improve apply_heimdal.sh

heimdal: remove checking of KDC PAC signature, delegate to wdc plugin

The checking of the KDC signature is more complex than it looks, it may be of a different
enc type to that which the ticket is encrypted with, and may even be prefixed
with the RODC number.

This is better handled in the plugin which can easily look up the DB for the
correct key to verify this with, and can also quickly determine if this is
an interdomain trust, which we cannot verify the PAC for.

Andrew Bartlett

specify hash to heimdal import, rather than using the date

lib/krb5: windows KDCs always return the canoncalized server principal

Is there a better way to handle this?

metze

HACK: Netbios Domain as Realm

This is really a ugly hack, to support using the Netbios Domain Name
as realm against windows KDC's, they always return the full realm
based on the DNS Name.

metze

lorikeet-heimdal: remove obsolete script for importing from svn.

lorikeet-heimdal: Add a new script to help merging patches from Samba4 to heimdal

lorikeet-heimdal: improve import-lorikeet.sh for the toplevel build

metze

lorikeet-heimdal: Improve the heimdal import scripts

lorikeet-heimdal: add scipts to rebase and import the latest version into samba4

If you use this scripts, read them! :-)

metze

lorikeet-heimdal: add wrap_ex_ntlm.diff from abartlet

metze

lorikeet-heimdal: add IMPORT-HEIMDAL.sh

I think this can be removed...

metze

lorikeet-heimdal: add HEIMDAL-LICENCE.txt

metze

lorikeet-heimdal: camellia-ntt GPLv2+ license

metze

lorikeet-heimdal: autogen.sh modifications

metze

no need to make chmod quiet, it supposed to be already because of \

update (c)

merge in changes from #79

fixes #79

Merge pull request #87 from jelmer/travis

Add travis config.

release pool when done

now that use used up more then 16 flags and we have been using the right bit order for many years, lets stop dealing with broken bit fields from ticket flags

hush autoconf

use LT_INIT only, fixes #95

Merge pull request #109 from cg2v/dist-kadmin-version-script

version-script-client.map needs to be in dist

Merge pull request #110 from cg2v/anonymous-pkinit

Anonymous pkinit improvements

Merge pull request #105 from jelmer/compatibility-symlinks

Install compatibility symlinks for kadmin and ktutil.

Merge pull request #100 from ktdreyer/kadmin-systemd-setpgid

kadmin: handle systemd setpgid failure

make quiet

make quiet

remove stray a

check for JSON perl module and if not found ask developer to install it

partial fix for #74

rename roken base64, fixes #107

Merge pull request #112 from jhutz/rxkad-kdf

libkafs: derivation from non-DES key (rxkad-kdf)

resurrect password change support again

libkafs: derivation from non-DES key (rxkad-kdf)

Add support for the "rxkad-kdf" protocol for deriving rxkad session keys
from non-DES Kerberos session keys.  This allows rxkad to be used in
realms where the KDC is unwilling or unable to issue tickets with
single-DES session keys.

Avoid appearance of if if else ambiguity

Avoid kinit NPE when default cred not in keytab

Check _kdc_db_fetch return value before dereference entry pointer

This fixes a segfault if the _kdc_db_fetch function does not find
the entry in the database (the entry pointer will be NULL if entry
is not found).

Signed-off-by: Samuel Cabrero <scabrero@zentyal.com>
Signed-off-by: Love Hörnquist Åstrand <lha@h5l.org>

check for sys/errno.h

Add travis config.

version-script-client.map needs to be in dist

version-script-client.map needs to be in lib/kadm5's EXTRA_DIST,
otherwise make distcheck fails

Use anon realm for anonymous PKINIT

When an AS request names the anonymous principal, use the anonymous
realm in the response and ticket.

Merge pull request #108 from ktdreyer/kadm5-make-race

kadm5: fix race in Makefile with kadm5_err.h

Document logic in _krb5_is_anon_request

describe why we look at the different bits and fields

When using PKINIT with DH, compute session key

RFC6112 provides a method of computing a session key when the PKINIT DH
is used, and mandates it for anonymous pkinit. The session key is computed
using KRB-FX-CF2 from the reply key and a random key chosen by the kdc.
The random key is provided to the client, which is supposed to verify
that the session key was computed this way.

Include empty PKINIT-KX padata

rfc6112 requires kdcs implementing anonymous PKINIT to include an
empty PKINIT-KX padata in PREAUTH_REQUIRED messages.
Including this improves compatibility with MIT kerberos.

Recognize anonymous AS requests using bit 14

Check KDC Option bit 14 in addition to 16 when identifying anonymous
AS-REQs. This provides compatibility with older heimdal releases.

Use correct value for anonymous flags

The KDC Option and Ticket Flag for the anonymous extension were changed
from 14 to 16 due to a conflict with S4U2Proxy in version 11 of the anonymous
draft (now RFC6112). Fix the definitions

kadm5: fix race in Makefile with kadm5_err.h

When running make with -j4, occasionally kadm5 fails due to a missing
header file kadm5_err.h. Fix the race condition.

Reported at https://bugzilla.redhat.com/1115164

Reviewed-by: Ken Dreyer <ktdreyer@ktdreyer.com>

asn1: check overflow against SIZE_MAX not +1

A comparison of (len > len + 1) is permitted to be optimized out
as dead code because it can't be true.  Overflowing is an exceptional
condition that results in undefined behavior.  The correct conditional
is (len == SIZE_MAX) when len is size_t.

Change-Id: Ia5586556a973d9fa5228430c4304ea9792c996bb

Install compatibility symlinks for kadmin and ktutil.

Merge pull request #104 from jelmer/kadmin-ktutil-to-usr-bin

Move kadmin and ktutil to /usr/bin.

Move kadmin and ktutil to /usr/bin.

Merge pull request #102 from jelmer/manpages-no-krb4

Remove references to Kerberos 4 from manpages.

Remove references to KRBTKFILE from login.1 and kinit.1.

afslog.1: Remove documentation for removed no-v4 argument.

Merge pull request #101 from jelmer/kimpersonate-no-kerb4

Remove kerberos 4 references from kimpersonate.8.

Remove kerberos 4 references from kimpersonate.8.

kadmin: handle systemd setpgid failure

When running as a service under systemd, kadmin cannot successfully use
setpgid().  The call fails with EPERM. Do not treat this as a fatal
error; instead, allow kadmind to continue starting up.

Merge pull request #99 from ktdreyer/klist-spelling-comments

klist: fix spelling in comments

klist: fix spelling in comments

roken: Windows ELOOP definition

Microsoft VC 2010 defines ELOOP as 114

Change-Id: Iba6cfd83e4a9ea1d43ed8aff7893d557648fc7e5

kinit: get_switched_ccache

Provide a new internal function called get_switched() to encapsulate
the algorithm for selecting a credential cache when the selected
ccache type supports switching.  There is no change in behavior for
UNIX which always calls krb5_cc_new_unique().  However, on Windows
alternate behavior is provided when the ccache type is API or MSLSA.

For the API ccache the default ccache name is stored in the Windows
registry which is shared across all logon sessions belonging to a
user.  For users that are members of the Administrators group this
includes both the UAC restricted and elevated sessions sharing the
same desktop.  It is very disconcerting when the elevated session obtains
credentials for the same client principal as the restricted session
and then all apps in the restricted session lose access to their
credential cache.   For Windows, the API credential caches are named
after the principal that is stored within them.  It provides for a
better end user experience.

For the MSLSA ccache tickets belonging to multiple principals are
all stored within the MSLSA ccache.  As a result, all attempts to
switch ccache names default back to the one and only one name.

Change-Id: I7865cd044cff01ff38ab107ec0961e42788fa073

Merge pull request #94 from jelmer/ignore-test-output

Update .gitignore to ignore all test binaries and output.

Update .gitignore to ignore all test binaries and output.

Use thread-safe errno on Solaris

Merge pull request #91 from ktdreyer/test-fx-weak-crypto

test_fx: enable weak crypto

test_fx: enable weak crypto

Now that test_fx checks 1DES keys, we need to call allow_weak_crypto on
the test's context.

Without this fix, "make check" was failing with the following error:

  lt-test_fx: krb5_crypto_init: Encryption type des-cbc-crc not
  supported

Merge pull request #88 from jelmer/rm-krb4-references

Remove rereferences to Kerberos 4.

Various manpages: Remove references to Kerberos 4.

kdc.8: Remove references to kerberos 4.

Remove use of krb4 settings in example krb5.conf.

Merge pull request #85 from jelmer/fix-typos

Fix some typos.

Fix some typos.

Merge pull request #80 from ktdreyer/ldap-declaration

build failure with Fedora regarding hdb_ldap_create and hdb_ldapi_create

Merge pull request #83 from jelmer/pc-limit-libs

Limit the libraries pulled in when dynamic linking.

Merge pull request #84 from jelmer/fix-typos

Fix some typos in hx509_err.et.

Fix some typos.

Limit the libraries pulled in when dynamic linking.

See also https://bugs.debian.org/cgi-bin/bugreport.cgi?bug=745543

remove hdb ldap create declarations

The hdb_ldap_create and hdb_ldapi_create prototypes use the "static"
keyword, but the functions themselves are not implemented as static.

Heimdal's buildsystem dynamically adds function declarations to
hdb-protos.h based on the actual function implementations. Those
declarations in hdb-protos.h are not declared as static.

Since the build system generates the declarations dynamically, just
remove them from hdb-ldap.c.

Document that ext_keytab can change a princ's keys

Make kadmin ext work when lacking get-keys priv

When we added the get-keys privilege we lost the ability to setup
keytabs with the kadmin ext command.  The fix is to note that we got
bogus key data and randkey (as we used to).

lib/base: Rename strbuf to heim_strbuf to avoid conflict with stropts.h on linux

heimdal: rename send and recv pointers to avoid conflict with socket wrapper

lib/base: Add define for HEIMDAL_TEXTDOMAIN

lib/asn1: Add extern to declaration of fuzzer string in gen_locl.h

heimdal: Fix a format error on FreeBSD10

Signed-off-by: Volker Lendecke <vl@samba.org>
Reviewed-by: Jeremy Allison <jra@samba.org>

heimdal: Fix CID 240779 Allocation size mismatch

(rebased on current Heimdal by abartlet)

The error Coverity complains about is in the malloc. krb5_enctypes is
an enum, so it is usually smaller than the size of a pointer. So we
overallocate, but in the memcpy further down we copy from potentially
invalid memory.

Signed-off-by: Volker Lendecke <vl@samba.org>
Reviewed-by: Andreas Schneider <asn@samba.org>
Autobuild-User(master): Andreas Schneider <asn@cryptomilk.org>
Autobuild-Date(master): Wed Nov 13 11:05:44 CET 2013 on sn-devel-104

heimdal: Fix CID 241943 Uninitialized pointer read

In the error case without EXTRA_ADDRESSES we access ignore_addresses
without initialization

Signed-off-by: Volker Lendecke <vl@samba.org>
Reviewed-by: Andreas Schneider <asn@samba.org>

heimdal: Fix 241482 Resource leak

Signed-off-by: Volker Lendecke <vl@samba.org>
Reviewed-by: Ira Cooper <ira@samba.org>

heimdal:lib/wind: include <stdlib.h> at the end

This makes sure config.h gets includes first.

This should fix the build on AIX.

metze

Autobuild-User(master): Stefan Metzmacher <metze@samba.org>
Autobuild-Date(master): Sun Jun 17 16:16:24 CEST 2012 on sn-devel-104

heimdal:lib/wind: make sure errorlist_table.c includes config.h as first header

This should fix the build on AIX.

metze

Autobuild-User(master): Stefan Metzmacher <metze@samba.org>
Autobuild-Date(master): Sat Jun 16 23:59:07 CEST 2012 on sn-devel-104

heimdal:lib/krb5: don't name a struct 'token'

This is a static const struct and the name is never used,
so just make it an anonymous struct.

This hopefully fixes the build on AIX:

"../lib/roken/roken-common.h", line 276.9: 1506-236 (W) Macro name __attribute__ has been redefined.
"../lib/roken/roken-common.h", line 276.9: 1506-358 (I) "__attribute__" is defined on line 45 of ../lib/com_err/com_err.h.
"../lib/krb5/expand_path.c", line 331.21: 1506-334 (S) Identifier token has already been defined on line 98 of "/usr/include/net/if_arp.h".
"../lib/krb5/expand_path.c", line 390.43: 1506-019 (S) Expecting an array or a pointer to object type.
"../lib/krb5/expand_path.c", line 391.31: 1506-019 (S) Expecting an array or a pointer to object type.
"../lib/krb5/expand_path.c", line 392.20: 1506-019 (S) Expecting an array or a pointer to object type.
"../lib/krb5/expand_path.c", line 392.48: 1506-019 (S) Expecting an array or a pointer to object type.
"../lib/krb5/expand_path.c", line 393.39: 1506-019 (S) Expecting an array or a pointer to object type.
Waf: Leaving directory `/opt/home/build/build_farm/samba_4_0_test/bin'
Build failed:  -> task failed (err #1):
{task: cc expand_path.c -> expand_path_52.o}
gmake: *** [all] Error 1

metze

Autobuild-User(master): Stefan Metzmacher <metze@samba.org>
Autobuild-Date(master): Sat Jun 16 15:20:59 CEST 2012 on sn-devel-104

heimdal: Fix the build on FreeBSD

We don't have BACKTRACE_SYMBOLS by default

s4-heimdal: Remove the execute flag of cfx.c.

The scripts which are extracting debuginfo are looking for files with
the executable bit and find cfx.c which isn't a executable.

heimdal: handle referrals for 3 part DRSUAPI SPNs

This handles referrals for SPNs of the form
E3514235-4B06-11D1-AB04-00C04FC2DCD2/NTDSGUID/REALM, which are
used during DRS replication when we don't know the dnsHostName of the
target DC (which we don't know until the first replication from that
DC completes).

We use the 3rd part of the SPN directly as the realm name in the
referral.

Pair-Programmed-With: Andrew Bartlett <abartlet@samba.org>

Avoid breaking symbol names for all previously present functions.

Signed-off-by: Jelmer Vernooij <jelmer@samba.org>
Signed-off-by: Nicolas Williams <nico@cryptonector.com>

don't see anything since /dev/random doesn't really need more seeding

redhat have Linux SE rules that slows down openssh when heimdal tries
to write, so lets not write.

https://bugzilla.redhat.com/show_bug.cgi?id=1076979

Fix KRB-FX-CF2 for enctypes with non-dense keyspaces

It is necessary to use the RFC3961 random_to_key operation when
creating a key from a bitstring.

Signed-off-by: Nicolas Williams <nico@cryptonector.com>

Fix DES3 PRF

RFC 3961 says the simplified profile PRF should truncate the hash
output to "multiple of m", which MIT krb5 interprets as the largest
possible multiple of m.  RFC 6113 appendix A also uses that
interpretation for the KRB-FX-CF2 test vector.  So the DES3 PRF should
truncate the 20-byte SHA-1 result to 16 bytes, not 8.  Also make
krb5_crypto_prf_length work with DES3 by giving the DES3 enctype a
non-zero PRF length.

Signed-off-by: Nicolas Williams <nico@cryptonector.com>