don't check for NULL-ity before freeing

git-svn-id: svn://anonsvn.mit.edu/krb5/users/lhoward/s4u@22734 dc483132-0cff-0310-8789-dd5450dbe970

clarify comments

git-svn-id: svn://anonsvn.mit.edu/krb5/users/lhoward/s4u@22733 dc483132-0cff-0310-8789-dd5450dbe970

add some comments about the last commit

git-svn-id: svn://anonsvn.mit.edu/krb5/users/lhoward/s4u@22731 dc483132-0cff-0310-8789-dd5450dbe970

More flexible check for S4U2Self client/server name comparison

git-svn-id: svn://anonsvn.mit.edu/krb5/users/lhoward/s4u@22730 dc483132-0cff-0310-8789-dd5450dbe970

remove unused variables

git-svn-id: svn://anonsvn.mit.edu/krb5/users/lhoward/s4u@22729 dc483132-0cff-0310-8789-dd5450dbe970

Match Windows behaviour when rewriting server name in S4U2Self request: don't attempt to include source realm name

git-svn-id: svn://anonsvn.mit.edu/krb5/users/lhoward/s4u@22728 dc483132-0cff-0310-8789-dd5450dbe970

update manual page for S4U

git-svn-id: svn://anonsvn.mit.edu/krb5/users/lhoward/s4u@22727 dc483132-0cff-0310-8789-dd5450dbe970

make -P option (S4U2Proxy) dependent on -U (S4U2Self)

git-svn-id: svn://anonsvn.mit.edu/krb5/users/lhoward/s4u@22726 dc483132-0cff-0310-8789-dd5450dbe970

update testing notes

git-svn-id: svn://anonsvn.mit.edu/krb5/users/lhoward/s4u@22725 dc483132-0cff-0310-8789-dd5450dbe970

merge trunk to 22719

git-svn-id: svn://anonsvn.mit.edu/krb5/users/lhoward/s4u@22724 dc483132-0cff-0310-8789-dd5450dbe970

rename gcvt_fct to pacb_fct

git-svn-id: svn://anonsvn.mit.edu/krb5/users/lhoward/s4u@22723 dc483132-0cff-0310-8789-dd5450dbe970

 * add_pa_data_element appears to leave out_padata in an invalid state
when the if (copy) block fails to allocate memory.  While you are there,
please rename "out_padata" since it is an in/out parameter, not an
output parameter.

git-svn-id: svn://anonsvn.mit.edu/krb5/users/lhoward/s4u@22722 dc483132-0cff-0310-8789-dd5450dbe970

 * s4u_gss.glue.c:kg_get_evidence_ticket is unused; it should be
removed unless there's a reason for it that I couldn't see.

git-svn-id: svn://anonsvn.mit.edu/krb5/users/lhoward/s4u@22721 dc483132-0cff-0310-8789-dd5450dbe970

 * kvno should check for -P without -k after parsing all of the
options, so that option order is not important.

git-svn-id: svn://anonsvn.mit.edu/krb5/users/lhoward/s4u@22720 dc483132-0cff-0310-8789-dd5450dbe970

for S4U2Proxy, set client prinipal to returned S4U2Self princ

git-svn-id: svn://anonsvn.mit.edu/krb5/users/lhoward/s4u@22714 dc483132-0cff-0310-8789-dd5450dbe970

Don't store S4U referral tickets because they contain user authz data; general cleanup

git-svn-id: svn://anonsvn.mit.edu/krb5/users/lhoward/s4u@22713 dc483132-0cff-0310-8789-dd5450dbe970

cleanup and make spnego use configurable

git-svn-id: svn://anonsvn.mit.edu/krb5/users/lhoward/s4u@22712 dc483132-0cff-0310-8789-dd5450dbe970

Remove gss_{add,acquire}_imperso gss_{add,acquire}_cred_impersonate_cred APIs

git-svn-id: svn://anonsvn.mit.edu/krb5/users/lhoward/s4u@22711 dc483132-0cff-0310-8789-dd5450dbe970

add PA_S4U_X509_USER to trval_reference.out

git-svn-id: svn://anonsvn.mit.edu/krb5/users/lhoward/s4u@22705 dc483132-0cff-0310-8789-dd5450dbe970

Add pa_s4u_x509_user ASN.1 tests

git-svn-id: svn://anonsvn.mit.edu/krb5/users/lhoward/s4u@22704 dc483132-0cff-0310-8789-dd5450dbe970

cleanup

git-svn-id: svn://anonsvn.mit.edu/krb5/users/lhoward/s4u@22699 dc483132-0cff-0310-8789-dd5450dbe970

we know token_mech_type is non-NULL

git-svn-id: svn://anonsvn.mit.edu/krb5/users/lhoward/s4u@22685 dc483132-0cff-0310-8789-dd5450dbe970

test should work with SPNEGO creds now

git-svn-id: svn://anonsvn.mit.edu/krb5/users/lhoward/s4u@22684 dc483132-0cff-0310-8789-dd5450dbe970

implement delegated handling fix as suggested by Nico in krbdev mail

git-svn-id: svn://anonsvn.mit.edu/krb5/users/lhoward/s4u@22683 dc483132-0cff-0310-8789-dd5450dbe970

avoid infinite recursion in spnego_gss_inquire_cred

git-svn-id: svn://anonsvn.mit.edu/krb5/users/lhoward/s4u@22682 dc483132-0cff-0310-8789-dd5450dbe970

ensure we have inquire_cred/inquire_cred_by_oid handlers for SPNEGO

git-svn-id: svn://anonsvn.mit.edu/krb5/users/lhoward/s4u@22681 dc483132-0cff-0310-8789-dd5450dbe970

use GSS_KRB5_NT_PRINCIPAL_NAME for proxy target

git-svn-id: svn://anonsvn.mit.edu/krb5/users/lhoward/s4u@22680 dc483132-0cff-0310-8789-dd5450dbe970

plug some leaks

git-svn-id: svn://anonsvn.mit.edu/krb5/users/lhoward/s4u@22659 dc483132-0cff-0310-8789-dd5450dbe970

plug some more leaks

git-svn-id: svn://anonsvn.mit.edu/krb5/users/lhoward/s4u@22658 dc483132-0cff-0310-8789-dd5450dbe970

fix some leaks

git-svn-id: svn://anonsvn.mit.edu/krb5/users/lhoward/s4u@22657 dc483132-0cff-0310-8789-dd5450dbe970

more cleanup

git-svn-id: svn://anonsvn.mit.edu/krb5/users/lhoward/s4u@22642 dc483132-0cff-0310-8789-dd5450dbe970

cleanup

git-svn-id: svn://anonsvn.mit.edu/krb5/users/lhoward/s4u@22641 dc483132-0cff-0310-8789-dd5450dbe970

add some troubleshooting tips

git-svn-id: svn://anonsvn.mit.edu/krb5/users/lhoward/s4u@22640 dc483132-0cff-0310-8789-dd5450dbe970

don't return delegated S4U creds unless evidence ticket was forwardable

git-svn-id: svn://anonsvn.mit.edu/krb5/users/lhoward/s4u@22639 dc483132-0cff-0310-8789-dd5450dbe970

remove previous check; we should never issue non-forwardable proxy creds

git-svn-id: svn://anonsvn.mit.edu/krb5/users/lhoward/s4u@22638 dc483132-0cff-0310-8789-dd5450dbe970

reformat

git-svn-id: svn://anonsvn.mit.edu/krb5/users/lhoward/s4u@22635 dc483132-0cff-0310-8789-dd5450dbe970

check evidence ticket is forwardable before sending to KDC

git-svn-id: svn://anonsvn.mit.edu/krb5/users/lhoward/s4u@22634 dc483132-0cff-0310-8789-dd5450dbe970

backout previous commit; should be KDC_ERR_POLICY

git-svn-id: svn://anonsvn.mit.edu/krb5/users/lhoward/s4u@22632 dc483132-0cff-0310-8789-dd5450dbe970

Return KDC_ERR_PATH_NOT_ACCEPTED if constrained delegation attempted between realms; Windows does this

git-svn-id: svn://anonsvn.mit.edu/krb5/users/lhoward/s4u@22631 dc483132-0cff-0310-8789-dd5450dbe970

cleanup

git-svn-id: svn://anonsvn.mit.edu/krb5/users/lhoward/s4u@22591 dc483132-0cff-0310-8789-dd5450dbe970

cleanup

git-svn-id: svn://anonsvn.mit.edu/krb5/users/lhoward/s4u@22590 dc483132-0cff-0310-8789-dd5450dbe970

s/kdc_process_s4u2self_rep/kdc_make_s4u2self_rep/

git-svn-id: svn://anonsvn.mit.edu/krb5/users/lhoward/s4u@22585 dc483132-0cff-0310-8789-dd5450dbe970

Add a fail-safe check to ensure a proxy credentials handle is not
passed in as an impersonation credentials handle

git-svn-id: svn://anonsvn.mit.edu/krb5/users/lhoward/s4u@22580 dc483132-0cff-0310-8789-dd5450dbe970

In gss_acquire_cred_impersonate_cred(), use krb5_get_credentials() to retrieve
the evidence ticket, allowing it to be acquired from the KDC if absent from
the credentials cache. This is of somewhat dubious utility.

git-svn-id: svn://anonsvn.mit.edu/krb5/users/lhoward/s4u@22579 dc483132-0cff-0310-8789-dd5450dbe970

Remove a redundant argument to kg_compose_deleg_cred()

git-svn-id: svn://anonsvn.mit.edu/krb5/users/lhoward/s4u@22577 dc483132-0cff-0310-8789-dd5450dbe970

Cleanup, and don't return a "proxy" credential for use with constrained
delegation, if the client's credentials are not forwardable, because
constrained delegation requires forwadable tickets. Instead, just return
an ordinary credential.

git-svn-id: svn://anonsvn.mit.edu/krb5/users/lhoward/s4u@22576 dc483132-0cff-0310-8789-dd5450dbe970

consolidate and remove duplicate code

git-svn-id: svn://anonsvn.mit.edu/krb5/users/lhoward/s4u@22575 dc483132-0cff-0310-8789-dd5450dbe970

remote gss_krb5_add_sec_context_delegatee

git-svn-id: svn://anonsvn.mit.edu/krb5/users/lhoward/s4u@22574 dc483132-0cff-0310-8789-dd5450dbe970

Refactor to reduce duplicate code

krb5_gss_acquire_cred_impersonate_name() now returns proxy credentials,
so it is not necessary to call gss_acquire_cred_impersonate_cred()
before using them with gss_init_sec_context().

git-svn-id: svn://anonsvn.mit.edu/krb5/users/lhoward/s4u@22573 dc483132-0cff-0310-8789-dd5450dbe970

cleanup

git-svn-id: svn://anonsvn.mit.edu/krb5/users/lhoward/s4u@22567 dc483132-0cff-0310-8789-dd5450dbe970

Don't return constrained deleg creds if verifier cred handle doesn't have initiator creds (ie. is usage GSS_C_BOTH)

git-svn-id: svn://anonsvn.mit.edu/krb5/users/lhoward/s4u@22566 dc483132-0cff-0310-8789-dd5450dbe970

When returning constrained delegation creds, don't require they
be explicitly passed to gss_acquire_cred_impersonate_cred();
they can now be passed directly to gss_init_sec_context().

git-svn-id: svn://anonsvn.mit.edu/krb5/users/lhoward/s4u@22565 dc483132-0cff-0310-8789-dd5450dbe970

set GSS_C_DELEG_FLAG when returning constrained deleg creds

git-svn-id: svn://anonsvn.mit.edu/krb5/users/lhoward/s4u@22564 dc483132-0cff-0310-8789-dd5450dbe970

Rename files to reflect API change

git-svn-id: svn://anonsvn.mit.edu/krb5/users/lhoward/s4u@22563 dc483132-0cff-0310-8789-dd5450dbe970

s/{add,acquire}_cred_with_{name,cred}/{$1}_cred_impersonate_{$2}/

More detail on API renaming at:

http://k5wiki.kerberos.org/wiki/Projects/Services4User#Proposed_APIs

git-svn-id: svn://anonsvn.mit.edu/krb5/users/lhoward/s4u@22562 dc483132-0cff-0310-8789-dd5450dbe970

Update header file for swapped arugments

git-svn-id: svn://anonsvn.mit.edu/krb5/users/lhoward/s4u@22561 dc483132-0cff-0310-8789-dd5450dbe970

Invert order of input_cred_handle and impersonator_cred_handle

git-svn-id: svn://anonsvn.mit.edu/krb5/users/lhoward/s4u@22560 dc483132-0cff-0310-8789-dd5450dbe970

Fix test breakage when constrained delegation omitted

git-svn-id: svn://anonsvn.mit.edu/krb5/users/lhoward/s4u@22559 dc483132-0cff-0310-8789-dd5450dbe970

The Novell S4U patch included some code to disable the forwardable
flag based on the user's authorization data. My understanding from
reading [MS-SFU] is that there is no requirement to do this, which
leads me to believe that the state of the forwardable flag should
be determined by examining the cross-realm TGT (in the case of a
user from a foreign realm) and from the user's KDB entry (when
issuing a ticket within their own realm).

I am awaiting clarification of this both from MS and Novell.

git-svn-id: svn://anonsvn.mit.edu/krb5/users/lhoward/s4u@22558 dc483132-0cff-0310-8789-dd5450dbe970

test with SPNEGO for added complexity

git-svn-id: svn://anonsvn.mit.edu/krb5/users/lhoward/s4u@22557 dc483132-0cff-0310-8789-dd5450dbe970

Add some more debugging to test

git-svn-id: svn://anonsvn.mit.edu/krb5/users/lhoward/s4u@22556 dc483132-0cff-0310-8789-dd5450dbe970

Implement gss_{acquire,add}_cred_with_{name,cred} as suggested by Nico Williams

git-svn-id: svn://anonsvn.mit.edu/krb5/users/lhoward/s4u@22555 dc483132-0cff-0310-8789-dd5450dbe970

Add KRB5_GC_FORWARDABLE and KRB5_GC_NO_TRANSIT_CHECK for compatibility with Heimdal

git-svn-id: svn://anonsvn.mit.edu/krb5/users/lhoward/s4u@22554 dc483132-0cff-0310-8789-dd5450dbe970

Move more logic for handling constrained delegation into krb5_get_credentials()

git-svn-id: svn://anonsvn.mit.edu/krb5/users/lhoward/s4u@22553 dc483132-0cff-0310-8789-dd5450dbe970

Add KRB5_GC_NO_STORE option, and change GSS S4U callers to use it

git-svn-id: svn://anonsvn.mit.edu/krb5/users/lhoward/s4u@22552 dc483132-0cff-0310-8789-dd5450dbe970

GSS_KRB5_NT_ENTERPRISE_NAME is gone now

git-svn-id: svn://anonsvn.mit.edu/krb5/users/lhoward/s4u@22551 dc483132-0cff-0310-8789-dd5450dbe970

remove GSS_KRB5_NT_ENTERPRISE_NAME

git-svn-id: svn://anonsvn.mit.edu/krb5/users/lhoward/s4u@22550 dc483132-0cff-0310-8789-dd5450dbe970

merge trunk to 22548 (22458:22548)

git-svn-id: svn://anonsvn.mit.edu/krb5/users/lhoward/s4u@22549 dc483132-0cff-0310-8789-dd5450dbe970

update comments describing clearing of forwardable flag, again

git-svn-id: svn://anonsvn.mit.edu/krb5/users/lhoward/s4u@22548 dc483132-0cff-0310-8789-dd5450dbe970

Use fetch_asn1_field() to avoid re-encoding S4U2Self request
during checksum verification

git-svn-id: svn://anonsvn.mit.edu/krb5/users/lhoward/s4u@22547 dc483132-0cff-0310-8789-dd5450dbe970

remove tabs

git-svn-id: svn://anonsvn.mit.edu/krb5/users/lhoward/s4u@22546 dc483132-0cff-0310-8789-dd5450dbe970

More comment cleanups

git-svn-id: svn://anonsvn.mit.edu/krb5/users/lhoward/s4u@22545 dc483132-0cff-0310-8789-dd5450dbe970

cleanup

git-svn-id: svn://anonsvn.mit.edu/krb5/users/lhoward/s4u@22544 dc483132-0cff-0310-8789-dd5450dbe970

Revise comments on S4U2Self and forwardable tickets. I've removed
the comment about clearing the forwardable flag in handle_authdata,
because I think that code needs to be fixed (rather than the
comment).

git-svn-id: svn://anonsvn.mit.edu/krb5/users/lhoward/s4u@22543 dc483132-0cff-0310-8789-dd5450dbe970

cleanup

git-svn-id: svn://anonsvn.mit.edu/krb5/users/lhoward/s4u@22542 dc483132-0cff-0310-8789-dd5450dbe970

Format cleanup

git-svn-id: svn://anonsvn.mit.edu/krb5/users/lhoward/s4u@22541 dc483132-0cff-0310-8789-dd5450dbe970

Refactor S4U2Self validation path to use validate_as_request(), to avoid duplication of code

Don't allow KDC_OPT_CNAME_IN_ADDL_TKT in an AS-REQ.

git-svn-id: svn://anonsvn.mit.edu/krb5/users/lhoward/s4u@22540 dc483132-0cff-0310-8789-dd5450dbe970

Refactor code for setting TKT_FLG_FORWARDABLE for S4U2Self. The logic was difficult to understand before

git-svn-id: svn://anonsvn.mit.edu/krb5/users/lhoward/s4u@22539 dc483132-0cff-0310-8789-dd5450dbe970

Fix errors in flag descriptors

git-svn-id: svn://anonsvn.mit.edu/krb5/users/lhoward/s4u@22538 dc483132-0cff-0310-8789-dd5450dbe970

Fix service principal name qualification so that cross-realm S4U2Self works with both canonical and UPN aliases

git-svn-id: svn://anonsvn.mit.edu/krb5/users/lhoward/s4u@22537 dc483132-0cff-0310-8789-dd5450dbe970

Allow unkeyed checksums for all non-newer enctypes
Return KRB5KDC_ERR_C_PRINCIPAL_UNKNOWN if S4U2Self client/server principals do not match

git-svn-id: svn://anonsvn.mit.edu/krb5/users/lhoward/s4u@22536 dc483132-0cff-0310-8789-dd5450dbe970

Move S4U protocol options into k5-int.h

git-svn-id: svn://anonsvn.mit.edu/krb5/users/lhoward/s4u@22535 dc483132-0cff-0310-8789-dd5450dbe970

fix typo

git-svn-id: svn://anonsvn.mit.edu/krb5/users/lhoward/s4u@22533 dc483132-0cff-0310-8789-dd5450dbe970

KRB5_S4U_OPTS_CHECK_LOGON_HOURS doesn't appear to be set in the reply, in any case it doesn't make much sense to us

git-svn-id: svn://anonsvn.mit.edu/krb5/users/lhoward/s4u@22532 dc483132-0cff-0310-8789-dd5450dbe970

fix typo

git-svn-id: svn://anonsvn.mit.edu/krb5/users/lhoward/s4u@22531 dc483132-0cff-0310-8789-dd5450dbe970

Don't explicitly ask for KDC_OPT_FORWARDABLE when doing S4U2Self;
it won't work with MIT KDCs (they return KDC_ERR_BADOPTION).

Instead, rely on the propagation of TGT flags to KDC options.

git-svn-id: svn://anonsvn.mit.edu/krb5/users/lhoward/s4u@22530 dc483132-0cff-0310-8789-dd5450dbe970

Fix a logic error in r22525

git-svn-id: svn://anonsvn.mit.edu/krb5/users/lhoward/s4u@22529 dc483132-0cff-0310-8789-dd5450dbe970

remove some accidentally committed code from previous commit

git-svn-id: svn://anonsvn.mit.edu/krb5/users/lhoward/s4u@22526 dc483132-0cff-0310-8789-dd5450dbe970

avoid a redundant call to is_local_principal()

git-svn-id: svn://anonsvn.mit.edu/krb5/users/lhoward/s4u@22525 dc483132-0cff-0310-8789-dd5450dbe970

align handling of forwardable flag in protocol transition with [MS-SFU]

git-svn-id: svn://anonsvn.mit.edu/krb5/users/lhoward/s4u@22524 dc483132-0cff-0310-8789-dd5450dbe970

Fix a couple of time of use issues with KDC S4U2Self implementation

git-svn-id: svn://anonsvn.mit.edu/krb5/users/lhoward/s4u@22511 dc483132-0cff-0310-8789-dd5450dbe970

Remove dead code

git-svn-id: svn://anonsvn.mit.edu/krb5/users/lhoward/s4u@22510 dc483132-0cff-0310-8789-dd5450dbe970

Ensure enc_padata is actually encoded

git-svn-id: svn://anonsvn.mit.edu/krb5/users/lhoward/s4u@22509 dc483132-0cff-0310-8789-dd5450dbe970

Fix regression

git-svn-id: svn://anonsvn.mit.edu/krb5/users/lhoward/s4u@22508 dc483132-0cff-0310-8789-dd5450dbe970

cleanup

git-svn-id: svn://anonsvn.mit.edu/krb5/users/lhoward/s4u@22507 dc483132-0cff-0310-8789-dd5450dbe970

remove some debug code

git-svn-id: svn://anonsvn.mit.edu/krb5/users/lhoward/s4u@22506 dc483132-0cff-0310-8789-dd5450dbe970

only return S4U enc_padata if KRB5_S4U_OPTS_USE_REPLY_KEY_USAGE is set in the request

git-svn-id: svn://anonsvn.mit.edu/krb5/users/lhoward/s4u@22505 dc483132-0cff-0310-8789-dd5450dbe970

cleanup

git-svn-id: svn://anonsvn.mit.edu/krb5/users/lhoward/s4u@22504 dc483132-0cff-0310-8789-dd5450dbe970

cleanup

git-svn-id: svn://anonsvn.mit.edu/krb5/users/lhoward/s4u@22503 dc483132-0cff-0310-8789-dd5450dbe970

cleanup

git-svn-id: svn://anonsvn.mit.edu/krb5/users/lhoward/s4u@22502 dc483132-0cff-0310-8789-dd5450dbe970