README

   1                    Kerberos Version 5, Release 1.10
   2
   3                             Release Notes
   4                         The MIT Kerberos Team
   5
   6 Copyright and Other Notices
   7 ---------------------------
   8
   9 Copyright (C) 1985-2011 by the Massachusetts Institute of Technology
  10 and its contributors.  All rights reserved.
  11
  12 Please see the file named NOTICE for additional notices.
  13
  14 MIT Kerberos is a project of the MIT Kerberos Consortium.  For more
  15 information about the Kerberos Consortium, see http://kerberos.org/
  16
  17 For more information about the MIT Kerberos software, see
  18     http://web.mit.edu/kerberos/
  19
  20 People interested in participating in the MIT Kerberos development
  21 effort should visit http://k5wiki.kerberos.org/
  22
  23 Building and Installing Kerberos 5
  24 ----------------------------------
  25
  26 The first file you should look at is doc/install-guide.ps; it contains
  27 the notes for building and installing Kerberos 5.  The info file
  28 krb5-install.info has the same information in info file format.  You
  29 can view this using the GNU emacs info-mode, or by using the
  30 standalone info file viewer from the Free Software Foundation.  This
  31 is also available as an HTML file, install.html.
  32
  33 Other good files to look at are admin-guide.ps and user-guide.ps,
  34 which contain the system administrator's guide, and the user's guide,
  35 respectively.  They are also available as info files
  36 kerberos-admin.info and krb5-user.info, respectively.  These files are
  37 also available as HTML files.
  38
  39 If you are attempting to build under Windows, please see the
  40 src/windows/README file.
  41
  42 Reporting Bugs
  43 --------------
  44
  45 Please report any problems/bugs/comments using the krb5-send-pr
  46 program.  The krb5-send-pr program will be installed in the sbin
  47 directory once you have successfully compiled and installed Kerberos
  48 V5 (or if you have installed one of our binary distributions).
  49
  50 If you are not able to use krb5-send-pr because you haven't been able
  51 compile and install Kerberos V5 on any platform, you may send mail to
  52 krb5-bugs@mit.edu.
  53
  54 Please keep in mind that unencrypted e-mail is not secure. If you need
  55 to report a security vulnerability, or send sensitive information,
  56 please PGP-encrypt it to krbcore-security@mit.edu.
  57
  58 You may view bug reports by visiting
  59
  60     http://krbdev.mit.edu/rt/
  61
  62 and logging in as "guest" with password "guest".
  63
  64 DES transition
  65 --------------
  66
  67 The Data Encryption Standard (DES) is widely recognized as weak.  The
  68 krb5-1.7 release contains measures to encourage sites to migrate away
  69 from using single-DES cryptosystems.  Among these is a configuration
  70 variable that enables "weak" enctypes, which defaults to "false"
  71 beginning with krb5-1.8.
  72
  73 Major changes in 1.10
  74 ---------------------
  75
  76 Additional background information on these changes may be found at
  77
  78     http://k5wiki.kerberos.org/wiki/Release_1.10
  79
  80 and
  81
  82     http://k5wiki.kerberos.org/wiki/Category:Release_1.10_projects
  83
  84 Code quality:
  85
  86 * Fix MITKRB5-SA-2011-006 and MITKRB5SA-2011-007 KDC denial of service
  87   vulnerabilities [CVE-2011-1527 CVE-2011-1528 CVE-2011-1529
  88   CVE-2011-1530].
  89
  90 * Update the Fortuna implementation to more accurately implement the
  91   description in _Cryptography Engineering_, and make it the default
  92   PRNG.
  93
  94 * Add an alternative PRNG that relies on the OS native PRNG.
  95
  96 Developer experience:
  97
  98 * Add the ability for GSSAPI servers to use any keytab key for a
  99   specified service, if the server specifies a host-based name with no
 100   hostname component.
 101
 102 * In the build system, identify the source files needed for
 103   per-message processing within a kernel and ensure that they remain
 104   independent.
 105
 106 * Allow rd_safe and rd_priv to ignore the remote address.
 107
 108 * Rework KDC and kadmind networking code to use an event loop
 109   architecture.
 110
 111 * Add a plugin interface for providing configuration information.
 112
 113 Administrator experience:
 114
 115 * Add more complete support for renaming principals.
 116
 117 * Add the profile variable ignore_acceptor_hostname in libdefaults. If
 118   set, GSSAPI will ignore the hostname component of acceptor names
 119   supplied by the server, allowing any keytab key matching the service
 120   to be used.
 121
 122 * Add support for string attributes on principal entries.
 123
 124 * Allow password changes to work over NATs.
 125
 126 End-user experience:
 127
 128 * Add the DIR credential cache type, which can hold a collection of
 129   credential caches.
 130
 131 * Enhance kinit, klist, and kdestroy to support credential cache
 132   collections if the cache type supports it.
 133
 134 * Add the kswitch command, which changes the selected default cache
 135   within a collection.
 136
 137 * Add heuristic support for choosing client credentials based on the
 138   service realm.
 139
 140 * Add support for $HOME/.k5identity, which allows credential choice
 141   based on configured rules.
 142
 143 * Add support for localization. (No translations are provided in this
 144   release, but the infrastructure is present for redistributors to
 145   supply them.)
 146
 147 Protocol evolution:
 148
 149 * Make PKINIT work with FAST in the client library.
 150
 151 krb5-1.10 changes by ticket ID
 152 ------------------------------
 153
 154 6118    rename principals
 155 6323    kadmin: rename support
 156 6430    Avoid looping when preauth can't be generated
 157 6617    uninitialized values used in mkey-migration code
 158 6732    checks for openpty() aren't made using -lutil
 159 6770    kg_unseal leads to overlap of source and desitination in memcpy...
 160 6813    memory leak in gss_accept_sec_context
 161 6814    Improve kdb5_util load locking and recovery
 162 6816    potential memory leak in spnego
 163 6817    potential null dereference in gss mechglue
 164 6835    accept_sec_context RFC4121 support bug in 1.8.3
 165 6851    pkinit can't parse some valid cms messages
 166 6854    kadmin's ktremove can remove wrong entries when removing kvno 0
 167 6855    Improve acceptor name flexibility
 168 6857    missing ifdefs around IPv6 code
 169 6858    Assume ELF on FreeBSD if objformat doesn't exist
 170 6863    memory leak on SPNEGO error path
 171 6868    Defer hostname lookups in krb5_sendto_kdc
 172 6872    Fix memory leak in t_expire_warn
 173 6874    Fortuna as default PRNG
 174 6878    Add test script for user2user programs
 175 6887    Use first principal in keytab when verifying creds
 176 6890    Implement draft-josefsson-gss-capsulate
 177 6891    Add gss_userok and gss_pname_to_uid
 178 6892    Prevent bleed-through of mechglue symbols into loaded mechs
 179 6893    error codes from error responses can be discarded when there's e-data
 180 6894    More sensical mech selection for gss_acquire_cred/accept_sec_context
 181 6895    gss_duplicate_name SPI for SPNEGO
 182 6896    Allow anonymous name to be imported with empty name buffer
 183 6897    Default principal name in the acceptor cred corresponds to
 184         first entry in associated keytab.
 185 6898    Set correct minor_status value in call to gss_display_status.
 186 6902    S4U impersonated credential KRB5_CC_NOT_FOUND
 187 6904    Install k5login(5) as well as .k5login(5)
 188 6905    support poll() in sendto_kdc.c
 189 6909    Kernel subset
 190 6910    Account lockout policy parameters not documented
 191 6911    Account lockout policy options time format
 192 6914    krb5-1.9.1 static compile error +preliminary patch (fwd)
 193 6915    klist -s trips over referral entries
 194 6918    Localize user interface strings using gettext
 195 6921    Convert preauth_plugin.h to new plugin framework
 196 6922    Work around glibc getaddrinfo PTR lookups
 197 6923    Use AI_ADDRCONFIG for more efficient getaddrinfo
 198 6924    Fix multiple libkdb_ldap memory leaks
 199 6927    chpass_util.c improvements
 200 6928    use timegm() for krb5int_gmt_mktime() when available
 201 6929    Pluggable configuration
 202 6931    Add libedit/readline support to ss.
 203 6933    blocking recv caused our server to hang
 204 6934    don't require a default realm
 205 6944    gss_acquire_cred erroneous failure and potential segfault for caller
 206 6945    spnego_gss_acquire_cred_impersonate_name incorrect usage of
 207         impersonator_cred_handle
 208 6951    assertion failure when connections fail in service_fds()
 209 6953    Add the DIR ccache type
 210 6954    Add new cache collection APIs
 211 6955    Remove unneeded cccol behaviors
 212 6956    Add ccache collection support to tools
 213 6957    Add krb5_cc_select() API and pluggable interface
 214 6958    Make gss-krb5 use cache collection
 215 6961    Support pkinit: SignedData with no signers (KDC)
 216 6962    pkinit: client: Use SignedData for anonymous
 217 6964    Support special salt type in default krb5_dbe_cpw.
 218 6965    Remove CFLAGS and external deps from krb5-config --libs
 219 6966    Eliminate domain-based client realm walk
 220 6968    [PATCH] Man page fixes
 221 6969    Create e_data as pa_data in KDC interfaces.
 222 6971    Use type-safe callbacks in preauth interface
 223 6974    Make krb5_pac_sign public
 224 6975    Add PKINIT NSS support
 225 6976    Hide gak_fct interface and arguments in clpreauth
 226 6977    Install krb5/preauth_plugin.h
 227 6978    Allow rd_priv/rd_safe without remote address
 228 6979    Allow password changes over NATs
 229 6980    Ensure termination in Windows vsnprintf wrapper
 230 6981    SA-2011-006 KDC denial of service [CVE-2011-1527 CVE-2011-1528 CVE-2011-1529]
 231 6987    Fix krb5_cc_set_config
 232 6988    Fix handling of null edata method in KDC preauth
 233 6989    fix tar invocation in mkrel
 234 6992    Make krb5_find_authdata public
 235 6994    Fix intermediate key length in hmac-md5 checksum
 236 6995    Initialize typed_e_data in as_req_state
 237 6996    Make krb5_check_clockskew public
 238 6997    don't build po/ if msgfmt is missing
 239 6999    compile warnings, mininum version check for pkinit (NSS code paths)
 240 7000    Exit on error in kadmind kprop child
 241 7002    verto sshould have a pointer to upstream sources and be in NOTICE
 242 7003    Fix month/year units in getdate
 243 7006    Fix format string for TRACE_INIT_CREDS_SERVICE
 244 7014    Fix com_err.h dependencies in gss-kernel-lib
 245 7015    Add plugin interface_names entry for ccselect
 246 7017    Simplify and fix kdcpreauth request_body callback
 247 7018    Update verto to 0.2.2 release
 248 7019    Make verto context available to kdcpreauth modules
 249 7020    reading minor error message doesn't work for the IAKERB mech
 250 7021    Fix failure interval of 0 in LDAP lockout code
 251 7023    Clean up client-side preauth error data handling
 252 7027    FAST PKINIT
 253 7029    Fix --with-system-verto without pkg-config
 254 7030    Ldap dependency for parallel builds
 255 7033    krb5 1.10 KRB5_PADATA_ENC_TIMESTAMP isn't working
 256 7034    mk_cred: memory management
 257 7035    krb5_lcc_store() now ignores config credentials
 258 7036    Fix free ofuninitialized memory in sname_to_princ
 259 7037    Use LsaDeregisterLogonProcess(), not CloseHandle()
 260 7038    Added support for loading of Krb5.ini from Windows APPDATA
 261 7039    Handle TGS referrals to the same realm
 262 7042    SA-2011-007 KDC null pointer deref in TGS handling [CVE-2011-1530]
 263 7049    Fix subkey memory leak in krb5_get_credentials
 264 7050    KfW changes for krb5-1.10
 265
 266 Acknowledgements
 267 ----------------
 268
 269 Past and present Sponsors of the MIT Kerberos Consortium:
 270
 271     Apple
 272     Carnegie Mellon University
 273     Centrify Corporation
 274     Columbia University
 275     Cornell University
 276     The Department of Defense of the United States of America (DoD)
 277     Fidelity Investments
 278     Google
 279     Iowa State University
 280     MIT
 281     Michigan State University
 282     Microsoft
 283     The National Aeronautics and Space Administration
 284         of the United States of America (NASA)
 285     Network Appliance (NetApp)
 286     Nippon Telephone and Telegraph (NTT)
 287     Oracle
 288     Pennsylvania State University
 289     Red Hat
 290     Stanford University
 291     TeamF1, Inc.
 292     The University of Alaska
 293     The University of Michigan
 294     The University of Pennsylvania
 295
 296 Past and present members of the Kerberos Team at MIT:
 297
 298     Danilo Almeida
 299     Jeffrey Altman
 300     Justin Anderson
 301     Richard Basch
 302     Mitch Berger
 303     Jay Berkenbilt
 304     Andrew Boardman
 305     Bill Bryant
 306     Steve Buckley
 307     Joe Calzaretta
 308     John Carr
 309     Mark Colan
 310     Don Davis
 311     Alexandra Ellwood
 312     Carlos Garay
 313     Dan Geer
 314     Nancy Gilman
 315     Matt Hancher
 316     Thomas Hardjono
 317     Sam Hartman
 318     Paul Hill
 319     Marc Horowitz
 320     Eva Jacobus
 321     Miroslav Jurisic
 322     Barry Jaspan
 323     Geoffrey King
 324     Kevin Koch
 325     John Kohl
 326     HaoQi Li
 327     Jonathan Lin
 328     Peter Litwack
 329     Scott McGuire
 330     Steve Miller
 331     Kevin Mitchell
 332     Cliff Neuman
 333     Paul Park
 334     Ezra Peisach
 335     Chris Provenzano
 336     Ken Raeburn
 337     Jon Rochlis
 338     Jeff Schiller
 339     Jen Selby
 340     Robert Silk
 341     Bill Sommerfeld
 342     Jennifer Steiner
 343     Ralph Swick
 344     Brad Thompson
 345     Harry Tsai
 346     Zhanna Tsitkova
 347     Ted Ts'o
 348     Marshall Vale
 349     Tom Yu
 350
 351 The following external contributors have provided code, patches, bug
 352 reports, suggestions, and valuable resources:
 353
 354     Brandon Allbery
 355     Russell Allbery
 356     Brian Almeida
 357     Michael B Allen
 358     Heinz-Ado Arnolds
 359     Derek Atkins
 360     Mark Bannister
 361     David Bantz
 362     Alex Baule
 363     Arlene Berry
 364     Jeff Blaine
 365     Radoslav Bodo
 366     Emmanuel Bouillon
 367     Michael Calmer
 368     Julien Chaffraix
 369     Ravi Channavajhala
 370     Srinivas Cheruku
 371     Leonardo Chiquitto
 372     Howard Chu
 373     Andrea Cirulli
 374     Christopher D. Clausen
 375     Kevin Coffman
 376     Simon Cooper
 377     Sylvain Cortes
 378     Nalin Dahyabhai
 379     Dennis Davis
 380     Mark Deneen
 381     Roland Dowdeswell
 382     Jason Edgecombe
 383     Mark Eichin
 384     Shawn M. Emery
 385     Douglas E. Engert
 386     Peter Eriksson
 387     Juha Erkkilä
 388     Ronni Feldt
 389     Bill Fellows
 390     JC Ferguson
 391     William Fiveash
 392     Ákos Frohner
 393     Marcus Granado
 394     Scott Grizzard
 395     Helmut Grohne
 396     Steve Grubb
 397     Philip Guenther
 398     Dominic Hargreaves
 399     Jakob Haufe
 400     Paul B. Henson
 401     Jeff Hodges
 402     Christopher Hogan
 403     Love Hörnquist Åstrand
 404     Ken Hornstein
 405     Henry B. Hotz
 406     Luke Howard
 407     Jakub Hrozek
 408     Shumon Huque
 409     Jeffrey Hutzelman
 410     Wyllys Ingersoll
 411     Holger Isenberg
 412     Pavel Jindra
 413     Joel Johnson
 414     Mikkel Kruse
 415     Volker Lendecke
 416     Jan iankko Lieskovsky
 417     Kevin Longfellow
 418     Ryan Lynch
 419     Nathaniel McCallum
 420     Greg McClement
 421     Cameron Meadors
 422     Alexey Melnikov
 423     Franklyn Mendez
 424     Markus Moeller
 425     Kyle Moffett
 426     Paul Moore
 427     Keiichi Mori
 428     Zbysek Mraz
 429     Edward Murrell
 430     Nikos Nikoleris
 431     Felipe Ortega
 432     Andrej Ota
 433     Dmitri Pal
 434     Javier Palacios
 435     Tom Parker
 436     Ezra Peisach
 437     W. Michael Petullo
 438     Mark Phalan
 439     Jonathan Reams
 440     Robert Relyea
 441     Martin Rex
 442     Jason Rogers
 443     Mike Roszkowski
 444     Guillaume Rousse
 445     Tom Shaw
 446     Peter Shoults
 447     Simo Sorce
 448     Michael Spang
 449     Michael Ströder
 450     Bjørn Tore Sund
 451     Rathor Vipin
 452     Jorgen Wahlsten
 453     Max (Weijun) Wang
 454     John Washington
 455     Kevin Wasserman
 456     Margaret Wasserman
 457     Marcus Watts
 458     Simon Wilkinson
 459     Nicolas Williams
 460     Ross Wilper
 461     Xu Qiang
 462     Hanz van Zijst
 463
 464 The above is not an exhaustive list; many others have contributed in
 465 various ways to the MIT Kerberos development effort over the years.
 466 Other acknowledgments (for bug reports and patches) are in the
 467 doc/CHANGES file.