Pileus Git - ~andy/fetchmail/blob - gssapi.c

   1 /*
   2  * gssapi.c -- GSSAPI authentication (see RFC 1508)
   3  *
   4  * For license terms, see the file COPYING in this directory.
   5  */
   6
   7 #include  "config.h"
   8 #include  <stdio.h>
   9 #include  <string.h>
  10 #include  <ctype.h>
  11 #if defined(STDC_HEADERS)
  12 #include  <stdlib.h>
  13 #endif
  14 #include  "fetchmail.h"
  15 #include  "socket.h"
  16
  17 #include  "i18n.h"
  18 #include "fm_md5.h"
  19
  20 #include <sys/types.h>
  21 #include <netinet/in.h>  /* for htonl/ntohl */
  22
  23 #ifdef GSSAPI
  24 #  ifdef HAVE_GSS_H
  25 #    include <gss.h>
  26 #  else
  27 #  if defined(HAVE_GSSAPI_H) && !defined(HAVE_GSSAPI_GSSAPI_H)
  28 #    include <gssapi.h>
  29 #  endif
  30 #  ifdef HAVE_GSSAPI_GSSAPI_H
  31 #    include <gssapi/gssapi.h>
  32 #  endif
  33 #  ifdef HAVE_GSSAPI_GSSAPI_GENERIC_H
  34 #    include <gssapi/gssapi_generic.h>
  35 #  endif
  36 #  ifndef HAVE_GSS_C_NT_HOSTBASED_SERVICE
  37 #    define GSS_C_NT_HOSTBASED_SERVICE gss_nt_service_name
  38 #  endif
  39 #  endif
  40
  41 static void decode_subr(const char *m, uint32_t code, int type)
  42 {
  43     uint32_t maj, min, context;
  44     gss_buffer_desc msg = GSS_C_EMPTY_BUFFER;
  45
  46     context = 0;
  47     do {
  48         maj = gss_display_status(&min, code, type, GSS_C_NO_OID,
  49                 &context, &msg);
  50
  51         if (maj != GSS_S_COMPLETE) {
  52             report(stderr, GT_("GSSAPI error in gss_display_status called from <%s>\n"), m);
  53             break;
  54         }
  55         report(stderr, GT_("GSSAPI error %s: %s\n"), m,
  56                 msg.value ? (char *)msg.value : GT_("(null)"));
  57         if (msg.length)
  58             (void)gss_release_buffer(&min, &msg);
  59     } while(context);
  60 }
  61
  62 static void decode_status(const char *m, uint32_t major, uint32_t minor)
  63 {
  64     decode_subr(m, major, GSS_C_GSS_CODE);
  65     decode_subr(m, minor, GSS_C_MECH_CODE);
  66 }
  67
  68 #define GSSAUTH_P_NONE      1
  69 #define GSSAUTH_P_INTEGRITY 2
  70 #define GSSAUTH_P_PRIVACY   4
  71
  72 int do_gssauth(int sock, const char *command, const char *service,
  73                 const char *hostname, const char *username)
  74 {
  75     gss_buffer_desc request_buf, send_token;
  76     gss_buffer_t sec_token;
  77     gss_name_t target_name;
  78     gss_ctx_id_t context;
  79     gss_OID mech_name;
  80     gss_qop_t quality;
  81     int cflags;
  82     OM_uint32 maj_stat, min_stat;
  83     char buf1[8192], buf2[8192], server_conf_flags;
  84     unsigned long buf_size;
  85     int result;
  86
  87     /* first things first: get an imap ticket for host */
  88     snprintf(buf1, sizeof(buf1), "%s@%s", service, hostname);
  89     request_buf.value = buf1;
  90     request_buf.length = strlen(buf1) + 1;
  91     maj_stat = gss_import_name(&min_stat, &request_buf, GSS_C_NT_HOSTBASED_SERVICE,
  92         &target_name);
  93     if (maj_stat != GSS_S_COMPLETE) {
  94         decode_status("gss_import_name", maj_stat, min_stat);
  95         report(stderr, GT_("Couldn't get service name for [%s]\n"), buf1);
  96         return PS_AUTHFAIL;
  97     }
  98     else if (outlevel >= O_DEBUG) {
  99         gss_display_name(&min_stat, target_name, &request_buf, &mech_name);
 100         report(stderr, GT_("Using service name [%s]\n"),
 101                (char *)request_buf.value);
 102         gss_release_buffer(&min_stat, &request_buf);
 103     }
 104
 105     gen_send(sock, "%s GSSAPI", command);
 106
 107     /* upon receipt of the GSSAPI authentication request, server returns
 108      * null data ready response. */
 109     result = gen_recv(sock, buf1, sizeof buf1);
 110     if (result)
 111         return result;
 112
 113     /* now start the security context initialisation loop... */
 114     sec_token = GSS_C_NO_BUFFER;
 115     context = GSS_C_NO_CONTEXT;
 116     if (outlevel >= O_VERBOSE)
 117         report(stdout, GT_("Sending credentials\n"));
 118     do {
 119         send_token.length = 0;
 120         send_token.value = NULL;
 121         maj_stat = gss_init_sec_context(&min_stat,
 122                                         GSS_C_NO_CREDENTIAL,
 123                                         &context,
 124                                         target_name,
 125                                         GSS_C_NO_OID,
 126                                         GSS_C_MUTUAL_FLAG | GSS_C_SEQUENCE_FLAG,
 127                                         0,
 128                                         GSS_C_NO_CHANNEL_BINDINGS,
 129                                         sec_token,
 130                                         NULL,
 131                                         &send_token,
 132                                         NULL,
 133                                         NULL);
 134         if (maj_stat!=GSS_S_COMPLETE && maj_stat!=GSS_S_CONTINUE_NEEDED) {
 135             decode_status("gss_init_sec_context", maj_stat, min_stat);
 136             gss_release_name(&min_stat, &target_name);
 137             report(stderr, GT_("Error exchanging credentials\n"));
 138
 139             /* wake up server and await NO response */
 140             SockWrite(sock, "\r\n", 2);
 141             result = gen_recv(sock, buf1, sizeof buf1);
 142             if (result)
 143                 return result;
 144             return PS_AUTHFAIL;
 145         }
 146         to64frombits(buf1, send_token.value, send_token.length);
 147         gss_release_buffer(&min_stat, &send_token);
 148
 149         suppress_tags = TRUE;
 150         gen_send(sock, "%s", buf1);
 151         suppress_tags = FALSE;
 152
 153         if (maj_stat == GSS_S_CONTINUE_NEEDED) {
 154             result = gen_recv(sock, buf1, sizeof buf1);
 155             if (result) {
 156                 gss_release_name(&min_stat, &target_name);
 157                 return result;
 158             }
 159             request_buf.length = from64tobits(buf2, buf1 + 2, sizeof(buf2));
 160             if ((int)request_buf.length == -1)  /* in case of bad data */
 161                 request_buf.length = 0;
 162             request_buf.value = buf2;
 163             sec_token = &request_buf;
 164         }
 165     } while
 166         (maj_stat == GSS_S_CONTINUE_NEEDED);
 167     gss_release_name(&min_stat, &target_name);
 168
 169     /* get security flags and buffer size */
 170     result = gen_recv(sock, buf1, sizeof buf1);
 171     if (result)
 172         return result;
 173
 174     request_buf.length = from64tobits(buf2, buf1 + 2, sizeof(buf2));
 175     if ((int)request_buf.length == -1)  /* in case of bad data */
 176         request_buf.length = 0;
 177     request_buf.value = buf2;
 178
 179     maj_stat = gss_unwrap(&min_stat, context,
 180                           &request_buf, &send_token, &cflags, &quality);
 181     if (maj_stat != GSS_S_COMPLETE) {
 182         decode_status("gss_unwrap", maj_stat, min_stat);
 183         report(stderr, GT_("Couldn't unwrap security level data\n"));
 184         gss_release_buffer(&min_stat, &send_token);
 185         return PS_AUTHFAIL;
 186     }
 187     if (outlevel >= O_DEBUG)
 188         report(stdout, GT_("Credential exchange complete\n"));
 189     /* first octet is security levels supported. We want none, for now */
 190     server_conf_flags = ((char *)send_token.value)[0];
 191     if ( !(((char *)send_token.value)[0] & GSSAUTH_P_NONE) ) {
 192         report(stderr, GT_("Server requires integrity and/or privacy\n"));
 193         gss_release_buffer(&min_stat, &send_token);
 194         return PS_AUTHFAIL;
 195     }
 196     ((char *)send_token.value)[0] = 0;
 197     buf_size = ntohl(*((long *)send_token.value));
 198     /* we don't care about buffer size if we don't wrap data */
 199     gss_release_buffer(&min_stat, &send_token);
 200     if (outlevel >= O_DEBUG) {
 201         report(stdout, GT_("Unwrapped security level flags: %s%s%s\n"),
 202             server_conf_flags & GSSAUTH_P_NONE ? "N" : "-",
 203             server_conf_flags & GSSAUTH_P_INTEGRITY ? "I" : "-",
 204             server_conf_flags & GSSAUTH_P_PRIVACY ? "C" : "-");
 205         report(stdout, GT_("Maximum GSS token size is %ld\n"),buf_size);
 206     }
 207
 208     /* now respond in kind (hack!!!) */
 209     buf_size = htonl(buf_size); /* do as they do... only matters if we do enc */
 210     memcpy(buf1, &buf_size, 4);
 211     buf1[0] = GSSAUTH_P_NONE;
 212     strlcpy(buf1+4, username, sizeof(buf1) - 4); /* server decides if princ is user */
 213     request_buf.length = 4 + strlen(username) + 1;
 214     request_buf.value = buf1;
 215     maj_stat = gss_wrap(&min_stat, context, 0, GSS_C_QOP_DEFAULT, &request_buf,
 216         &cflags, &send_token);
 217     if (maj_stat != GSS_S_COMPLETE) {
 218         report(stderr, GT_("Error creating security level request\n"));
 219         return PS_AUTHFAIL;
 220     }
 221     to64frombits(buf1, send_token.value, send_token.length);
 222
 223     suppress_tags = TRUE;
 224     result = gen_transact(sock, "%s", buf1);
 225     suppress_tags = FALSE;
 226
 227     /* flush security context */
 228     if (outlevel >= O_DEBUG)
 229         report(stdout, GT_("Releasing GSS credentials\n"));
 230     maj_stat = gss_delete_sec_context(&min_stat, &context, &send_token);
 231     if (maj_stat != GSS_S_COMPLETE) {
 232         decode_status("gss_delete_sec_context", maj_stat, min_stat);
 233         report(stderr, GT_("Error releasing credentials\n"));
 234         return PS_AUTHFAIL;
 235     }
 236     /* send_token may contain a notification to the server to flush
 237      * credentials. RFC 1731 doesn't specify what to do, and since this
 238      * support is only for authentication, we'll assume the server
 239      * knows enough to flush its own credentials */
 240     gss_release_buffer(&min_stat, &send_token);
 241
 242     if (result)
 243         return(result);
 244     else
 245         return(PS_SUCCESS);
 246 }
 247 #endif /* GSSAPI */
 248
 249 /* gssapi.c ends here */