NEWS

   1                     User-Visible krb5-strength Changes
   2
   3 krb5-strength 2.0 (unreleased)
   4
   5     Add support for the MIT Kerberos password quality plugin interface,
   6     available in MIT Kerberos 1.9 and later, contributed by Greg Hudson
   7     and MIT.  Drop the patch for MIT Kerberos 1.4 (and hence support for
   8     versions of MIT Kerberos prior to 1.9).
   9
  10     Add support for building with TinyCDB and then checking passwords
  11     against a CDB database.  There is a new password_dictionary_cdb
  12     krb5.conf configuration setting that configures a CDB directory to
  13     use.  The tests with a CDB dictionary are much simpler: passwords are
  14     rejected if found in the dictionary either literally, with one or two
  15     characters removed from the start or end, or with one character
  16     removed from both the start and the end.  Both a CrackLib and a CDB
  17     dictionary can be specified to check both dictionaries.  A new
  18     cdbmake-wordlist utility (written in Perl) is included to ease the
  19     process of creating a CDB database from a simple word list.
  20
  21     The plugin now sets the Kerberos error message in the context to pass
  22     error information, resulting in higher-quality error reporting in the
  23     MIT Kerberos plugin.
  24
  25     CrackLib checks for passwords where a character is a simple increment
  26     or decrement of the previous character.  In previous versions, the
  27     embedded version of CrackLib allowed at most four such occurrences in
  28     the entire password.  This results in false positives on long
  29     passphrases, since such accidental letter relationships aren't
  30     uncommon in human languages.  Change the embedded CrackLib to allow
  31     one such simple increment for every three characters in the password,
  32     which tightens the check somewhat for shorter passwords and loosens it
  33     considerably for longer passwords.
  34
  35     Expect the Heimdal password strength checking plugin header in
  36     kadm5/kadm5-pwcheck.h instead of outside of the kadm5 directory.  This
  37     is the path used by current versions of Heimdal.
  38
  39     Update to rra-c-util 4.9:
  40
  41     * Probe for Kerberos headers using file checks instead of compiles.
  42     * Improve probe for the Heimdal libroken library.
  43     * Always build with large file support.
  44     * Conditionally call AM_PROG_AR for portability to new Autotools.
  45
  46     Update to C TAP Harness 2.2:
  47
  48     * Allow more easily running single programs under tests/runtests.
  49     * Flush the output from the test harness after each test.
  50
  51 krb5-strength 1.1 (2012-05-11)
  52
  53     Change the minimum password length in the embedded CrackLib to 8.
  54
  55     Reject passwords formed from the username portion of the principal
  56     with digits appended.
  57
  58     In the embedded CrackLib, also check for a duplicated dictionary word.
  59
  60     Support linking with the system CrackLib instead of the embedded and
  61     stricter copy by passing --with-cracklib to configure.
  62
  63     Fix variable sizes in the embedded CrackLib on 64-bit platforms.  This
  64     may fix interoperability problems with databases created on platforms
  65     with a different native integer size.  Thanks, Karl Lehnberger and
  66     Benj Carson.
  67
  68     Stop using local in the test suite for portability to Solaris /bin/sh.
  69
  70     Update to rra-c-util 4.4:
  71
  72     * Use PATH_KRB5_CONFIG to override krb5-config location.
  73     * Fix probing for ibm_svc/krb5_svc.h on AIX.
  74     * Support Heimdal libraries without libroken, like OpenBSD.
  75     * Fix manual Kerberos library probing without transitive dependencies.
  76     * Support systems that only have krb5/krb5.h.
  77     * Pass --deps to krb5-config in the non-reduced-dependencies case.
  78     * Silence __attribute__ warnings on more compilers.
  79     * Update warning flags for make warnings.
  80     * Flesh out MAINTCLEANFILES to remove autogen results.
  81     * Add notices to all files copied from rra-c-util.
  82
  83     Update to C TAP Harness 1.12:
  84
  85     * Drop is_double from the C TAP library to avoid requiring -lm.
  86     * Avoid using local in the shell libtap.sh library.
  87     * Silence __attribute__ warnings on more compilers.
  88     * runtests now frees all allocated resources on exit.
  89     * Fix runtests to still honor SOURCE and -s without BUILD and -b.
  90     * Add tests/HOWTO documenting how to add new tests.
  91     * Ensure correct output ordering in test results.
  92     * Add -h and a better usage message to tests/runtests.
  93
  94 krb5-strength 1.0 (2010-02-16)
  95
  96     Add heimdal-strength, a program that checks password strength using
  97     the protocol for a Heimdal external check program.
  98
  99     The shared module now also exports the interface expected by Heimdal's
 100     dynamically loaded password strength checking API and can be used as a
 101     Heimdal kadmin plugin.
 102
 103     Add a new plugin API for MIT Kerberos modelled after the plugin API
 104     used for other MIT Kerberos plugins.  Thanks to Marcus Watts for
 105     substantial research and contributions to the interface design.  This
 106     work is incomplete in this release, missing the corresponding patch to
 107     MIT Kerberos.
 108
 109     Fixed the data format written by the included packer program to add
 110     enough nul bytes at the end of the data.  Previously, there was not
 111     enough trailing nul bytes for the expected input format, leading to
 112     uninitialized memory reads in the password lookup.
 113
 114     Add a test suite using the driver and library from C TAP Harness 1.1.
 115
 116     Add portability code for platforms without a working snprintf or other
 117     deficiencies and updated the code to take advantage of those
 118     guarantees.
 119
 120 krb5-strength 0.5 (2007-07-18)
 121
 122     The check of the password against the principal checked against the
 123     fully-qualified principal, which is not the usual problem.
 124     Additionally check that the password doesn't match the principal with
 125     the realm removed or the reverse of that (case-insensitive).
 126
 127 krb5-strength 0.4 (2007-03-28)
 128
 129     The patches directory was omitted from the distribution.  Really
 130     include it.
 131
 132 krb5-strength 0.3 (2007-03-23)
 133
 134     Initial public release.  Includes a patch for MIT Kerberos, a slightly
 135     modified version of CrackLib, and glue wrapped around CrackLib to make
 136     a loadable module.