Add error code to use when a secret is not in this database

This will happen on an RODC, which has the entry, but not the full
secret.

Andrew Bartlett

heimdal Use a seperate krb5_auth_context for the delegated credentials

This makes it much more clear that the timestamp written here is not
used in mutual authentication.

Andrew Bartlett

Don't redefine socket() if socket_wrapper is already in use

In Samba, we may have already included socket_wrapper.h at this point

Andrew Bartlett

heimdal Add support for extracting a particular KVNO from the database

This should allow master key rollover.

(but the real reason is to allow multiple krbtgt accounts, as used by
Active Directory to implement RODC support)

heimdal use returned server entry from HDB to compare realms

Some hdb modules (samba4) may change the case of the realm in
a returned result.  Use that to determine if it matches the krbtgt
realm also returned from the DB (the DB will return it in the 'right' case)

Andrew Bartlett

heimdal: added verbose logging of hemimdal crypto errors

Push PKINIT configuration into default_config.c

The interaction with Samba4 is subtle - it calls
krb5_kdc_get_config(), but not configure() - but must have PKINIT set
up.

Andrew Bartlett

lorikeet-heimdal: Netbios Domain as Realm HACK...

This is really a ugly hack, to support using the Netbios Domain Name
as realm against windows KDC's, they always return the full realm
based on the DNS Name.

metze

Don't segfault when in --one-file mode

The problem is that on Linux, fclose() of a NULL pointer segfaults

lorikeet-heimdal: add scipts to rebase and import the latest version into samba4

If you use this scripts, read them! :-)

metze

lorikeet-heimdal: add wrap_ex_ntlm.diff from abartlet

metze

lorikeet-heimdal: add IMPORT-HEIMDAL.sh

I think this can be removed...

metze

lorikeet-heimdal: add HEIMDAL-LICENCE.txt

metze

lorikeet-heimdal: camellia-ntt GPLv2+ license

metze

lorikeet-heimdal: autogen.sh modifications

metze

Handle picky windows RODC servers

Fix order of arguments given to memchr().

Signed-off-by: Love Hornquist Astrand <lha@h5l.org>

SHA384

SHA384

add sha512

clue in sha512 in rsa signature

Andrew Bartlet pointed out that the patch was incomplete, update and write doxygen.

get padding size right

glue in  sha512

Add SHA512

SHA512 support

add _der_gmtime, use and test it

If the hostname contains a dot, assumes it's a FQAN and don't use
search domains since that might be painfully slow when machine is
disconnected from that network.

Found by Tridge

free more bn that was allocated

don't allocate n twice, indent

s4:heimdal Create a new PAC when impersonating a user with S4U2Self

If we don't do this, the PAC is given for the machine accout, not the
account being impersonated.

Andrew Bartlett

Signed-off-by: Love Hornquist Astrand <lha@h5l.org>

s4-krb5: Fix typos in comment.

Karolin

Signed-off-by: Love Hornquist Astrand <lha@h5l.org>

s4:heimdal Add hooks to check with the DB before we allow s4u2self

This allows us to resolve multiple forms of a name, allowing for
example machine$@REALM to get an S4U2Self ticket for
host/machine@REALM.

Andrew Bartlett

Signed-off-by: Love Hornquist Astrand <lha@h5l.org>

s4-heimdal: Fix typo in comment.

Karolin

Signed-off-by: Love Hornquist Astrand <lha@h5l.org>

s4-heimdal: Fix typo in comment.

Karolin

Signed-off-by: Love Hornquist Astrand <lha@h5l.org>

Support PADDING_NONE for encryption too

add back hx509_crypto_allow_weak

add padding support via hx509_crypto_set_padding

remove unused header file

x

add PTHREAD_LIBADD

Move to a plugin cache, contributed from Secure Endpoints

Generalize MSLSA ccache type to a plug-in based ccache type

Windows: Add missing export for libhcrypto-exports.def

remove prefix zeros

less brokenness

add validate.obj

Uses unsigned ints for lengths

EVP_BytesToKey uses min() on a mixture of signed and unsigned
paramters. To avoid compiler warnings, use unsigned int for all
of the iv and key lengths in this function.

Signed-off-by: Love Hornquist Astrand <lha@h5l.org>

make address a full adress

Fix to build on aix.

Signed-off-by: Love Hornquist Astrand <lha@h5l.org>

Fix testing when compiled with --disable-afs-support

Signed-off-by: Love Hornquist Astrand <lha@h5l.org>

make addresses not use compression in the middle since diffrent
inet_ntop have diffrent way to format them

Rename struct to not clash with aix header sys/proc.h

Signed-off-by: Love Hornquist Astrand <lha@h5l.org>

ifdef away code to be able to build with --disable-krb4

Signed-off-by: Love Hornquist Astrand <lha@h5l.org>

use krb5_unparse_name instead of krb5_unparse_name_short since that doesnt fail. From Zdenek Hatas

typecase to avoid warning

make test pass

add version-script.map to distributed files

Signed-off-by: Guillaume Rousse <Guillaume.Rousse@inria.fr>
Signed-off-by: Love Hornquist Astrand <lha@h5l.org>

add header files for libtommath

spelling

Don't typedef u8, u16, u32 in rijndael-alg-fast.c

Some kernels define u8, u16 and u32 in their standard headers.
Redefining these symbols in hcrypto's own code prevents that code
from compiling on those kernels.

Instead, just replace all occurrences of u8, u16 and u32 with the
symbols that uint8_t, uint16_t and uint32_t that they were being
typedef'd as, anyway.

Signed-off-by: Love Hornquist Astrand <lha@h5l.org>

Rename current to SHA1current

Some kernels define 'current' as a #define. This causes chaos when
we try to build sha.c. So, rename current as 'SHA1current', and avoid
the insanity.

add arguments to rk_rename to move it into the macro/function namespace

New drop with windows code from Secure Endpoints/Asanka

clean better

clean better

clean better

Windows: Build the SDK

Windows: packages/windows/sdk

The Makefile in this directory pulls in the SDK into a separate directory tree.

Add krb5_c_random_make_octets() to mit_glue.c

Define KRB5_TC_OPENCLOSE and KRB5_TC_NOTICKET in krb5.h

Add krb5_free_default_realm() to MIT glue

Don't return a freed pointer in allocate_ccache()

Handle Windows pathnames properly in krb5_cc_resolve()

On Windows, a pathname can contain a drive letter and a colon.
krb5_cc_resolve() used to check whether there were any colons in the
ccache name string and assume it is a FILE: cache if there weren't.
In addition, on Windows, check for a drive specification.

Windows: Enable weak crypto by default

klist: If we aren't being verbose, we don't need the full ticket

Define KRB5_TC_NOTICKET

Fix comment

Additional MIT glue

Add compatible exports for:

krb5_auth_con_getsendsubkey()
krb5_auth_con_getrecvsubkey()
krb5_auth_con_setsendsubkey()
krb5_auth_con_setrecvsubkey()

Deal with NULL or empty input for expand_path_tokens()

_krb5_expand_path_tokens() should return an empty string if the input
string is empty or NULL, instead of always returning a NULL for these
two cases.

Don't rely on non-CCAPI v3 exports

krb5_ipc_client_set_target_uid() and krb5_ipc_client_clear_target()
may not be present in CCAPI plug-in.  Don't rely on their existence.

Windows: Don't ignore failure in test_addr from now on

Windows: Add support for MSLSA: cache type using a plug-in

Windows: Build thirdparty packages if there are any

Fix line endings

Windows: Annotate symbols for libkadm5srv

Windows: Build test binaries for kadm5

Windows: Remove test_hdbkeys from test-run

test_hdbkeys is not a standalone test app.

Windows: Fix exports for libhdb

Windows: Fix exports for libgssapi

Windows: Decorate krb5_cc_copy_creds export definition

Address of an imported symbol is not always a constant

On Windows, the address of a symbol imported from a DLL is not
considered a constant.  Therefore, it can't be used to initialized
static data.

Windows: Build hxtool with the correct options

Windows: Regenerated libasn1-exports.def

Sorted and with data exports declared using DATA statements.

Declare ASN.1 exported data using ASN1EXP

Windows: Check for DATA symbols when scanning .obj files

The export symbol list for ASN.1 on Windows is generated by scanning
all the .obj files and extracting the symbols defined in them.  The
generated list did not specify which were functions and which were
data symbols.  This distinction is necessary for generating correct
import library stubs.

Add roken/rename.c to fix non-standard rename()

roken/rename.c is for platforms where the native rename()
implementation does not replace the target if it already exists.  This
implementation isn't atomic, but should be close enough for most
purposes.

For correct behavior, rk_rename() should be used instead of rename().
rk_rename() is #defined to be rename() on platforms where this fix is
not necessary.

Additional tests cases for test_addr.c

On platform where we build our own inet_ntop(), exercise it a bit
more.  Specifically for zero string compression of IPv6 addresses.

Windows: Don't attempt to copy a string to a zero length buffer

It won't cause harm since strcpy_s() deals with zero length buffers,
but it invokes the invalid parameter handler, which can disrupt
execution on debug builds.

strlcat() isn't supposed to access *dst past dst_sz

Try not to do that on platforms where we can avoid it.