Generate testing krb5.conf files for more tests

Ensure that tests have a krb5.conf file with a default realm set,
since otherwise they may fail for reasons other than the test is
designed to detect.

Fixes #25.

Merge pull request #23 from rra/dependabot/github_actions/actions/checkout-3

Bump actions/checkout from 2 to 3

Bump actions/checkout from 2 to 3

Bumps [actions/checkout](https://github.com/actions/checkout) from 2 to 3.
- [Release notes](https://github.com/actions/checkout/releases)
- [Changelog](https://github.com/actions/checkout/blob/main/CHANGELOG.md)
- [Commits](https://github.com/actions/checkout/compare/v2...v3)

---
updated-dependencies:
- dependency-name: actions/checkout
  dependency-type: direct:production
  update-type: version-update:semver-major
...

Signed-off-by: dependabot[bot] <support@github.com>

Add TODO link to the web page

DocKnot 5.00 stopped generating TODO links by default, but
pam-krb5 still uses a TODO file.  Add the link back in.

Release 4.10

Add Makefile rule to regenerate the man page

The manual page is normally generated by the bootstrap script and
included in release tarballs, but that meant it would not be
regenerated when the POD source was modified.  Add an explicit
Makefile rule for it to address this problem.

Remove Autoconf backup files on make distclean

Add the comment from rra-c-util for MAINTAINERCLEANFILES and
remove config.h.in~ and configure~ on make distclean.

Update formatting for rra-c-util 10.0

rra-c-util 10.0 will use slightly different clang-format options
to align with INN.  Adopt those for pam-krb5.

Update to rra-c-util 10.0

* Support Autoconf 2.71 without warnings.
* Tests written in Perl now require Perl 5.10 or later.

Clean up bugs in PAM_DATA_SILENT

We still need to free the Kerberos context, we just don't want to
destroy the cache.  Also fix a memory leak in the PAM testing
parser.

Support PAM_DATA_SILENT with pam_end

Properly support calling pam_end with PAM_DATA_SILENT by not deleting
the underlying ticket cache.  This flag is used when the application
is closing the PAM session after a fork to free memory resources, but
doesn't intend to free resources external to the process because
another process may still depend on them.  Thanks to Andrew G. Morgan
for the report.

Fixes #21

Fix indentation in docknot.yaml

Stop guessing at the module installation path

Stop attempting to guess the correct PAM module installation path on
Linux systems when --prefix is set to /usr and instead document that
--libdir will probably need to be set explicitly.  The previous logic
is now broken on Debian usrmerge systems and the guesswork seems too
fragile to maintain.

Simplify GitHub Actions testing

We don't need to run the full test suite separately for Clang
builds, since we're not expecting different behavior, just different
warnings.  Build with both Clang and GCC in one ci/test pass and
only matrix the Kerberos version.

Release 4.10

Upgrade to DocKnot 4.01

Upgrade the DocKnot configuration to the new YAML syntax and
regenerate all of the package documentation.

Add dependabot configuration for GitHub Actions

Fix make warnings build

The rra-c-util update requires changing KRB5_CPPFLAGS_GCC to
KRB5_CPPFLAGS_WARNINGS in the warnings target.

Update to rra-c-util 9.0 and C TAP Harness 4.7

Update to rra-c-util 9.0:

* Check that at least one Kerberos header file was found and works.
* Use AS_ECHO in all Autoconf macros in preference to echo.
* Fix portability of reallocarray on NetBSD systems.
* Stop providing a replacement for a broken snprintf.

Update to C TAP Harness 4.7:

* Fix warnings with GCC 10.

Avoid double free of ctx->princ in a failure case

When re-retrieving the authenticated principal from the current cache,
ensure the stored principal in the authentication context is always
either valid or NULL.  Otherwise, a failure of krb5_cc_get_principal
could result in a double free.  Thanks to Michael Muehle for the
report.

Fixes #20

Fix domain_realm configuration for CI for MIT

Set the proper domain_realm mapping for the MIT KDC setup for CI,
rather than setting it up for the Heimdal realm.

Update documentation metadata and regenerate

Note that pam-krb5 uses the Lancaster conensus so that the testing
instructions will be generated, and mark it as supporting valgrind
testing.

Ignore some branches for GitHub Actions

Don't attempt to build the branches used for Debian packaging.

Remove obsolete comment from ci/test

Remove a comment that only applies to C TAP Harness.

Remove deprecating settings from TODO

I'm never going to do this.  Even if they duplicate standard
Kerberos options, it's easy enough to continue to support this.

Fix clang warnings with portable/snprintf.c

Suppress warnings for __attribute__((fallthrough)) for older
versions of Clang.

Add new security advisory to metadata

Improve the ci directory documentation

Change the format to Markdown for better formatting on GitHub and
add documentation for the KDC setup scripts.

Add a test for minimum_uid

Fix memory handling issues found by clang

Fix an edge-case memory leak in pam_chauthtok when prompting for a new
password for an ignored user.  Add a new test that exercises that code
path.

Refactor a couple of other places with correct memory management that
confused Clang Static Analyzer to make the code more straightforward.

Update distribution file list

Fix cppcheck errors with pkinit_auth

Restructure the code so that there is only one preprocessor
conditional block, avoiding various cppcheck warnings.

Suppress fallthrough warnings with clang 10

clang 10 (and possibly clang 9) requires an __attribute__ marker
to suppress fallthrough warnings and no longer supports a special
comment.  Adjust portable/snprintf.c accordingly.

Release 4.9

Add CVE for buffer overflow security fix

Redo support for use_pkinit for MIT Kerberos

Use krb5_get_prompt_types instead, which eliminates the need to
define a responder function and simplifies the code.

Don't check files ending in *.o for SPDX notices

This normally isn't an issue because the test skips binary files,
but sometimes object files fool the binary file check, so explicitly
exclude them.

Update comment about nul-terminating prompt responses

Document that the need for this is probably an urban legend, but
that I'm retaining it out of an abundance of caution.

Fix buffer overflow in prompting, further cleanup

SECURITY: All previous versions of this module could overflow the
buffer provided by the underlying Kerberos library for the response to
a prompt by writing a single nul character past the end of the buffer.

Return more accurate errors from the Kerberos prompter function if it
was unable to prompt for the password.  This may translate into better
debug log messages and, in some situations, returning the slightly
more accurate PAM_AUTHINFO_UNAVAIL instead of PAM_AUTH_ERR.

Merge pull request #17 from jhutz/prompt-mapped

Make map_principal() visible outside alt-auth.c

Add full CI testing of MIT Kerberos

Attempt to install an MIT Kerberos KDC and create users and
certificates so that all tests will run in GitHub Workflows when
testing under MIT Kerberos.

Make map_principal() visible outside alt-auth.c

Add CVEs for security fixes in 3.13

Add CI testing against a real Heimdal server

When testing against Heimdal, automate setting up a Heimdal KDC in
the test VM and storing the necessary configuration to do full
Kerberos testing.

Clean up PAM response freeing

Refactor the code to free PAM responses into its own function.
Properly free the PAM responses to the selection of a PKINIT
identity, closing a memory leak.  Use explicit_bzero to overwrite
any possible secrets, where available.

Clean up PAM prompt construction

Simplify the code for constructing PAM prompts a little more.

Clean up the password prompting code

Make the password prompt generation code more straightforward at
the cost of an extra memory allocation.

Remove Travis CI configuration

Delete the Travis CI configuration, change the documentation
metadata to indicate that GitHub Actions are now being used,
and regenerate the documentation to update the status badge.

Only run cppcheck on one CI build

cppcheck checks all branches of preprocessors anyway, so no need
to run it more than once.

Fix the name of the cppcheck suppression

Fix the cppcheck suppression yet again

Update requirements documentation

Mention MIT Kerberos 1.12 for use_pkinit support and be clearer
about where the module is tested (only Linux).

Fix build on Heimdal

Some of the new MIT responder code was not hidden properly behind
conditional compilation.

Fix cppcheck errors

Fix a couple of errors that cppcheck only detects in the older
version run by GitHub Actions, and update the suppression for
the verify label.

Fix the name of the PAM library for CI

Install PAM libraries for CI

Fix selection of Kerberos for CI

Looks like sudo on GitHub Actions doesn't pass environment
variables, so use the KERBEROS environment variable for
ci/test instead.

Add configuration for GitHub workflows

Build with both GCC and Clang for both MIT Kerberos and Heimdal.
Drive the CI build with scripts in the ci directory.

Remove completed TODO items

Clean up the top level

Move all the module code into the module directory and the man
page into the docs directory to look more like my other packages.

Work around duplicate PKCS12 prompt

For some reason, MIT Kerberos prompts twice for the PKCS12
passphrase.  Work around this in the test script and add a note
to TODO.

Also note the untested prompting for PKINIT identity in TODO.

Fix module/basic test without default realm

Ensure the module/basic test will run properly when the system
krb5.conf file does not specify a default realm.  Reported by TBK.

Closes #15

Add a note that PKINIT identity selection is untested

Add a test for PIN prompting

If the openssl command-line utility is found during the build and
pam-krb5 is built with MIT Kerberos, prompting for a PKINIT PIN will
be tested by building a PKCS12 file from the provided PKINIT test
configuration.

Support use_pkinit with MIT Kerberos

Support use_pkinit with MIT Kerberos 1.12 or later.  Be aware that
this option is implemented by using a responder without a prompter,
and thus any informational messages from the Kerberos libraries or KDC
during authentication will not be displayed.  (Debian Bug#871699)

Add missing markup for a PAM option in documentation

Update to rra-c-util 8.2

* Fix support for configuring the test suite with a krb5.conf file.

Reject excessively long passwords

Reject passwords as long or longer than PAM_MAX_RESP_SIZE (normally
512 octets), since extremely long passwords can be used for a denial
of service attack via the Kerberos string to key function.  Thanks to
Florian Best for pointing out this issue and suggesting a good fix.

Clean up ENTRY and EXIT macros

Use the do/while format to protect the statements, which allows
clang to format them correctly.

Regenerate documentation files

Update for some documentation changes and add badges for Travis-CI
status and the Debian package version.

Fix spelling errors found with codespell

Update to rra-c-util 8.2 (unreleased)

Fix spelling errors caught by codespell.

Split module/fast test into two components

Test keytab-based FAST authentication separately from anonymous
FAST, since the latter has to be excluded from valgrind testing.
This also simplifies some of the skipping logic.

Update to new mechanism of valgrind testing

Use the C TAP Harness support for valgrind testing and mark the
tests that can be run under valgrind.  Fix problems in one module
that knew too much about the contents of the test temporary
directory.  Exclude the tests that use the pkinit.so module, since
they cause valgrind to go into an infinite loop.

Add SPDX-License-Identifier to all files

Fix warnings when building with Clang

Add cppcheck static analysis

Add a check-cppcheck target and fix all the issues uncovered by it
(including adding one suppression).

Reformat code with clang-format 10 and .clang-format

Update dist for Travis-CI, enable verbose tests

Also redo the branch handling so that release tags are also tested.

Update to rra-c-util 8.1 and C TAP Harness 4.6

Update to rra-c-util 8.1:

* Drop support for Perl 5.6.
* Reformat all C source using clang-format 10.
* Remove bogus snprintf tests.
* Fix misplaced va_end in the pam-util putil_log_failure function.
* Skip checking for krb5-config on the path if a prefix was given.
* Add SPDX-License-Identifier headers to all substantial source files.

Update to C TAP Harness 4.6:

* Fixed malloc error checking in bstrndup.
* Fix (harmless) allocation error in runtests driver.
* Add support for valgrind testing via test list options.
* Report test failures as left and right, not wanted and seen.
* Fix is_string comparisons involving NULL pointers and "(null)".
* Add SPDX-License-Identifier headers to all substantial source files.

Fix va_end placement in pam-util/logging.c

Fixed by importing the current version from rra-c-util.

Remove spurious thread in debian/summary metadata

Release 4.8

Convert documentation to DocKnot, add README.md

Add all of the metadata for DocKnot documentation generation, and
regenerate README using DocKnot 1.02.  Add a README.md file, mostly
for GitHub.

Add clang to Travis-CI testing

Update to rra-c-util 7.0 and C TAP Harness 4.2

Update to rra-c-util 7.0:

* Support a warning build under Clang.
* Avoid zero-length allocations in reallocarray and vector.

Update to C TAP Harness 4.2:

* Avoid zero-length allocations in breallocarray.
* Add is_blob and is_bool functions.
* Use C_TAP_SOURCE and C_TAP_BUILD environment variables in tests.

Compile cleanly under GCC 7 and Clang warnings and Clang's static
analyzer.

Improve ticket cache and krb5.conf documentation

Better document that the default Kerberos library ticket cache
location is not used (and why), and how to set configuration
parameters in krb5.conf.  Thanks, Matthew Gabeler-Lee.  (Debian
Bug#872943)

Set credential options properly to verify expired passwords

When verifying that an expired password can still be used to get
kadmin/changepw credentials, correctly set the credential options for
getting password change credentials, not for getting initial
credentials.  This should fix password change issues when, for
example, krb5.conf requests that all tickets be proxiable but
kadmin/changepw doesn't allow proxiable credentials.  Thanks to
Florian Best for the bug report.

Update krb5_get_init_creds_opt_set_change_password_prompt comment

This function is now available in Heimdal, so update the comment
in portable/krb5.h.

Fix expired password tests to work with Heimdal 7.0.1 and later

Run configure before make in Travis

Document PKINIT test configuration

Document the test suite configuration files required to run the PKINIT
tests.

Add configuration for Travis-CI testing

Rename autogen to bootstrap

Rename the script to bootstrap from a Git checkout to bootstrap,
matching the emerging consensus in the Autoconf world.

Update to rra-c-util 6.3 and C TAP Harness 3.4

Update to rra-c-util 6.3:

* Fix new warnings in GCC 7.
* Probe for warning flags instead of hard-coding a list.
* New test for obsolete URLs and email addresses.
* Remove unused portable replacements for strlcpy and strlcat.
* Use C_TAP_SOURCE and C_TAP_BUILD environment variables in tests.
* Fix portability defines for anonymous principal strings.
* Clear errno on pam_modutil_getpwnam to improve other testing.
* Add portability defines for macOS's PAM implementation.
* Add new Autoconf macro to probe for pam_strerror const usage.
* Support Solaris 10's included Kerberos.

Update to C TAP Harness 3.4:

* Fix segfault in runtests with an empty test list.
* Display verbose test results with -v or C_TAP_VERBOSE.
* Test infrastructure builds cleanly with Clang warnings.

Fix typo in auth.c comment

Document that defer_pwchange doesn't work with Heimdal

Fixes #4.  Thanks to Florian Best for the report.

Rework better Heimdal PKINIT error reporting

Move the error reporting into a separate function, and maintain
backward compatibility with older versions of Heimdal that don't
have the new status codes.  Don't break the try_pkinit handling,
and continue not to report messages for missing PKINIT keys under
try_pkinit but not use_pkinit.

Merge pull request #1 from HenryJacques/error_messages

Add more friendly error messages with pkinit

Add more friendly error messages with pkinit

This PR depends on whether the HX509_PKCS11_* code are defined in hx509_err.h.
Those are introduced in the Heimdal's PR #136 (https://github.com/heimdal/heimdal/pull/136)