selftest: test member server tests in security=ads

By testing more things against s3member (which is security=ads against samba4)
we can improve our test coverage.

Andrew Bartlett

build: Add libbsd as a dep for LIBREPLACE_HOSTCC

Autobuild-User: Andrew Bartlett <abartlet@samba.org>
Autobuild-Date: Mon Feb 20 02:58:20 CET 2012 on sn-devel-104

s4-smbd: Show time event was expected to run, as well as the current wall clock time

s3-selftest: Add test for ntlm_auth --diagnostics

s3-ntlm_auth: allow ntlm_auth --diagnostics to pass again

This still requires that the server permit LM passwords, but our s3dc test
environment has this enabled.

Andrew Bartlett

s3-winbindd: pass logon parmeters down to check_sam_security()

This allows ntlm_auth --diagnostics to work against the local DC, just
as it works against a member server.

Andrew Bartlett

s4-selftest: Avoid running kinit for each new connection

Kerberos is efficient when the credentials cache is set up once and
then reused.

Sadly this test creates a user, does a test and deletes the user, over
and over.

For this, using NTLM saves a little time, but we also stress the rest
of the DB, and should rework the test.

Andrew Bartlett

Autobuild-User: Andrew Bartlett <abartlet@samba.org>
Autobuild-Date: Mon Feb 20 00:49:56 CET 2012 on sn-devel-104

s3: Remove a pointless else branch

Autobuild-User: Volker Lendecke <vl@samba.org>
Autobuild-Date: Sun Feb 19 23:14:15 CET 2012 on sn-devel-104

s3: Fix some blank line endings

s3-vfstest: Initialize some more

waf: make "update-waf" script work on Darwin too

This fixes bug #8766

Reviewed by: Jelmer
Signed-off-by: Matthias Dieter Wallnöfer <mdw@samba.org>
Autobuild-User: Matthias Dieter Wallnöfer <mdw@samba.org>
Autobuild-Date: Sun Feb 19 21:35:06 CET 2012 on sn-devel-104

s3: get_share_mode_lock_fresh->get_share_mode_lock

get_share_mode_lock_fresh is just a confusing name

Autobuild-User: Volker Lendecke <vl@samba.org>
Autobuild-Date: Sun Feb 19 19:16:41 CET 2012 on sn-devel-104

s3: get_share_mode_lock->get_existing_share_mode_lock

Revert 42d4152ed4255f22ff0718d450f181468d7fb827.

asn1_compile and com_err already depended on LIBREPLACE_HOSTCC; depending on replace too causes waf to break (source lib/replace/replace.c is in more than one subsystem of target 'asn1_compile': ['LIBREPLACE_HOSTCC', 'replace'])

Autobuild-User: Jelmer Vernooij <jelmer@samba.org>
Autobuild-Date: Sun Feb 19 17:43:06 CET 2012 on sn-devel-104

waf: Use libraries when building.

Autobuild-User: Jelmer Vernooij <jelmer@samba.org>
Autobuild-Date: Sun Feb 19 06:27:55 CET 2012 on sn-devel-104

Use uselib in CHECK_HEADER.

popt: Use pkg-config file to look for popt.

library_flags: Leave setting of CPPPATH to waf too.

s4-python: Various formatting fixes.

samba.web_server: Fix use of whitespace.

pygensec: Fix whitespace.

waf: Update to new upstream version.

wafsamba: Fix some whitespace issues.

s3-secrets: Remove unused secrets_delete_generic()

Found by callcatcher.

Andrew Bartlett

Autobuild-User: Andrew Bartlett <abartlet@samba.org>
Autobuild-Date: Sat Feb 18 09:01:15 CET 2012 on sn-devel-104

s3-secrets: Remove unused secrets_delete_machine_password()

Found by callcatcher.

Andrew Bartlett

s3-build: allow gcov testing by linking timelimit with --coverage

Fix a bunch of "unused variable" warnings.

Autobuild-User: Jeremy Allison <jra@samba.org>
Autobuild-Date: Sat Feb 18 06:22:40 CET 2012 on sn-devel-104

auth: Reorder arguments to generate_session_info

This matches check_ntlm_password() and generate_session_info_pac()

Andrew Bartlett

Autobuild-User: Andrew Bartlett <abartlet@samba.org>
Autobuild-Date: Sat Feb 18 02:19:35 CET 2012 on sn-devel-104

selftest: Fix selftest to check ADS functionalty again

This was found by looking over the lcov output on build.samba.org

The new have_ads() check also now dies if it cannot run smbd, to avoid
this in future.

Andrew Bartlett

s4:lib/tls - include GNUTLS headers consistently using <...>

These are system-specific.

Reviewed-by: Jelmer
Autobuild-User: Matthias Dieter Wallnöfer <mdw@samba.org>
Autobuild-Date: Sat Feb 18 00:43:58 CET 2012 on sn-devel-104

s4:samba-tool fsmo * - fix missing "takes_optiongroups"

This has been reported in bug #8755.

Reviewed-by: Jelmer

lib/util: Remove unused sys_sendto()

Found by callcatcher.

Andrew Bartlett

Autobuild-User: Andrew Bartlett <abartlet@samba.org>
Autobuild-Date: Fri Feb 17 13:48:05 CET 2012 on sn-devel-104

lib/util: Remove unused sys_recv()

Found by callcatcher.

Andrew Bartlett

lib/util: Remove unused sys_inet_makeaddr()

Found by callcatcher.

Andrew Bartlett

lib/util: Remove unused sys_gethostbyname()

Found by callcatcher.

Andrew Bartlett

s3-lib: Remove unused standard_sub_conn()

s3-lib Remove unused sys_fcntl_long()

s3-lib Remove unused sys_fseek()

s3-registry Remove unused dup_registry_value() and free_registry_value()

auth: Allow the netbios name and domain to be set from winbindd in ntlm_auth3

Signed-off-by: Stefan Metzmacher <metze@samba.org>
Autobuild-User: Stefan Metzmacher <metze@samba.org>
Autobuild-Date: Fri Feb 17 12:18:51 CET 2012 on sn-devel-104

auth: Make more of the ntlmssp code private or static

Now that there is only one gensec_ntlmssp server, some of these functions can be static

For the rest, put the implemtnation of the gensec_ntlmssp code into ntlmssp_private.h

Andrew Bartlett

Signed-off-by: Stefan Metzmacher <metze@samba.org>

s3-auth: Use common gensec_ntlmssp

There is no longer any samba3-specific code left here.

Andrew Bartlett

Signed-off-by: Stefan Metzmacher <metze@samba.org>

s3-auth: Use common gensec_ntlmssp_server_start

This is now identical code, so there is no need to duplicate it.

Andrew Bartlett

Signed-off-by: Stefan Metzmacher <metze@samba.org>

s3-auth: Use the gensec-supplied DNS domain name and hostname.

Also have a reasonable fallback for when it is not set.

Andrew Bartlett

Signed-off-by: Stefan Metzmacher <metze@samba.org>

auth: Provide a way to specify the NTLMSSP server name to GENSEC

This avoids us needing to assume lp_netbios_name().lp_dnsdomain() if the caller
knows better.  This will allow preservation of current s3 behaviour.

Andrew Bartlett

Signed-off-by: Stefan Metzmacher <metze@samba.org>

s3-auth: Allow NTLMSSP features to be disabled with smb.conf options for testing

Signed-off-by: Stefan Metzmacher <metze@samba.org>

auth: Rearrange ntlmssp code for clarity

Signed-off-by: Stefan Metzmacher <metze@samba.org>

s3-auth: Use the lpcfg_ wrapper calls to set some variables

Signed-off-by: Stefan Metzmacher <metze@samba.org>

s3-auth: Remove a layer of indirection and reorder to match gensec_ntlmssp_server_start()

auth: Set NTLMSSP_NEGOTIATE_SIGN when session key support is required

This matches the s3 NTLMSSP server.

Andrew Bartlett

Signed-off-by: Stefan Metzmacher <metze@samba.org>

s3-auth: Only allow LM_KEY cryptography when extra options are set

This crypto is incredibly poor, and can technically be enabled on an otherwise more
secure connection that uses NTLM for the actual authentication leg.  Therefore
disable it by default.

Andrew Bartlett

Signed-off-by: Stefan Metzmacher <metze@samba.org>

s3-auth: Inline ntlmssp_server_start() into gensec_ntlmssp3_server_start()

This will help syncing this rotuine up with gensec_ntlmssp_server_start().

Andrew Bartlett

Signed-off-by: Stefan Metzmacher <metze@samba.org>

s3-auth Use the common gensec_ntlmssp_update in gensec_ntlmssp3_server

Signed-off-by: Stefan Metzmacher <metze@samba.org>

s3-auth: Use common gensec_ntlmssp server functions for more of gensec_ntlmssp3_server

This is possible because we now supply the auth4_context abstraction that this
code is looking for.

Andrew Bartlett

Signed-off-by: Stefan Metzmacher <metze@samba.org>

s3-auth: Add extra error messages on authentication or authorization failure

Signed-off-by: Stefan Metzmacher <metze@samba.org>

auth: Cope with NO_USER_SESSION_KEY from security=server

Signed-off-by: Stefan Metzmacher <metze@samba.org>

auth: Move the rest of the source4 gensec_ntlmssp code to the top level

The ntlmssp_server code will be in common shortly, and aside from a
symbol name or two, moving the client code causes no harm and makes
less mess.  We will also get the client code in common very soon.

Andrew Bartlett

Signed-off-by: Stefan Metzmacher <metze@samba.org>

s3-auth Hook checking passwords and generating session_info via the auth4_context

This avoids creating a second auth_context, as it is a private pointer
in the auth4_context that has already been passed in, and makes the
gensec_ntlmssp code agnostic to the type of authentication backend
behind it. This will in turn allow the ntlmssp server code to be
further merged.

Andrew Bartlett

Signed-off-by: Stefan Metzmacher <metze@samba.org>

s3-build: Use credentials_ntlm.c in the autoconf build as well

Signed-off-by: Stefan Metzmacher <metze@samba.org>

build: Add exceptions for callcatcher unused function detection

Autobuild-User: Andrew Bartlett <abartlet@samba.org>
Autobuild-Date: Fri Feb 17 09:12:47 CET 2012 on sn-devel-104

wintest: Update Win2003 VM

auth/kerberos: Move gse_get_session_key() to common code and use in gensec_gssapi

Thie ensures that both code bases use the same logic to determine the use
of NEW_SPNEGO.

Andrew Bartlett

s3-gse: Allow kerberos key type OID to be optional

s3-gse: Fix OID to read for kerberos key type

s3-librpc: Remove backup declaration of GSS_C_DCE_STYLE

All our supported krb5 libs provide this.

Andrew Bartlett

s3-gse: Remove unused OID declaration

wintest: give host longer to register the SRV record

wintest: use net rpc to put authenticated users into TelentClients if we need to

wintest: Allow Windows VM to have no default route

Replace smbd_server_connection_loop_once() with tevent_loop_once() directly.

We no longer need to call poll() directly inside smbd !

Autobuild-User: Jeremy Allison <jra@samba.org>
Autobuild-Date: Fri Feb 17 02:49:13 CET 2012 on sn-devel-104

lib/util: Remove sys_poll as it is no longer needed

sys_poll() is only needed if the signal pipe is set up and used, but as
no signal handler ever writes to the pipe, this can all be removed.

signal based events are now handled via tevent.

Andrew Bartlett

Signed-off-by: Jeremy Allison <jra@samba.org>

lib/util: Remove unused sys_select_signal()

Now sys_poll needs to be cleaned up not to refer to the pipe that is now not used.

Andrew Bartlett

Signed-off-by: Jeremy Allison <jra@samba.org>

s3-librpc: Remove gse_verify_server_auth_flags

gensec_update() ensures that DCE-style and sign/seal are negotiated correctly
for DCE/RPC pipes.  Also, the smb sealing client/server already check for the
gensec_have_feature().

This additional check just keeps causing trouble, and is 'protecting'
an already secure negoitated exchange.

Andrew Bartlett

Signed-off-by: Stefan Metzmacher <metze@samba.org>
Autobuild-User: Stefan Metzmacher <metze@samba.org>
Autobuild-Date: Thu Feb 16 21:19:44 CET 2012 on sn-devel-104

docs-xml: remove docs for "send spnego principal"

metze

s3-param Remove off-by-default and unused "send spnego principal"

This is not honoured by the common SPNEGO code.

This matches mondern windows versions which do not send this value, as
it would be insecure for a client to rely on it.  (See also the
depricated client use spnego principal directive).

Andrew Bartlett

Signed-off-by: Stefan Metzmacher <metze@samba.org>

s3-smbd Remove unused code now we always have SPNEGO via gensec

This was previously needed because SPNEGO was only available in the AD DC.

Andrew Bartlett

Signed-off-by: Stefan Metzmacher <metze@samba.org>

s3-librpc: Use gensec_spnego for DCE/RPC authentication

This ensures that we use the same SPNEGO code on session setup and on
DCE/RPC binds, and simplfies the calling code as spnego is no longer
a special case in cli_pipe.c

A special case wrapper function remains to avoid changing the
application layer callers in this patch.

Andrew Bartlett

Signed-off-by: Stefan Metzmacher <metze@samba.org>

s3-gse: Use the session key type, not the lucid context to set NEW_SPNEGO

Using gss_krb5_export_lucid_sec_context() is a problem with MIT krb5, as
it (reasonably, I suppose) invalidates the gssapi context on which it
is called.  Instead, we look to the type of session key which is
negotiated, and see if it not AES (or newer).

If we negotiated AES or newer, then we set GENSEC_FEATURE_NEW_SPENGO
so that we know to generate valid mechListMic values in SPNEGO.

Andrew Bartlett

Signed-off-by: Stefan Metzmacher <metze@samba.org>

s3-librpc: Remove unused bool gensec_hook

Signed-off-by: Stefan Metzmacher <metze@samba.org>

s3:rpc_client: fix comment

metze

s3-librpc: make gensec result handling more generic

This prepares us for handling SPNEGO via gensec

Signed-off-by: Stefan Metzmacher <metze@samba.org>

wafsamba: exclude '.brzignore' from "make dist"

.bzrignore can cause unwanted effects, if one e.g. maintains
a packaging (like debian) of the generated distribution in bzr.

Autobuild-User: Michael Adam <obnox@samba.org>
Autobuild-Date: Thu Feb 16 13:47:52 CET 2012 on sn-devel-104

wafsamba: exclude '.gitignore' from "make dist"

.gitignore can cause unwanted effects, if one e.g. maintains
a packaging (like debian) of the generated distribution in git

wafsamba: fix blacklist handling in "make dist"

s4:provision: only print the adminpass if it was generated (not user-provided)

s4:provision: generate the adminpass provision() instead of provision_fill()

so that the adminpass can be logged at the end
(otherwise we get "None")

s4:provision: don't log the ldap admin password - it is internal only

s4-scripting: samba-tool: Fix domain info usage message

Signed-off-by: Michael Adam <obnox@samba.org>

s4-selftest: fix output of opened connections in torture_holdcon

Signed-off-by: Michael Adam <obnox@samba.org>

Rename obscure defined constants.

Replaced the undescriptive SMB_PORT1 and SMB_PORT2 defined constants
with the slightly more descriptive names NBT_SMB_PORT and TCP_SMB_PORT.
Also replaced several hard-coded references to the well-known port
numbers (139 and 445, respectively) as appropriate.

Small changes to clarify some comments regarding the two transport
types.

Signed-off-by: Simo Sorce <idra@samba.org>
Autobuild-User: Simo Sorce <idra@samba.org>
Autobuild-Date: Thu Feb 16 08:29:41 CET 2012 on sn-devel-104

s3-selftest: Remove .posix_s3 from s3 test names

As far as I can tell, this simply referred to the posix_s3.sh script
that originally ran these tests.

Andrew Bartlett

Autobuild-User: Andrew Bartlett <abartlet@samba.org>
Autobuild-Date: Thu Feb 16 06:57:09 CET 2012 on sn-devel-104

selftest: Remove 'if have_ads_support:' from tests.py

The selftest system now skips launching these if the environment is not available.

Andrew Bartlett

s3-smbd: Avoid starting log lines with the word 'error'

selftest: skip plugin_s4_dc if we do not have ADS

selftest: Run nsstest against more environments

selftest: skip targets that are not compiled in if we do not have ADS

s3-selftest: Require SMB signing for ktest environment

This will help weed out session key errors in the krb5 code.

Andrew Bartlett

selftest: Do not start up an already-running test environment

Otherwise we may re-provision the dc just because we started it via s3member or s4member
first.

Andrew Bartlett

selftest: Make plugin_s4_dc set the cached environment correctly

wintest: update WinXP-1 snapshot