More work to implement LSA CreateTrustedDomainEx2

We still don't get the format inside the encrypted blob correct
however.

Andrew Bartlett

Merge commit 'origin/v4-0-test' into trusted-domains

Regenerate SWIG file.

Avoid using version call for version string.

Allow overriding shared library policy using environment variable.

Fix embedding of Samba 4.

Merge branch 'v4-0-test' of ssh://git.samba.org/data/git/samba into 4-0-abartlet

Implement NETLOGON PAC verfication on the server-side

This is implemented by means of a message to the KDC, to avoid having
to link most of the KDC into netlogon.

Andrew Bartlett

Merge krb5_cksumtype_to_enctype from Heimdal svn -r 23719

Test a few more error cases in RPC-PAC

Start testing CreateTrustedDomainEx2

Andrew Bartlett

Share IDL between the LSA and drsblob representations of trusts

Follow MS-LSAD 3.1.4.7.12 and set defaults when creating a trust.

Also check we get the defaults correct with a query in the torture
suite.

Andrew Bartlett

Start implementing the server-sde NETLOGON PAC verification.

It turns out that the Netlogon PAC verification is encrypted.

This test now passes against Win2k3, and a implementation in the
Samba4 server should follow shortly.

Andrew Bartlett

Update packaging per suggestions on the review

Also make the build more C++ friendly with a patch from Brad Hards.

Andrew Bartlett

Further rework the RPC-PAC test.

This would seem to match the documentation requirements for the PAC
verfication over NETLOGON, but I can't get Win2k3 to accept it so far.

Andrew Bartlett

Heimdal provides Kerberos PAC parsing routines.  Use them.

This uses Heimdal's PAC parsing code in the:
 - LOCAL-PAC test
 - gensec_gssapi server
 - KDC (where is was already used, the support code refactored from here)

In addition, the service and KDC checksums are recorded in the struct
auth_serversupplied_info, allowing them to be extracted for validation
across NETLOGON.

Andrew Bartlett

Don't wipe the PAC checksums, the caller may actually need them.

Add missing file - netlogon.h

This file allows the remote_pac.c code to call into netlogon.c's setup
credentials code.

Andrew Bartlett

Add a test to explore Netlogon PAC validation

However, I have still not figured out this protocol yet, and the docs
are rather unclear... :-(

Andrew Bartlett

Put the internal gensec_gssapi state into a header.

This will allow a torture suite to inspect some otherwise internal
details.

Andrew Bartlett

Fix the build on Win32, and use NEGOTIATE security (to allow kerberos)

Merge branch 'v4-0-test' of ssh://git.samba.org/data/git/samba into pac-verify

Add definition for NT_STATUS_DOWNGRADE_DETECTED

heimdal: add missing heimdal/lib/hcrypto/{evp-aes-cts.c,evp-hcrypto.c}, sorry...

metze

heimdal_build: include heimdal's new EVP code to fix the build

metze

heimdal: import heimdal's trunk svn rev 23697 + lorikeet-heimdal patches

This is based on f56a3b1846c7d462542f2e9527f4d0ed8a34748d in my heimdal-wip repo.

metze

heimdal_build: fix parse.h lex.c dependencies

metze

heimdal_build: autogenerate the heimdal private/proto headers

Now it's possible to just use a plain heimdal tree in source/heimdal/
without any pregenerated files.

metze

heimdal_build: autogenerate table files in heimdal/lib/wind/

metze

heimdal_build: autogenerate heimdal/lib/roken/roken.h

metze

heimdal_build: add fallback for AC_WARNING_ENABLE()

metze

heimdal: remove unused old files

metze

heimdal_build: split heimdal/lib/asn1 file lists

metze

heimdal_build: split handwritten and generated hx509 file lists

metze

heimdal_build: split out gssapi_spnego and gssapi_krb5 file lists

metze

heimdal_build: add a fake sqlite keytab implementation

This remove a difference against lorikeet-heimdal.

metze

heimdal_build: split glue.c into krb5 and gssapi parts

metze

kdc: move references to heimdal internals into heimdal_build/kpasswd-glue.h

metze

Revert "gsskrb5: add support for DCE_STYLE and des and des3 keys"

This reverts commit 86848dd0f217774faed81af8fbf68618013e20a1.

This should come back via a merge from heimdal's trunk later.

metze

Revert "gsskrb5: always return an acceptor subkey"

This reverts commit 6a8b07c39558f240b89e833ecba15d8b9fc020e8.

This isn't strictly needed and will come back in the next merge
from heimdal's trunk.

metze

build: generate :: rules for automatic dependencies

metze

Merge branch 'v4-0-test' of ssh://git.samba.org/data/git/samba into pac-verify

Merge branch 'v4-0-test' of ssh://git.samba.org/data/git/samba into 4-0-abartlet

Don't use lsa_Delete any more, as smbd now refuses it.

Merge branch 'v4-0-test' of ssh://git.samba.org/data/git/samba into pac-verify

More LSA server and testuite work.

 - Implement QueryDomainInformationPolicy in Samba4

 - Allow RPC-LSA to pass against Windows 2008 (which does not allow
   the Audit privilage to be removed)

Andrew Bartlett

Make RPC-LSA test deterministic with an msleep(200).

Implement matching logic to Windows 2008 on handling of secrets.

This is enforced by the new RPC-LSA test.

Andrew Bartlett

Fix LSA server to pass more of RPC-LSA and match Windows 2008

This fixes some info levels in the QueryTrustedDomainInfo call, and
changes from implementing lsa_Delete to lsa_DeleteObject (which has an
explicit close and reutrns a NULL handle).

Andrew Bartlett

Only allow the trust in the correct direction (per the flags).

Update RPC-LSA to (almost) pass against Windows 2008.

Merge branch 'v4-0-test' of ssh://git.samba.org/data/git/samba into 4-0-local

fixed the data in SAVEFILE op in RAW-OFFLINE

show the bad data in RAW-OFFLINE

also show the worst case latencies so far, matching tsm_torture

don't use zero data for the first file in RAW-OFFLINE

the most likely bugs in HSM involve zero data, due to the
dm_punch_hole() request

disable the anr== tests until they are understood

now that ldap integers are 32 bit, we need to put the right 32 bit
value in for group type to avoid sign extension, otherwise we don't
find the builtin groups

fixed the DomainDNS searches in the netlogon code

Merge commit 'origin/v4-0-test' into v4-0-test

fixed the GUID and objectSID canonicalisation functions

fixed a speellling erra

Merge branch 'abartlet-4-0-local' into v4-0-test

fixed a problem with length limited ldap values

The core ldb code for string matching assumed NULL terminated strings,
whereas the anr module used data_blob_const() to effectively truncate
a ldb_val by changing its length. The ldb code is supposed to be based
around length limited blobs, not NULL terminated strings, so the
correct fix was to change the string comparison functions to be length
limited

fixed error handling in ANR code

when we can't process an ANR request we need to continue with the
parse tree we were given, not a NULL tree

ndr_compression: implement mszip compression based on deflate()

The output doesn't match the output from windows servers,
but it's a start...

metze

drsuapi.idl: use hand written push functions for the compressed blobs

This isn't really the final solution, as we compress the data twice,
but it works.

metze

ndr_compression: add common parts of ndr compression

metze

Don't walk past the end of ldb values.

This is a partial fix towards bugs due to us walking past the end of
what we think are strings in ldb.  There is much more work to do in
this area.

Andrew Bartlett

Push loading the objectGUID and objectSID handlers earlier.

Andrew Bartlett

Stop every ldb startup doing a write to the database.

Something in the search stack adds a distinguisedName record, which
isn't in the message we generate.  So we compare, fail and rewrite the
record - every time ldb starts up...

Andrew Bartlett

Validate input in the CLDAP and DGRAM 'netlogon' responder.

Handle error cases in attribute handlers better.

We don't need to just bail, for all these error cases there is still
real result that can be made - just fall back to binary copy/compare.

Andrew Bartlett

The index handling is now configured from the schema load, not by a
template.

Andrew Bartlett

Set both attributes and indexes into the database on schema load.

This ensures that a rudementary schema is always present (for
bootstrapping), and that the indexes are maintained equal to the
schema (rather than hard-coded).

Andrew Bartlett

All these syntaxes are now handled by the schema.

Don't hardcode attributes to be treated as a DN

This is now handled by reading the schema into the attributes.

Also, when we do set something here, mark it as FIXED, so the schema
and any reload from @ATTRIBUTES won't touch it.

Andrew Bartlett

Correct anr search commants and error messages in ldap.js

Don't allow a NULL syntax

Don't maniplate control entries in samldb

krb5pac.idl: make use of subcontext(0xFFFFFC01) to handle the type Serialization header

Now we should be able to handle bigendian PAC_LOGON_INFO buffers.

metze

kdc/pac-glue: pull/push the logon_info via the PAC_INFO union

This prepares the next commit...

metze

drsuapi: fix samba4 callers after drsuapi.idl changes

metze

drsuapi.idl: readd type serialization headers to compressed DsGetNCChangesCtr*

metze

ndr_compression: remove the type serialization handling from the compression layer

metze

ndr_compression: unify the common handling of mszip and xpress compression

metze

librpc/ndr: add support for Type Serialization Version 1 to subcontext

We use the header size 0xFFFFFC01 as magic for constructed types.

See [MS-RPCE] 2.2.6 Type Serialization Version 1 for more details.

metze

pidl/NDR::Parser: pass typedefs through the ParseElement*Level() functions

metze

pidl/NDR: generate a LEVELS array for typedefs

metze

pidl/NDR: correctly check for valid properties

grep($str, @array) returns the number of elements in @array!
We need grep(/^$str$/, @array) to the only the amount of matches.

Also fix unitialized vars for the error case.

metze

pidl/NDR::Parser: pass $ndr to ->start_flags() and ->end_flags()

metze

pidl/NDR::Parser: pass $ndr to ParseMemCtxPull*()

metze

pidl/NDR::Parser: pass $ndr to ParsePtrPush()

metze

pidl/NDR::Parser: use my $ndr = "ndr" in the remaining top functions

metze

pidl/NDR::Parser: pass down $ndr from the top functions

metze

pidl/NDR::Parser: pass $ndr to ->PRINT_FN_BLOB()

metze

pidl/NDR::Parser: pass $ndr to ->PUSH_FN_BLOB()

metze

pidl/NDR::Parser: pass $ndr to ->PULL_FN_BODY()

metze

pidl/NDR::Parser: use $ndr instead of "ndr"

metze