and hdb_ldapi_create

Merge pull request #83 from jelmer/pc-limit-libs

Limit the libraries pulled in when dynamic linking.

Merge pull request #84 from jelmer/fix-typos

Fix some typos in hx509_err.et.

Fix some typos.

Limit the libraries pulled in when dynamic linking.

See also https://bugs.debian.org/cgi-bin/bugreport.cgi?bug=745543

remove hdb ldap create declarations

The hdb_ldap_create and hdb_ldapi_create prototypes use the "static"
keyword, but the functions themselves are not implemented as static.

Heimdal's buildsystem dynamically adds function declarations to
hdb-protos.h based on the actual function implementations. Those
declarations in hdb-protos.h are not declared as static.

Since the build system generates the declarations dynamically, just
remove them from hdb-ldap.c.

Document that ext_keytab can change a princ's keys

Make kadmin ext work when lacking get-keys priv

When we added the get-keys privilege we lost the ability to setup
keytabs with the kadmin ext command.  The fix is to note that we got
bogus key data and randkey (as we used to).

lib/base: Rename strbuf to heim_strbuf to avoid conflict with stropts.h on linux

heimdal: rename send and recv pointers to avoid conflict with socket wrapper

lib/base: Add define for HEIMDAL_TEXTDOMAIN

lib/asn1: Add extern to declaration of fuzzer string in gen_locl.h

heimdal: Fix a format error on FreeBSD10

Signed-off-by: Volker Lendecke <vl@samba.org>
Reviewed-by: Jeremy Allison <jra@samba.org>

heimdal: Fix CID 240779 Allocation size mismatch

(rebased on current Heimdal by abartlet)

The error Coverity complains about is in the malloc. krb5_enctypes is
an enum, so it is usually smaller than the size of a pointer. So we
overallocate, but in the memcpy further down we copy from potentially
invalid memory.

Signed-off-by: Volker Lendecke <vl@samba.org>
Reviewed-by: Andreas Schneider <asn@samba.org>
Autobuild-User(master): Andreas Schneider <asn@cryptomilk.org>
Autobuild-Date(master): Wed Nov 13 11:05:44 CET 2013 on sn-devel-104

heimdal: Fix CID 241943 Uninitialized pointer read

In the error case without EXTRA_ADDRESSES we access ignore_addresses
without initialization

Signed-off-by: Volker Lendecke <vl@samba.org>
Reviewed-by: Andreas Schneider <asn@samba.org>

heimdal: Fix 241482 Resource leak

Signed-off-by: Volker Lendecke <vl@samba.org>
Reviewed-by: Ira Cooper <ira@samba.org>

heimdal:lib/wind: include <stdlib.h> at the end

This makes sure config.h gets includes first.

This should fix the build on AIX.

metze

Autobuild-User(master): Stefan Metzmacher <metze@samba.org>
Autobuild-Date(master): Sun Jun 17 16:16:24 CEST 2012 on sn-devel-104

heimdal:lib/wind: make sure errorlist_table.c includes config.h as first header

This should fix the build on AIX.

metze

Autobuild-User(master): Stefan Metzmacher <metze@samba.org>
Autobuild-Date(master): Sat Jun 16 23:59:07 CEST 2012 on sn-devel-104

heimdal:lib/krb5: don't name a struct 'token'

This is a static const struct and the name is never used,
so just make it an anonymous struct.

This hopefully fixes the build on AIX:

"../lib/roken/roken-common.h", line 276.9: 1506-236 (W) Macro name __attribute__ has been redefined.
"../lib/roken/roken-common.h", line 276.9: 1506-358 (I) "__attribute__" is defined on line 45 of ../lib/com_err/com_err.h.
"../lib/krb5/expand_path.c", line 331.21: 1506-334 (S) Identifier token has already been defined on line 98 of "/usr/include/net/if_arp.h".
"../lib/krb5/expand_path.c", line 390.43: 1506-019 (S) Expecting an array or a pointer to object type.
"../lib/krb5/expand_path.c", line 391.31: 1506-019 (S) Expecting an array or a pointer to object type.
"../lib/krb5/expand_path.c", line 392.20: 1506-019 (S) Expecting an array or a pointer to object type.
"../lib/krb5/expand_path.c", line 392.48: 1506-019 (S) Expecting an array or a pointer to object type.
"../lib/krb5/expand_path.c", line 393.39: 1506-019 (S) Expecting an array or a pointer to object type.
Waf: Leaving directory `/opt/home/build/build_farm/samba_4_0_test/bin'
Build failed:  -> task failed (err #1):
{task: cc expand_path.c -> expand_path_52.o}
gmake: *** [all] Error 1

metze

Autobuild-User(master): Stefan Metzmacher <metze@samba.org>
Autobuild-Date(master): Sat Jun 16 15:20:59 CEST 2012 on sn-devel-104

heimdal: Fix the build on FreeBSD

We don't have BACKTRACE_SYMBOLS by default

s4-heimdal: Remove the execute flag of cfx.c.

The scripts which are extracting debuginfo are looking for files with
the executable bit and find cfx.c which isn't a executable.

heimdal: handle referrals for 3 part DRSUAPI SPNs

This handles referrals for SPNs of the form
E3514235-4B06-11D1-AB04-00C04FC2DCD2/NTDSGUID/REALM, which are
used during DRS replication when we don't know the dnsHostName of the
target DC (which we don't know until the first replication from that
DC completes).

We use the 3rd part of the SPN directly as the realm name in the
referral.

Pair-Programmed-With: Andrew Bartlett <abartlet@samba.org>

Avoid breaking symbol names for all previously present functions.

Signed-off-by: Jelmer Vernooij <jelmer@samba.org>
Signed-off-by: Nicolas Williams <nico@cryptonector.com>

don't see anything since /dev/random doesn't really need more seeding

redhat have Linux SE rules that slows down openssh when heimdal tries
to write, so lets not write.

https://bugzilla.redhat.com/show_bug.cgi?id=1076979

Fix KRB-FX-CF2 for enctypes with non-dense keyspaces

It is necessary to use the RFC3961 random_to_key operation when
creating a key from a bitstring.

Signed-off-by: Nicolas Williams <nico@cryptonector.com>

Fix DES3 PRF

RFC 3961 says the simplified profile PRF should truncate the hash
output to "multiple of m", which MIT krb5 interprets as the largest
possible multiple of m.  RFC 6113 appendix A also uses that
interpretation for the KRB-FX-CF2 test vector.  So the DES3 PRF should
truncate the 20-byte SHA-1 result to 16 bytes, not 8.  Also make
krb5_crypto_prf_length work with DES3 by giving the DES3 enctype a
non-zero PRF length.

Signed-off-by: Nicolas Williams <nico@cryptonector.com>

Add missing KRB-FX-CF2 test vectors (3DES broken)

Note that this shows that the our KRB-FX-CF2 is broken as to 3DES (and
the 1DES PRF is still missing).

More complete logging of capths violations

It is much easier (i.e. actually possible) to debug transit path policy
violations when the logs specify the client and server realms, not just
the transit realm.

env KRB5CCNAME=/tmp/foocc kinit ignores the env

The problem is that fcc_get_cache_next() is called in a context where
context->default_cc_name is not set.  We should call
krb5_cc_default_name(), and that fixes the problem.  There's a comment
warning that this can result in reentering krb5_cc_cache_match(), but
nothing in libkrb5 calls krb5_cc_cache_match(), so the comment is wrong,
at least in the github tree.

An alternative would be to call krb5_cc_set_default_name(NULL) in
kuser/kinit.c before calling krb5_cc_cache_match(), however, that seems
like an insufficiently general solution.  Also, the semantics of
krb5_cc_cache_match() would differ from MIT's -- it seems better to
match MIT's semantics.

Use P-256 for EC tests

Fedora/RedHat OpenSSL supports only P-256, P-384 and P-521.

The new mkcert.sh script can create updated certs when these
expire on Jan 17th 2038.

Windows: add usleep() to roken

Add a version of usleep() which is capable of sleeping in one
millisecond increments instead of microseconds.

Change-Id: I173f7e6f91a947cdb66f7cc6df5520e1c03f10b7

update copyright year

make quiet

make quiet

Merge pull request #64 from ktdreyer/openpty

roken: don't ignore HAVE_OPENPTY on linux

Merge pull request #65 from ktdreyer/gitignore-base64

ignore lib/base/base64.c in Git

ignore lib/base/base64.c in Git

lib/base/base64.c is an auto-generated file. Add it to the list in
.gitignore

roken: don't ignore HAVE_OPENPTY on linux

openpty() is not available on all Linux distributions. Trust autoconf's
determination for HAVE_OPENPTY instead of unconditionally using
openpty() on all Linux.

Merge pull request #62 from ktdreyer/rm-old-makefile-references

remove reference to pop3, telnet and rsh Makefiles

Merge pull request #63 from ktdreyer/endif-cross

Properly terminate ifdef conditional in krb5-types.h

Properly terminate ifdef conditional in krb5-types.h

remove reference to pop3, telnet and rsh Makefiles

The pop3, telnet and rsh/rcp support was removed from the tree in
e55b0d0ca5038a8101276a593ffbb6be4c27c8d0. Delete the corresponding
Makefiles so autoconf doesn't try to look for them.

remove extra _

export hx509_ca_tbs_set_signature_algorithm

hx509_ca_tbs_set_signature_algorithm was added by commit
c69c4634ad2296b003d50f3a4180298c6f37d30f.  It must be exported
for use by hxtool on Windows.

Change-Id: I14b927abde96814ae2e0a90f232ab00915a9f29e

clean files

clean files

clean files

clean files

clean files

clean files

add missing files, sort stuff

set CODE_SIGN_IDENTITY when building

code sign all binaries when we can

extra dist and clean better

add an2ln-db.txt

include noinst_HEADERS

use noinst_HEADERS for login-protos.h

use noinst_HEADERS for kcm-protos.h

use noinst_HEADERS for kdc-private.h

use noinst_HEADERS for krb5-private.h

use noinst_HEADERS for hdb-private.h