Declare fast forward from 4.7.0-5

[dgit --quilt=gbp --overwrite]

Correctly honor WebKdcTokenMaxTTL for request tokens

Gbp-Pq: Name 0005-Correctly-honor-WebKdcTokenMaxTTL-for-request-tokens.patch

Set secure cookie flag properly with WebAuthSSLReturn

If WebAuthSSLReturn is set to true, we may see non-SSL connections
that are SSL from the perspective of the browser (such as a WebAuth
server behind an L7 load balancer that does SSL termination).  In
this case, we still want to set the secure flag on the cookie so that
the browser properly restricts it to SSL connections.

Trigger setting the secure flag off the combination of whether the
request is SSL and whether WebAuthSSLReturn is set, rather than
just the former.

Gbp-Pq: Name 0004-Set-secure-cookie-flag-properly-with-WebAuthSSLRetur.patch

Add missing word in generic help for remember checkbox

There was a missing "neither" that made the help documentation
confusing.  Reported in Debian Bug#783289.

Change-Id: Ie1e3c1201cd3968fdebb592bf9bc86c95df36f79

Gbp-Pq: Name 0003-Add-missing-word-in-generic-help-for-remember-checkb.patch

Suppress CGI warnings from param in list context

Force scalar context to eliminate the new warning from the CGI
module:

FastCGI: server "/usr/share/webkdc/cgi/login.fcgi" stderr: CGI::param
called in list context from package WebLogin line 1615, this can lead
to vulnerabilities. See the warning in "Fetching the value or values
of a single named parameter" at /usr/share/perl5/CGI.pm line 436.

Gbp-Pq: Name 0002-Suppress-CGI-warnings-from-param-in-list-context.patch

Fix OpenSSL library probe

OpenSSL 1.1 doesn't have SSL_library_init as a regular function.
Use a different function to  probe for the OpenSSL library.

Gbp-Pq: Name 0001-Fix-OpenSSL-library-probe.patch

Finalize changes for 4.7.0-6

Fix syntax error in secure cookie patch

Orphan the package

* Orphan this package, since I no longer use it and cannot therefore
  test or maintain it properly.  It has also been orphaned upstream.

Use https URL in debian/watch

Update standards version to 4.1.3

Add various patches submitted upstream

Upstream is dead and probably won't merge these, and they're all
good bug fixes, so add them to this final (by me) upload of the
Debian package.

Switch to the DEP-14 branch layout

* Switch to the DEP-14 branch layout and update debian/gbp.conf and
  Vcs-Git accordingly.

Update debhelper compatibility level to V11

* Update debhelper compatibility level to V11.
  - Remove now-unnecessary explicit dependency on dh-autoreconf.

Upload to unstable instead

OpenSSL has symbol versioning and we don't mess about inside Apache,
so we should be able to upload straight to unstable.

Change upload target to experimental

Fix OpenSSL library probe

OpenSSL 1.1 doesn't have SSL_library_init as a regular function.
Use a different function to  probe for the OpenSSL library.

Gbp-Pq: Name 0001-Fix-OpenSSL-library-probe.patch

webauth (4.7.0-5) unstable; urgency=medium

  * Update build dependency to libssl-dev (OpenSSL 1.1).  (Closes: #859788)
  * Remove old transitional packages for the Apache module renaming.
  * Update standards version to 4.0.1.
    - Change all extra priorities to optional.

[dgit import unpatched webauth 4.7.0-5]

Import webauth_4.7.0-5.debian.tar.xz

[dgit import tarball webauth 4.7.0-5 webauth_4.7.0-5.debian.tar.xz]

Add bug closer for OpenSSL 1.1

Drop transitional packages, bump standards version

* Remove old transitional packages for the Apache module renaming.
* Update standards version to 4.0.1.
  - Change all extra priorities to optional.

Build against OpenSSL 1.1

Finalize changes for 4.7.0-4

Update standards version to 3.9.8

Add bug closer for FTBFS bug

Depend on libssl1.0-dev

* Depend on libssl1.0-dev anyway, since Apache currently requires
  libssl1.0-dev and otherwise build dependencies are not installable.

Run wrap-and-sort -ast

Fix a duplicate word in debian/copyright

Change Vcs-Git and Vcs-Browser to https URLs

Fix duplicate words in the documentation caught by Lintian

Mark libwebauth-perl Multi-Arch: same

* Mark libwebauth-perl Multi-Arch: same, trusting the multiarch hinter
  to be correct about this.

Add configure patch for OpenSSL library detection

* Add a patch to change the function used to probe for the OpenSSL
  library, allowing WebAuth to build against OpenSSL 1.1.

Fix typo in bug closer in the changelog

Override apache2-module-depends-on-real-apache2-package

* Add overrides for apache2-module-depends-on-real-apache2-package,
  which appears to be a bug in either lintian or dh_apache2.

Mention WebKDC in the libwebkdc-perl package description

* Mention WebKDC in the description of libwebkc-perl in case someone is
  searching for packages containing that module.

Build-Depend on libmodule-build-perl

* Explicitly Build-Depend on libmodule-build-perl, since it will be
  removed from Perl core in the next release.  (Closes: #7961560)

Merge pull request #3 from rra/debian

Debian

Finalize changes for 4.7.0-2

Change-Id: I808ffc031f1a7ac11ed36d55c518dfafadc36ebe

Refresh debian/copyright

Change-Id: I8745ee9898c0f1150cc6e522ceed3d77a72bf8f4

Fix upstream distribution signing key

Change-Id: Id12c850d9118b8379563ad75575d55c388acf20b

Add debian/gbp.conf for repository layout

* Add debian/gbp.conf reflecting the branch layout of the default
  packaging repository.

Change-Id: I443c538d160bda08d6f79d260c471100a6dc4ce3

Add unconditional dependency on libtime-duration-perl

Moved libtime-duration-perl to Depends from Suggests.  This is now
used unconditionally upstream.  (Closes: #783288)

Change-Id: I7e537475bec7dcc6a4f97bfeae26e4ad5d811bac

Start changelog for 4.7.0-2

Change-Id: I8adcebabe1c684bc92c8d9aa429dcb30f10622f0

Update standards version to 3.9.6

Import webauth_4.7.0.orig.tar.xz

[dgit import orig webauth_4.7.0.orig.tar.xz]

Rename libwebauth11 to libwebauth12 for upstream SONAME change

Update changelog for the experimental upload to Debian

Updated changelog for new release

control: Added new perl dependencies and libjansson dependencies

Merge tag 'upstream/4.7.0' into debian

Upstream version 4.7.0

Imported Upstream version 4.7.0

Release 4.7.0

New mod_webauth tests now include lib path

Short and dirty hack as I'm not sure where I want to put these in the
end, to pass the strict testing for now.

Finished first pass at mod_webkdc automated tests

The main tests are now all complete save PHP.  The multifactor tests
have been halted for now due to waiting on template completion and
having higher-priority tasks to finish.

WebLogin.pm: Tickle the error flag for error_multifactor_tiemout

WebAuth.pm: Added missing WA_PEC_LOGIN_TIMEOUT

run-tests: Fixed declaration errors

Updated new run-tests scripts to use better version requirement

Give a validation remctl command its own timeout error

In order to set up out of band methods that will time out if the user
doesn't respond to the out of band prompt (such as a phone call), we
need to have a validation remctl call tell us specifically if it timed
out.  Currently it's just sent as a WK_ERR_UNRECOVERABLE_ERROR, which
makes it impossible to carve out special logic for a timeout.  This will
now be sent as its own error code.

Currently this is only true for validate and not for the userinfo
command.  If we later need to do special things for userinfo timeouts as
well, we'll build on this work.

WebLogin.pm: Fixed an error with devices_cache

I'd forgotten that we needed to reset it explicitly and that it wouldn't
just get picked up again on page reload.

First pass at updating all tests for clarity and auto-running

Clarified a lot of the test information on the index page.  Started to
do scripts with WWW::Mechanize to test an install.  These tests do rely
on the Stanford templates so aren't good for general use.  But then, the
multifactor tests were already relying on assumptions about our
infrastructure.

WebLogin.pm: Fixed missing initial freeze of devices for hidden field

WebLogin.pm: Push device id to SMS command

mod_webkdc.c: Fixed default factor XML from <id> to <factor>

Change-Id: Ia4ac5e78f6b6808eab1ef6848a88a25ab548138b
Reviewed-on: https://gerrit.stanford.edu/1617
Reviewed-by: Jon Robertson <jonrober@stanford.edu>
Tested-by: Jon Robertson <jonrober@stanford.edu>

WebLogin: Changes for better multifactor handling

* Reread multifactor data from fields on the multifactor template page.
* Pass a FreezeThaw version of the devices to the template as well, so
  that it can be kept for future iterations.
* Attempt multifactor login even if there is no passcode given, to
  accomodate non-passcode methods.
* Catch the unrecoverable error page from multifactor temporarily, as
  we'll hit that error if an out-of-band method times out.  Later we
  want to expose the timeout as an actual error on its own instead so
  that we can match against it rather than unrecoverable error.

Change-Id: I950b200c9ab58abfff9e59f65b29cd06c4c8d98c
Reviewed-on: https://gerrit.stanford.edu/1618
Reviewed-by: Jon Robertson <jonrober@stanford.edu>
Tested-by: Jon Robertson <jonrober@stanford.edu>

mod_webkdc.c: Fixed typo of response->devices to response-logins

Change-Id: Idc5563e974100763aedb7b899644aec4c6cd869e
Reviewed-on: https://gerrit.stanford.edu/1616
Reviewed-by: Jon Robertson <jonrober@stanford.edu>
Tested-by: Jon Robertson <jonrober@stanford.edu>

Add temporary test code to the multifactor template

To check the data returned from the WebKDC for the default device
and factor, and for the device list, add some temporary testing
code to print all of that out in the template.  This should probably
be removed before a release.

Change-Id: I703045244f79bdd07881314ad4cb1d92dd73a808
Reviewed-on: https://gerrit.stanford.edu/1615
Reviewed-by: Russ Allbery <rra@stanford.edu>
Tested-by: Russ Allbery <rra@stanford.edu>

Add support for new multifactor data in WebLogin code

Support reading device_id from the posted form and passing it
through in the login token.  Support reading the default device
and factor and the device list from mod_webkdc and exposing it
to the templates.  Not yet tested thoroughly or end-to-end.

Change-Id: I14f9f5acafe8c00a249e29a6e43c3c48de1ce0c3
Reviewed-on: https://gerrit.stanford.edu/1614
Reviewed-by: Russ Allbery <rra@stanford.edu>
Tested-by: Russ Allbery <rra@stanford.edu>

Add new WebKdcUserInfoJSON configuration directive

Expose the new JSON mode of the user information service in the
mod_webkdc configuration with a new WebKdcUserInfoJSON directive.

Change-Id: I668b3b23294a0bc7df88ffe1cb4926c5d9becf83
Reviewed-on: https://gerrit.stanford.edu/1613
Reviewed-by: Russ Allbery <rra@stanford.edu>
Tested-by: Russ Allbery <rra@stanford.edu>

Provide the device and default factor information to WebLogin

Pass the device information and default device through from the
user information service to the response to a WebLogin
<requestTokenRequest> so that it can be, eventually, passed all the
way to the templates.

Change-Id: I550aa18e21788e24ebd103d0ce859272e40d23de
Reviewed-on: https://gerrit.stanford.edu/1612
Reviewed-by: Russ Allbery <rra@stanford.edu>
Tested-by: Russ Allbery <rra@stanford.edu>

Bump Perl module version numbers

Change-Id: I604384d7ec83f55933bcf5656eecf309cb8d1a3b
Reviewed-on: https://gerrit.stanford.edu/1611
Reviewed-by: Russ Allbery <rra@stanford.edu>
Tested-by: Russ Allbery <rra@stanford.edu>

Add support for default and device info in userinfo calls

In the JSON implementation of the user information call, add
support for reading default device information and the list of
configured devices.  Add support for passing in the device ID
for validate calls, and pull it out of the login token.  (This
field is ignored with the old XML protocol.)

Change-Id: Iffadd85499024000b459dada843de29a1b9462ed
Reviewed-on: https://gerrit.stanford.edu/1610
Reviewed-by: Russ Allbery <rra@stanford.edu>
Tested-by: Russ Allbery <rra@stanford.edu>

Change the protocol for returning device information to WebLogin

Use more, separate XML elements to better match the information
model returned by the user information service using JSON, instead
of collapsing everything as attributes.

Change-Id: I9916fe0be77ccd189c6527576b10257c781ff854
Reviewed-on: https://gerrit.stanford.edu/1609
Reviewed-by: Russ Allbery <rra@stanford.edu>
Tested-by: Russ Allbery <rra@stanford.edu>

Recognize more failed login error codes from Kerberos

Recognize KRB5_BAD_ENCTYPE, KRB5_GET_IN_TKT_LOOP, KRB5_PREAUTH_FAILED,
and KRB5KRB_AP_ERR_MODIFIED as additional synonyms for a failed login
error code.  Various combinations of recent MIT and Heimdal with
different KDCs return these error codes if the password is incorrect.

Change-Id: I7d6e3621d497ce1c74924e058aebc5ff388ee332
Reviewed-on: https://gerrit.stanford.edu/1608
Reviewed-by: Russ Allbery <rra@stanford.edu>
Tested-by: Russ Allbery <rra@stanford.edu>

Add new device_id field to login tokens

This will be used by WebLogin to pass the authenticating device
identifier through to the WebKDC.  Add the field to the login
token encoding and to all of the various tests, and adjust the
test suite construction of login tokens to account for the extra
field.  Pass through a value in multifactor tests in preparation
for further tests that actually use that field.

Change-Id: I00cfbe3ed3ebe57294c8caa4c0e1041301e21577
Reviewed-on: https://gerrit.stanford.edu/1607
Reviewed-by: Russ Allbery <rra@stanford.edu>
Tested-by: Russ Allbery <rra@stanford.edu>

Fix the title of the Libtool versioning chapter in HACKING

Change-Id: Idd00dfaa3078fbb6ccc9a93c198e57c1cd2d75cd
Reviewed-on: https://gerrit.stanford.edu/1606
Reviewed-by: Russ Allbery <rra@stanford.edu>
Tested-by: Russ Allbery <rra@stanford.edu>

Add a note about possible Kerberos APIs for ticket serialization

Peter Mogensen pointed out MIT Kerberos APIs that can be used to
serialize a ticket in a native format, which would be a nice
replacement for our home-grown serialization format.  Add a note
about that to TODO.

Change-Id: I3474b97b71e46c23e92a735427f6e6887925d412
Reviewed-on: https://gerrit.stanford.edu/1605
Reviewed-by: Russ Allbery <rra@stanford.edu>
Tested-by: Russ Allbery <rra@stanford.edu>

Update HACKING with further steps in the release process

Document bumping the shared library versioning and the Debian
package build step.

Change-Id: I5abe7939a34d02f0b0336b462f034f1b6de1cdaf
Reviewed-on: https://gerrit.stanford.edu/1604
Reviewed-by: Russ Allbery <rra@stanford.edu>
Tested-by: Russ Allbery <rra@stanford.edu>

Bump shared library versioning

The addition of the new json flag in the user information service
configuration will force this, and I plan on changing the API for
the user information service calls as well.

Change-Id: I0617dd16d8a0e55049916e449c8050d1dfa48b99
Reviewed-on: https://gerrit.stanford.edu/1603
Reviewed-by: Russ Allbery <rra@stanford.edu>
Tested-by: Russ Allbery <rra@stanford.edu>

Refactor JSON command construction

Avoid some duplicate code by pulling out the mechanics of building
the argv vector into a separate function.

Change-Id: I7c2716140cb305dd99febbb2118cf6a9f9dd9236
Reviewed-on: https://gerrit.stanford.edu/1602
Reviewed-by: Russ Allbery <rra@stanford.edu>
Tested-by: Russ Allbery <rra@stanford.edu>

Refactor JSON argument construction with macros

Add macros that wrap the error checking when building JSON objects
and that correctly free temporary objects.  Use that to restructure
the command construction so that it shouldn't leak memory and is
much easier to read.

Change-Id: Ic60d73a9c2b6646740528feb9aca6215d492ba6e
Reviewed-on: https://gerrit.stanford.edu/1601
Reviewed-by: Russ Allbery <rra@stanford.edu>
Tested-by: Russ Allbery <rra@stanford.edu>

Use macros to clean up JSON parsing

Add a set of macros that do proper return status checking, and
make use of those to make the JSON parsing code less horrible
and more succinct.

Change-Id: I5fbee0733d1320e94212c9ea78f58dbef505545e
Reviewed-on: https://gerrit.stanford.edu/1600
Reviewed-by: Russ Allbery <rra@stanford.edu>
Tested-by: Russ Allbery <rra@stanford.edu>

Make perltidy happy with cmd-webkdc-json formatting

Change-Id: Ibe8880aa047c28feaddc82038589de0cf5878041
Reviewed-on: https://gerrit.stanford.edu/1599
Reviewed-by: Russ Allbery <rra@stanford.edu>
Tested-by: Russ Allbery <rra@stanford.edu>

Refactor userinfo code

Separate the remctl support, XML parsing, and JSON parsing into
separate source files to make each source file more comprehensible.

While doing this, stop always sending ip to the user information
service in the JSON protocol.  Now that we have a protocol that can
handle optional arguments easily, don't send ip if we don't have an
IP address.

Change-Id: I956e926dbaee5a742d80b0d5a27ffeda1456a7bf
Reviewed-on: https://gerrit.stanford.edu/1598
Reviewed-by: Russ Allbery <rra@stanford.edu>
Tested-by: Russ Allbery <rra@stanford.edu>

Fix skipped test count in userinfo tests

When userinfo tests failed, the number of tests skipped was often
not correct.  Fix most (but possibly not all) of the counts.

Change-Id: Iacd908be23c095f399634b4c37346f7a3a205804
Reviewed-on: https://gerrit.stanford.edu/1597
Reviewed-by: Russ Allbery <rra@stanford.edu>
Tested-by: Russ Allbery <rra@stanford.edu>

Attempt multifactor tests twice, with and without JSON

For further testing of the JSON user information service, run all
the multifactor login tests twice, once with XML and once with
JSON.

Change-Id: I08c06a174e1eaa657cb70828ad62b8506d12c470
Reviewed-on: https://gerrit.stanford.edu/1596
Reviewed-by: Russ Allbery <rra@stanford.edu>
Tested-by: Russ Allbery <rra@stanford.edu>

Fix userinfo test suite for JSON, fix various issues revealed

The test suite wasn't actually being run due to a logic error.
Correct that issue and fix various issues uncovered by the test
suite.

Change-Id: I64d21e33456db1c64ddf0db82be8b3fabe507530
Reviewed-on: https://gerrit.stanford.edu/1595
Reviewed-by: Russ Allbery <rra@stanford.edu>
Tested-by: Russ Allbery <rra@stanford.edu>

Remove unused JSON test files

I never ended up using the generic success and failure test files.

Change-Id: Ia15fd11eb503e19d807c85ab2143552ea01f3926
Reviewed-on: https://gerrit.stanford.edu/1594
Reviewed-by: Russ Allbery <rra@stanford.edu>
Tested-by: Russ Allbery <rra@stanford.edu>

Ignore a memory leak in MIT Kerberos mechlist initialization

This is a real, if small, leak, but it's in the MIT Kerberos GSS-API
implementation, so there's nothing other code can do about it.

Change-Id: Iaa41282508b809eeca4bf2c40c583a7ddbd0a371
Reviewed-on: https://gerrit.stanford.edu/1593
Reviewed-by: Russ Allbery <rra@stanford.edu>
Tested-by: Russ Allbery <rra@stanford.edu>

Close memory leak on user information service failure

Make sure that we free the JSON-encoded argument before returning
the error.

Change-Id: Ic3f9942896022a7b979b3eb63f4cc674c9bbea87
Reviewed-on: https://gerrit.stanford.edu/1592
Reviewed-by: Russ Allbery <rra@stanford.edu>
Tested-by: Russ Allbery <rra@stanford.edu>

Enable JSON testing and fix one minor bug

Enable testing of the new JSON support in the user information
service, and fix one minor bug that surfaced in that testing.
The JSON code now produces results equivalent to the non-JSON
code.

Change-Id: If037f546d0e7a61f6707a28601e9fd4443d92adb
Reviewed-on: https://gerrit.stanford.edu/1591
Reviewed-by: Russ Allbery <rra@stanford.edu>
Tested-by: Russ Allbery <rra@stanford.edu>

Refactor userinfo test suite

Separate the tests into a function so that we will later be able
to call them twice, once using JSON and once without.

Change-Id: I6717e864f3a8b714e38f3e209dd0eba74a812b71
Reviewed-on: https://gerrit.stanford.edu/1590
Reviewed-by: Russ Allbery <rra@stanford.edu>
Tested-by: Russ Allbery <rra@stanford.edu>

Resync TODO with JIRA

All the JIRA ticket numbers changed, so bring TODO back in line
with JIRA.

Change-Id: Ia873b15e34ce2652463d1fdcf8695dba8b08c46d
Reviewed-on: https://gerrit.stanford.edu/1589
Reviewed-by: Russ Allbery <rra@stanford.edu>
Tested-by: Russ Allbery <rra@stanford.edu>

Initial framework for testing JSON user information calls

Add the remctl interface, the Perl backend, and the JSON data
for testing the user information service with JSON.  This is not
yet hooked into the test suite.

Change-Id: I1bdddcc8b0104217e276014e6b0246ba5cb46169
Reviewed-on: https://gerrit.stanford.edu/1585
Reviewed-by: Russ Allbery <rra@stanford.edu>
Tested-by: Russ Allbery <rra@stanford.edu>

Initial implementation of JSON user information service support

An initial implementation of a new user information service protocol
that uses JSON for communication.  The JSON call and parsing of the
result is implemented and compiles, but is not yet tested and is
probably buggy.  The code is in significant need of refactoring at
some point.

Change-Id: Ieefe5b372600a5a8dd73688a59760daf4d6c8e64
Reviewed-on: https://gerrit.stanford.edu/1584
Reviewed-by: Russ Allbery <rra@stanford.edu>
Tested-by: Russ Allbery <rra@stanford.edu>

Remove remctl and kadmin-remctl references in README

This was for the separate query for the user's password expiration,
which is no longer supported in favor of pulling that information
from the user information service and passing it down from mod_webkdc.

Change-Id: Iaeba7fe731ce471aaabef2e92d1f9b450996a5dc
Reviewed-on: https://gerrit.stanford.edu/1583
Reviewed-by: Russ Allbery <rra@stanford.edu>
Tested-by: Russ Allbery <rra@stanford.edu>

Add Autoconf probe for Jansson

We will be using the Jansson library to parse JSON exchanges with
the user information service.

Change-Id: Id39e3327c7d03b5681c3a991bbad6d59c265bbd9
Reviewed-on: https://gerrit.stanford.edu/1582
Reviewed-by: Russ Allbery <rra@stanford.edu>
Tested-by: Russ Allbery <rra@stanford.edu>

Remove stray column from rm factor definition

In the mod_webauth manual, the rm factor definition had a stray
column that messed up the formatting.

Change-Id: I35cacdf37cea28a82560fdbf9a441789308f3a2c
Reviewed-on: https://gerrit.stanford.edu/1580
Reviewed-by: Russ Allbery <rra@stanford.edu>
Tested-by: Russ Allbery <rra@stanford.edu>

Adjust for library SONAME bump

* Rename packages and change library symbols for upstream SONAME bump
  and symbol versioning changes.

Change-Id: I8cdf018a3f1438dcfb3701be6d7024db888511d2

Finalize changes for 4.6.1-1

Change-Id: I0feb8f7796c8cc03b88afcdaba945ff866eec960