s3-winbind Improve memory handling in NTLMv2-backend plaintext authentication

Andrew Bartlett

s3-winbind Don't send the LM password to the server, ever

This is for the case where we have the plaintext password locally, and
can construct the challenge-response values here.

We should never ever use the LM password in domain authentication.
The last domain controller to only have LM passwords stored was NT
3.5.

Andrew Bartlett

s3-libsmb Don't ever ask for machine$ principals as a target.

It is never correct to ask for a machine$ principal as the target of a
kerberos connection.  You should always connect via the
servicePrincipalName.

This current code appears to have built up from a series of minimal
changes, as the codebase adapted the to lack of a SPNEGO principal
from Windows 2008.

Andrew Bartlett

s3-docs Add docs for 'client use spnego principal' and 'send spengo principal'

Andrew Bartlett

s3-docs Explain change to NTLMv2 by default in the client

s3-client Use NTLMv2 by default in the Samba client

This matches the improved security measures of Windows Vista.

Andrew Bartlett

s3-smbd Don't send SPNEGO principal (rfc4178 hint) by default

This patch, based on the suggestion by Goldberg, Neil R. <ngoldber@mitre.org>
turns off the sending of the principal in the negprot by default, matching
Windows 2008 behaviour.

This slowly works us back from this hack, which from an RFC
perspective was never the right thing to do in the first place, but we
traditionally follow windows behaviour.  It also discourages client
implmentations from relying on it, as if they do they are more open to
man-in-the-middle attacks.

Andrew Bartlett

s3-libads Default to NOT using the server-supplied principal from SPNEGO

This principal is not supplied by later versions of windows, and using
it opens up some oportunities for man in the middle attacks.  (Becuase
it isn't the name being contacted that is verified with the KDC).

This adds the option 'client use spnego principal' to the smb.conf (as
used in Samba4) to control this behaivour.  As in Samba4, this
defaults to false.

Against 2008 servers, this will not change behaviour.  Against earlier
servers, it may cause a downgrade to NTLMSSP more often, in
environments where server names are not registered with the KDC as
servicePrincipalName values.

Andrew Bartlett

subunitrun: Use unittest.TestProgram if subunit.TestProgram is not
available.

Autobuild-User: Jelmer Vernooij <jelmer@samba.org>
Autobuild-Date: Fri Dec 10 03:49:03 CET 2010 on sn-devel-104

s4-python: Add convenience function for forcibly importing bundled
package.

subunitrun: Extend hack to cope with older system subunit run installs.

subunitrun: Remove global subunit module when reimporting from a
different location.

s4-dist: Remove no longer existing files from blacklist (fixes 'make
dist' inclusion of configure)

s4-python: Fix use of bundled modules.

s4-python: Split up ensure_external_module.

selftest: Make sure system subunit.run has TestProgram.

smbtorture: Rename --list to --list-suites, add stub --list.

selftest: Check exit code when listing tests.

s4-selftest: Add convenience function for running testsuites using
subunitrun.

selftest: Allow discovering tests in pure python testsuites.

subunitrun: Support --list.

selftest: Rename $LIST to $LISTOPT for consistency with testrepository.

dnspython: Update to newer upstream snapshot.

subunit: Update to newer upstream snapshot.

testtools: Import new upstream snapshot.

selftest: add --list option.

selftest: Document --testenv in --help output, remove documentation for
now obsolete --analyse-cmd.

pidl: use $CC -E if $CPP is not defined, if both undefined use cpp

Autobuild-User: Matthieu Patou <mat@samba.org>
Autobuild-Date: Fri Dec 10 01:26:44 CET 2010 on sn-devel-104

build: use CPP and CC values when calling pidl

build: introduce SAMBA_CHECK_PYTHON_HEADERS

This function is a wrapper around waf's check_python_header.
It avoids searching more than once for the headers bringing a small
speed improvement and a better lisibility of the logs.

But it's mainly to avoid a nasty bug when python libraries are in path
pointed by python_LIBPL (ie. /usr/local/lib/python2.6/config/) instead
of python_LIBDIR (ie. /usr/local/lib).

On the first call waf will correctly find that in order to link with
python libs it needs to add -L$python_LIBPL.

But on the next calls of check_python_headers, waf will use both the
current library path value (ie. -L/usr/local/lib/python2.6/config) and
-L$python_LIBDIR (ie. /usr/local/lib/) which will make him beleive that
python libraries are in $python_LIBDIR which at the end will make the
final link test fails in check_python_headers as it will not use the
good directory.

So by avoiding calling check_python_headers more than once we avoid
making waf fooling itself.

build: finishing fixing broken libiconv on hpux

s4 libcli: Add libcli_echo lib and torture test

Autobuild-User: Kai Blin <kai@samba.org>
Autobuild-Date: Thu Dec  9 23:57:03 CET 2010 on sn-devel-104

s4: Implement UDP echo server example

This is a simple UDP-based echo server. It is mainly intended as an
example on how to do server service tasks in s4.

s4:pyrpc_util: s/typename/type_name to avoid c++ warnings

metze

Autobuild-User: Stefan Metzmacher <metze@samba.org>
Autobuild-Date: Thu Dec  9 17:55:57 CET 2010 on sn-devel-104

talloc: pytalloc-util should not have an ABI-file yet

Somehow I forgot to remove this after discussion with Jelmer.

metze

wintest Remove the password expiry as the first step

This is particularly important before dcpromo, as the password will
otherwise be expired in the new domain.

Andrew Bartlett

Autobuild-User: Andrew Bartlett <abartlet@samba.org>
Autobuild-Date: Thu Dec  9 13:33:00 CET 2010 on sn-devel-104

waf: remove the restriction that private libraries must not have a vnum

we need the vnum for ABI checking for public libraries built as
private libraries when bundled

Autobuild-User: Andrew Tridgell <tridge@samba.org>
Autobuild-Date: Thu Dec  9 12:47:41 CET 2010 on sn-devel-104

waf: fixed path to abi_directory

this broke in a recent patch

s4-spnego Match Windows 2008, and no longer supply a name in the CIFS Negprot

Andrew Bartlett

Autobuild-User: Andrew Bartlett <abartlet@samba.org>
Autobuild-Date: Thu Dec  9 08:50:28 CET 2010 on sn-devel-104

s4-lsa Implement kerberos ticket life policy

We now no longer print tickets with a potentially infinite life, and
we report the same life over LSA as we use in the KDC.  We should get
this from group policy, but for now it's parametric smb.conf options.

Andrew Bartlett

s4-tests Workaround new default of 'client ntlmv2 auth = yes' in tests

The new default breaks some tests that were assuming LM or NTLM auth

Andrew Bartlett

s4-client Use NTLMv2 by default in the Samba4 client.

waf: add a dependency between the library and its vscript

Autobuild-User: Andrew Tridgell <tridge@samba.org>
Autobuild-Date: Thu Dec  9 04:32:18 CET 2010 on sn-devel-104

waf: don't use symbol versioning on our modules

Pair-Programmed-With: Andrew Bartlett <abartlet@samba.org>

waf: use vscripts for our private libraries too

if the library has a vnum, then use it. If it doesn't have a vnum then
use the application version for symbol versions

waf: make mkdir_p on a empty string not recurse forever

waf-abi: auto-generate per-symbol versions from ABI files

This changes our version-script generation to use the ABI files that
are saved in git with each version number change of our public
libraries.

We use these ABI files to generate a linker version script that gives
the exact version number that each symbol was introduced. This
provides us with automatic fine grained symbol versioning.

Pair-Programmed-With: Jelmer Vernooij <jelmer@samba.org>
Pair-Programmed-With: Andrew Bartlett <abartlet@samba.org>

build: do not duplicate the checks for python in samba4

Autobuild-User: Matthieu Patou <mat@samba.org>
Autobuild-Date: Thu Dec  9 00:47:23 CET 2010 on sn-devel-104

build: Cope with broken libiconv

library iconv needs mbrtowc but some system didn't provide it (ie.
HP-UX 11.0)

Autobuild-User: Matthieu Patou <mat@samba.org>
Autobuild-Date: Wed Dec  8 23:19:19 CET 2010 on sn-devel-104

dcerpc.idl: fix typo 0x800000000 => 0x80000000

metze

Autobuild-User: Stefan Metzmacher <metze@samba.org>
Autobuild-Date: Wed Dec  8 20:13:03 CET 2010 on sn-devel-104

s4:ldb: add ABI/ldb-0.9.20.sigs

metze

s4:ldb: build libldb and pyldb-util as private libraries when building for samba4

This matches the behavior of the talloc and tdb builds.

metze

talloc: build pytalloc-util with the same logic as libtalloc

metze

talloc: mark pytalloc-util functions as _PUBLIC_

metze

talloc: remove unused PyString_FromString_check_null() from pytalloc-util

metze

pidl:Samba4/Python.pm: use PyString_FromStringOrNULL() from pyrpc_util

metze

s4:python: add PyString_FromStringOrNULL() to pyrpc_util

metze

buildtools: private_libraries should not have a version in the soname

metze

buildtools: add the PRIVATE_EXTENSION for private libraries

metze

buildtools: make sure we have no '+' in the version scripts

This happens if '--git-local-changes' was used.

metze

smbtorture: use xxxULL notation instead of INT64_C(xxx)

The first one is portable the second not always

Signed-off-by: Stefan Metzmacher <metze@samba.org>
Autobuild-User: Matthieu Patou <mat@samba.org>
Autobuild-Date: Wed Dec  8 15:48:10 CET 2010 on sn-devel-104

s4-acl: Replaced talloc_reference with talloc_steal, as aclread is the only one using this result message.

No need to reference as no one further up the stack uses the result, it is the result of a secondary request sent by aclread.

As a result from code review by Kamen Mazdrashki and Anatoliy Atanasov

Autobuild-User: Nadezhda Ivanova <nivanova@samba.org>
Autobuild-Date: Wed Dec  8 15:01:51 CET 2010 on sn-devel-104

Add ncacn_http (RTS) IDL implementation in dcerpc.idl

Signed-off-by: Julien Kerihuel <j.kerihuel@openchange.org>
Signed-off-by: Jelmer Vernooij <jelmer@samba.org>
Autobuild-User: Jelmer Vernooij <jelmer@samba.org>
Autobuild-Date: Wed Dec  8 14:17:45 CET 2010 on sn-devel-104

ldb: bump version number after introduction of new constant.

s4-acl: Fixed incorrect value of LDB_FLAG_INTERNAL_INACCESSIBLE_ATTRIBUTE

Autobuild-User: Nadezhda Ivanova <nivanova@samba.org>
Autobuild-Date: Wed Dec  8 13:31:48 CET 2010 on sn-devel-104

s4-pkgconfig: add @LIB_RPATH@ to our link flags

this is only set when rpath is used on install. It ensures that
applications that link against Samba libraries get the rpath right

Autobuild-User: Andrew Tridgell <tridge@samba.org>
Autobuild-Date: Wed Dec  8 12:46:00 CET 2010 on sn-devel-104

waf: added --disable-symbol-versions configure option

some people may not want symbol versions.

s4-ldb: added @LIB_RPATH@ to the ldb pc file

waf: support @LIB_RPATH@ in pc files

this will be used to get the needed -Wl,-rpath options into our pc
files

Pair-Programmed-With: Andrew Bartlett <abartlet@samba.org>

s4-acl: Changed the mechanism of attribute removal to speed it up.

Instead of using ldb_msg_remove_attr, now we are flagging the attributes to be removed,
and allocating the new elements array to be returned at once. This seems to decrease the
overhead by 50 percent.

Autobuild-User: Nadezhda Ivanova <nivanova@samba.org>
Autobuild-Date: Wed Dec  8 12:00:27 CET 2010 on sn-devel-104

s4-acl: Added a flag to mark an element as failing an access check.

ndr: Another try to support the build on non-IPv6 systems

Signed-off-by: Matthieu Patou <mat@matws.net>
Autobuild-User: Matthieu Patou <mat@samba.org>
Autobuild-Date: Wed Dec  8 10:26:00 CET 2010 on sn-devel-104

s4-param Allow +foo syntax in smb.conf list parsing

The idea here is to allow an smb.conf file to work from the defaults,
rather than override them.  For example, 'server services = +openchange'.

Pair-Programmed-With: Andrew Tridgell <tridge@samba.org>

Autobuild-User: Andrew Bartlett <abartlet@samba.org>
Autobuild-Date: Wed Dec  8 09:39:06 CET 2010 on sn-devel-104

s4-spnego use "not_defined_in_RFC4178@please_ignore" if no principal specified

We need to make this the default, but for now just send it if we have
not been given a target principal.

Andrew Bartlett

libcli/auth bring ADS_IGNORE_PRINCIPAL in common

build: tru64 needs -shared for building libs

Autobuild-User: Matthieu Patou <mat@samba.org>
Autobuild-Date: Wed Dec  8 08:33:54 CET 2010 on sn-devel-104

waf: added -Wmissing-prototypes to build

This ensures that we always have a prototype for any function we
declare

Autobuild-User: Andrew Tridgell <tridge@samba.org>
Autobuild-Date: Wed Dec  8 06:12:07 CET 2010 on sn-devel-104

waf: make all generators depend on their rules

this ensures we rebuild when a constructed rule changes

s3-waf: fixed version number handling

s4-heimdal: enable symbol versioning in heimdal

Pair-Programmed-With: Andrew Bartlett <abartlet@samba.org>
Pair-Programmed-With: Jelmer Vernooij <jelmer@samba.org>

waf: use -Wl,--version-script if available

This enables symbol version on our libraries, if the system supports
it

If the library is a public library, then set the symbol version based
on the major number. If it is a private library then set it based on
the full version number (which will include the git hash if
available).

This ensures that applications using our libraries don't use symbols
from other libraries that they may be linked to. It also ensures we
only use the right version of any private libraries.

Note that the linker ends up generating both a version and unversioned
symbol for all symbols. This means existing users of our public
libraries will continue to work, with symbols resolved to the
unversioned symbol. When applications are re-linked they will bind to
the specific symbol version.

Pair-Programmed-With: Andrew Bartlett <abartlet@samba.org>
Pair-Programmed-With: Jelmer Vernooij <jelmer@samba.org>

waf: added configure test for -Wl,--version-script

this checks that the linker supports --version-script

Pair-Programmed-With: Andrew Bartlett <abartlet@samba.org>

s4-dns: dlz_bind9 doesn't need to link to gensec any more

Pair-Programmed-With: Andrew Bartlett <abartlet@samba.org>

s4-waf: get the version number right on private libraries

use the first digit of the version number for the library version

Pair-Programmed-With: Jelmer Vernooij <jelmer@samba.org>

s4-dns: use ldb hooks for samba extensions in dlz_bind9

this avoids linking dlz_bind9 directly to heimdal, which allows a
RTLD_DEEPBIND in ldb module loading to find the right kerberos version

Pair-Programmed-With: Andrew Bartlett <abartlet@samba.org>

s4-ldb: use RTLD_DEEPBIND if available for ldb modules

this allows us to avoid issues with ldb using heimdal while an
application using ldb using MIT kerberos

Pair-Programmed-With: Andrew Bartlett <abartlet@samba.org>

s4-dns: allow a remote ldap server to be used with dlz_bind9

this allows for configs like this:

dlz "Samba zone" {
database "dlopen /usr/lib/samba/modules/bind9/dlz_bind9.so
-H ldap://10.0.0.4 -Uadministrator@v2.tridgell.net%penguin -k no";
};

s4-dsdb: register samba handlers in dsdb module

s4-ldb: ensure ldb_register_samba_handlers() is not done twice

Pair-Programmed-With: Andrew Bartlett <abartlet@samba.org>

wintest: use --add-ref for RODC replication

this forces the creation of the repsTo attribute, and allows more
complete testing of RODC replication

samba-tools: more reasonable defaults for samba-tool commands

- fallback to machine account where possible

- default to local hostname where this is reasonable

samba-tools: export doesn't need any credentials

Pair-Programmed-With: Andrew Bartlett <abartlet@samba.org>

s4-provision Always run slaptest to convert the config file

If the directory exists, it does not mean that it is configured - we
may be on a re-run of the provision.

Andrew Bartlett

Autobuild-User: Andrew Bartlett <abartlet@samba.org>
Autobuild-Date: Wed Dec  8 05:19:12 CET 2010 on sn-devel-104

s4-provision Add an invalid names check for 'domain == netbiosname'

(This is also invalid)

Andrew Bartlett

build: fix hpux build pb

Pair-Programmed-With: Thomas Nagy <tnagy2pow10@gmail.com>

Fix the library extension from .so to .sl
Add full path to library when linking this is needed due to a strange
behavior of HP-UX:

This command: gcc demo demo.c -L dir1/dir2/ -lsomelib
will give a binary with a hard coded lib like dir1/dir2/libsomelib.sl.
Somehow like a partial rpath, it has the first impact of fooling waf
detection of wether the plateform support libraries or not (leading to
being unable to compile samba on HPUX) and the impact of having non
functionnal binaries.

Autobuild-User: Matthieu Patou <mat@samba.org>
Autobuild-Date: Wed Dec  8 00:32:50 CET 2010 on sn-devel-104

docs: clarify the idmap_rid manpage (bug #7788)

The idmap_rid module should not be used as a default backend.
Also mention that the old snytax "idmap backend = rid:domain=range ..."
is not supported any more.

Autobuild-User: Michael Adam <obnox@samba.org>
Autobuild-Date: Tue Dec  7 19:07:57 CET 2010 on sn-devel-104

docs: clarify the idmap_ad manpage (bug #6322)

The idmap_ad module can not be used as a default backend.

libcli/auth: let spnego_write_mech_types() check the asn1_load() return

metze

Autobuild-User: Stefan Metzmacher <metze@samba.org>
Autobuild-Date: Tue Dec  7 18:23:41 CET 2010 on sn-devel-104

s3:ntlm_auth: support clients which offer a spnego mechs we don't support

Before we rejected the authentication if we don't support the
first spnego mech the client offered.

We now negotiate the first mech we support.

This fix works arround problems, when a client
sends the NEGOEX (1.3.6.1.4.1.311.2.2.30) oid,
which we don't support.

metze

s3:ntlm_auth: free session key, as we don't use it (at least for now)

metze