README

   1                    Kerberos Version 5, Release 1.9
   2
   3                             Release Notes
   4                         The MIT Kerberos Team
   5
   6 Copyright and Other Notices
   7 ---------------------------
   8
   9 Copyright (C) 1985-2010 by the Massachusetts Institute of Technology
  10 and its contributors.  All rights reserved.
  11
  12 Please see the file named NOTICE for additional notices.
  13
  14 Building and Installing Kerberos 5
  15 ----------------------------------
  16
  17 The first file you should look at is doc/install-guide.ps; it contains
  18 the notes for building and installing Kerberos 5.  The info file
  19 krb5-install.info has the same information in info file format.  You
  20 can view this using the GNU emacs info-mode, or by using the
  21 standalone info file viewer from the Free Software Foundation.  This
  22 is also available as an HTML file, install.html.
  23
  24 Other good files to look at are admin-guide.ps and user-guide.ps,
  25 which contain the system administrator's guide, and the user's guide,
  26 respectively.  They are also available as info files
  27 kerberos-admin.info and krb5-user.info, respectively.  These files are
  28 also available as HTML files.
  29
  30 If you are attempting to build under Windows, please see the
  31 src/windows/README file.
  32
  33 Reporting Bugs
  34 --------------
  35
  36 Please report any problems/bugs/comments using the krb5-send-pr
  37 program.  The krb5-send-pr program will be installed in the sbin
  38 directory once you have successfully compiled and installed Kerberos
  39 V5 (or if you have installed one of our binary distributions).
  40
  41 If you are not able to use krb5-send-pr because you haven't been able
  42 compile and install Kerberos V5 on any platform, you may send mail to
  43 krb5-bugs@mit.edu.
  44
  45 You may view bug reports by visiting
  46
  47 http://krbdev.mit.edu/rt/
  48
  49 and logging in as "guest" with password "guest".
  50
  51 DES transition
  52 --------------
  53
  54 The Data Encryption Standard (DES) is widely recognized as weak.  The
  55 krb5-1.7 release contains measures to encourage sites to migrate away
  56 from using single-DES cryptosystems.  Among these is a configuration
  57 variable that enables "weak" enctypes, which defaults to "false"
  58 beginning with krb5-1.8.
  59
  60 Major changes in 1.9
  61 --------------------
  62
  63 Code quality:
  64
  65 * Fix MITKRB5-SA-2010-007 checksum vulnerabilities (CVE-2010-1324 and others)
  66 * Python-based testing framework
  67 * DAL cleanup
  68
  69 Developer experience:
  70
  71 * NSS crypto back end
  72 * PRNG modularity
  73 * Fortuna-like PRNG
  74
  75 Performance:
  76
  77 * Account lockout performance improvements -- allow disabling of some
  78   account lockout functionality to reduce the number of write
  79   operations to the database during authentication
  80
  81 Administrator experience:
  82
  83 * Trace logging -- for easier diagnosis of configuration problems
  84
  85 * Support for purging old keys (e.g. from "cpw -randkey -keepold")
  86
  87 * Plugin interface for password sync -- based on proposed patches by
  88   Russ Allbery that support his krb5-sync package
  89
  90 * Plugin interface for password quality checks -- enables pluggable
  91   password quality checks similar to Russ Allbery's krb5-strength
  92   package
  93
  94 * Configuration file validator
  95
  96 * KDC support for SecurID preauthentication -- This is the old SAM-2
  97   protocol, implemented to support existing deployments, not the
  98   in-progress FAST-OTP work.
  99
 100 Protocol evolution:
 101
 102 * IAKERB -- a mechanism for tunneling Kerberos KDC transactions over
 103   GSS-API, enabling clients to authenticate to services even when the
 104   clients cannot directly reach the KDC that serves the services.
 105
 106 * Camellia encryption (experimental; disabled by default)
 107
 108 krb5-1.9 changes by ticket ID
 109 -----------------------------
 110
 111 1219    mechanism to delete old keys should exist
 112 2032    No advanced warning of password expiry
 113 5014    kadmin (and other utilities) should report enctypes as it takes them
 114 6647    Memory leak in kdc
 115 6672    Python test framework
 116 6679    Lazy history key creation
 117 6684    Simple kinit verbosity patch
 118 6686    IPv6 support for kprop and kpropd
 119 6688    mit-krb5-1.7 fails to compile against openssl-1.0.0
 120 6699    Validate and renew should work on non-TGT creds
 121 6700    Introduce new krb5_tkt_creds API
 122 6712    Add IAKERB mechanism and gss_acquire_cred_with_password
 123 6714    [patch] fix format errors in krb5-1.8.1
 124 6715    cksum_body exports
 125 6719    Add lockout-related performance tuning variables
 126 6720    Negative enctypes improperly read from keytabs
 127 6723    Negative enctypes improperly read from ccaches
 128 6733    Make signedpath authdata visible via GSS naming exts
 129 6736    Add krb5_enctype_to_name() API
 130 6737    Trace logging
 131 6746    Make kadmin work over IPv6
 132 6749    DAL improvements
 133 6753    Fix XDR decoding of large values in xdr_u_int
 134 6755    Add GIC option for password/account expiration callback
 135 6758    Allow krb5_gss_register_acceptor_identity to unset keytab name
 136 6760    Fail properly when profile can't be accessed
 137 6761    add profile include support
 138 6762    key expiration computed incorrectly in libkdb_ldap
 139 6763    New plugin infrastructure
 140 6765    Password quality pluggable interface
 141 6769    clean up memory leak and potential unused variable in crypto tests
 142 6771    Fix memory leaks in kdb5_verify
 143 6772    Ensure valid key in krb5int_yarrow_cipher_encrypt_block
 144 6774    pkinit client cert matching can be disrupted by one of the
 145         candidate certs
 146 6775    pkinit <KU> evaluation during certificate matching may fail
 147 6776    Typos in src/plugins/preauth/pkinit/pkinit_crypto_openssl.c
 148 6777    Segmentation fault in krb library (sn2princ.c) if realm not resolved
 149 6778    kdb: store mkey list in context and permit NULL mkey for
 150         kdb_dbe_decrypt_key_data
 151 6779    kinit: add KDB keytab support
 152 6783    KDC worker processes feature
 153 6784    relicense Sun RPC to 3-clause BSD-style
 154 6785    Add gss_krb5_import_cred
 155 6786    kpasswd: if a credential cache is present, use FAST
 156 6787    S4U memory leak
 157 6791    kadm5_hook: new plugin interface
 158 6792    Implement k5login_directory and k5login_authoritative options
 159 6793    acquire_init_cred leaks interned name
 160 6795    Propagate modprinc -unlock from master to slave KDCs
 161 6796    segfault due to uninitialized variable in S4U
 162 6799    Performance issue in LDAP policy fetch
 163 6801    Fix leaks in get_init_creds interface
 164 6802    copyright notice updates
 165 6804    Remove KDC replay cache
 166 6805    securID code fixes
 167 6806    securID error handling fix
 168 6807    SecurID build support
 169 6809    gss_krb5int_make_seal_token_v3_iov fails to set conf_state
 170 6810    Better  libk5crypto NSS fork safety
 171 6811    Mark Camellia-CCM code as experimental
 172 6812    krb5_get_credentials should not fail due to inability to store
 173         a credential in a cache
 174 6815    Failed kdb5_util load removes real database
 175 6819    Handle referral realm in kprop client principal
 176 6820    Read KDC profile settings in kpropd
 177 6822    Implement Camellia-CTS-CMAC instead of Camellia-CCM
 178 6823    getdate.y: declare yyparse
 179 6824    Export krb5_tkt_creds_get
 180 6825    Add missing KRB5_CALLCONV in callback declaration
 181 6826    Fix Windows build
 182 6827    SA-2010-007 Checksum vulnerabilities (CVE-2010-1324 and others)
 183 6828    Install kadm5_hook_plugin.h
 184 6829    Implement restrict_anonymous_to_tgt realm flag
 185 6838    Regression in renewable handling
 186 6839    handle MS PACs that lack server checksum
 187 6840    typo in plugin-related error message
 188 6841    memory leak in changepw.c
 189 6842    Ensure time() is prototyped in g_accept_sec_context.c
 190
 191 Acknowledgements
 192 ----------------
 193
 194 Past and present Sponsors of the MIT Kerberos Consortium:
 195
 196     Apple
 197     Carnegie Mellon University
 198     Centrify Corporation
 199     Columbia University
 200     Cornell University
 201     The Department of Defense of the United States of America (DoD)
 202     Google
 203     Iowa State University
 204     MIT
 205     Michigan State University
 206     Microsoft
 207     The National Aeronautics and Space Administration
 208         of the United States of America (NASA)
 209     Network Appliance (NetApp)
 210     Nippon Telephone and Telegraph (NTT)
 211     Oracle
 212     Pennsylvania State University
 213     Red Hat
 214     Stanford University
 215     TeamF1, Inc.
 216     The University of Alaska
 217     The University of Michigan
 218     The University of Pennsylvania
 219
 220 Past and present members of the Kerberos Team at MIT:
 221
 222     Danilo Almeida
 223     Jeffrey Altman
 224     Justin Anderson
 225     Richard Basch
 226     Mitch Berger
 227     Jay Berkenbilt
 228     Andrew Boardman
 229     Bill Bryant
 230     Steve Buckley
 231     Joe Calzaretta
 232     John Carr
 233     Mark Colan
 234     Don Davis
 235     Alexandra Ellwood
 236     Dan Geer
 237     Nancy Gilman
 238     Matt Hancher
 239     Thomas Hardjono
 240     Sam Hartman
 241     Paul Hill
 242     Marc Horowitz
 243     Eva Jacobus
 244     Miroslav Jurisic
 245     Barry Jaspan
 246     Geoffrey King
 247     Kevin Koch
 248     John Kohl
 249     HaoQi Li
 250     Peter Litwack
 251     Scott McGuire
 252     Steve Miller
 253     Kevin Mitchell
 254     Cliff Neuman
 255     Paul Park
 256     Ezra Peisach
 257     Chris Provenzano
 258     Ken Raeburn
 259     Jon Rochlis
 260     Jeff Schiller
 261     Jen Selby
 262     Robert Silk
 263     Bill Sommerfeld
 264     Jennifer Steiner
 265     Ralph Swick
 266     Brad Thompson
 267     Harry Tsai
 268     Zhanna Tsitkova
 269     Ted Ts'o
 270     Marshall Vale
 271     Tom Yu
 272
 273 The following external contributors have provided code, patches, bug
 274 reports, suggestions, and valuable resources:
 275
 276     Brandon Allbery
 277     Russell Allbery
 278     Brian Almeida
 279     Michael B Allen
 280     Derek Atkins
 281     David Bantz
 282     Alex Baule
 283     Arlene Berry
 284     Jeff Blaine
 285     Radoslav Bodo
 286     Emmanuel Bouillon
 287     Michael Calmer
 288     Ravi Channavajhala
 289     Srinivas Cheruku
 290     Leonardo Chiquitto
 291     Howard Chu
 292     Andrea Cirulli
 293     Christopher D. Clausen
 294     Kevin Coffman
 295     Simon Cooper
 296     Sylvain Cortes
 297     Nalin Dahyabhai
 298     Roland Dowdeswell
 299     Jason Edgecombe
 300     Mark Eichin
 301     Shawn M. Emery
 302     Douglas E. Engert
 303     Peter Eriksson
 304     Ronni Feldt
 305     Bill Fellows
 306     JC Ferguson
 307     William Fiveash
 308     Ákos Frohner
 309     Marcus Granado
 310     Scott Grizzard
 311     Helmut Grohne
 312     Steve Grubb
 313     Philip Guenther
 314     Dominic Hargreaves
 315     Jakob Haufe
 316     Jeff Hodges
 317     Love Hörnquist Åstrand
 318     Ken Hornstein
 319     Henry B. Hotz
 320     Luke Howard
 321     Jakub Hrozek
 322     Shumon Huque
 323     Jeffrey Hutzelman
 324     Wyllys Ingersoll
 325     Holger Isenberg
 326     Pavel Jindra
 327     Joel Johnson
 328     Mikkel Kruse
 329     Volker Lendecke
 330     Jan iankko Lieskovsky
 331     Ryan Lynch
 332     Franklyn Mendez
 333     Markus Moeller
 334     Paul Moore
 335     Zbysek Mraz
 336     Edward Murrell
 337     Nikos Nikoleris
 338     Dmitri Pal
 339     Javier Palacios
 340     Ezra Peisach
 341     W. Michael Petullo
 342     Mark Phalan
 343     Robert Relyea
 344     Martin Rex
 345     Jason Rogers
 346     Mike Roszkowski
 347     Guillaume Rousse
 348     Tom Shaw
 349     Peter Shoults
 350     Simo Sorce
 351     Michael Ströder
 352     Bjørn Tore Sund
 353     Rathor Vipin
 354     Jorgen Wahlsten
 355     Max (Weijun) Wang
 356     John Washington
 357     Marcus Watts
 358     Simon Wilkinson
 359     Nicolas Williams
 360     Ross Wilper
 361     Xu Qiang
 362     Hanz van Zijst
 363
 364 The above is not an exhaustive list; many others have contributed in
 365 various ways to the MIT Kerberos development effort over the years.
 366 Other acknowledgments (for bug reports and patches) are in the
 367 doc/CHANGES file.