comment out dumping code

DDF bridging not entirely toll free

cleanup

cleanup

add JSON utility class

remove ROKEN_LIB_FUNCTION

use JSON instead of DDF marshalling
use our own base64 routines

in progress use DDF to serialise names

get DDF marshalling working

remove debugging statement

make attribute prefix a class method

check provider enabled before non-marshalled initializing

fix missing return statement in importing attributes

cleanup, fix uninitialized variable warning

comments on attribute context import

Include locally resolved attributes in composite name token

don't use C++ comments

Stop setting appID to the acceptor name, adjust handling of resolver object.

Use serialized values out of resolver instead of raw string values.

Merge branch 'master' of ssh://moonshot.suchdamage.org:822/srv/git/moonshot

Treat missing attribute name format as UNSPECIFIED

Patch from Scott Cantor

update for latest libradsec

trigger build by updating git

Heimdal cannot deal with NULL realm, so make zero-length string

fix pointer alias warning surfaced on FreeBSD

define gss_any_t for Heimdal, because it doesn't support it

release defaultIdentity/defaultCreds on error

correct pointer error in gsseap_set_cred_flag example

fix regression where stored creds would be required

Use stored identity if cached identity matches

don't leak defaultCreds

Support for reading default identity/creds from file

Heads up: it's now possible to store your default identity and
credentials in a file in your home directory, called .gss_eap_id.
See README for details. It's also valid to just store the identity
in this file without credentials.

unbreak Heimdal build

don't append "@" to login name for default identity

better documentation on default realm

derive anonymous identity directly from realm

this avoids any escaping errors

Name parse fixes

Distinguish between NT_EAP_NAME and NT_USER_NAME; latter will append
default EAP realm if present, former won't. Neither will append default
Kerberos realm.

Ensure that exported names conform to draft-ietf-abfab-gss-eap-01 by
not including realm component if absent.

Conflicts:

mech_eap/util_name.c

Don't include @ symbol in realmless names, to conform with draft-ietf-abfab-gss-eap

Revert "Don't include @ symbol in realmless names, to conform with draft-ietf-abfab-gss-eap"

This reverts commit 6334d087058e30c9fb8686fd307b9c84323f2a4d.

don't fail reauth if there is any keytab error

Don't include @ symbol in realmless names, to conform with draft-ietf-abfab-gss-eap

cleanup previous commit

Go to great lengths to avoid accidentally appending the default Kerberos realm

don't use krb5_sname_to_principal

support import of GSS_KRB5_NT_PRINCIPAL_NAME

make inputs to gssEapImportName const

s/GSS_EAP_NT_PRINCIPAL_NAME/GSS_EAP_NT_EAP_NAME

document default_realm appdefault

For now, configure default realm using eap_gss appdefault

for now, allow default GSS EAP realm to be set
with GSSEAP_DEFAULT_REALM environment variable

require a realm in EAP names; don't add default Kerberos realm

stub implementation of gss_userok SPI

The MIT mechglue will fallback to comparing names in the absence
of a mechanism implementation of gss_userok. To avoid this and
force the mechglue to use attribute-based authorization, always
return access denied in gss_userok.

implement gss_inquire_mechs_for_name properly, although mechglue does
not appear to use it

clarify use of enctype-less OID

cleanup gssEapCanonicalizeOid, remove testing assert

don't enable GSSEAP_CREDS hack unless using default identity

call gssEapCanonicalizeOid, gssEapInternalizeOid is no longer public

refactor OID interning code

Fix for OpenSSH interoperability

OpenSSH requires the exported name token to include the actual OID
of the selected mechanism. We were using an OID that identified a
family of GSS EAP mechanisms. We now use the concrete OID where
possible.

Revert "Fix for OpenSSH interoperability"

This reverts commit 3dcac77927965ec56eb76d865b44a8b2bee4594b.

Fix for OpenSSH interoperability

OpenSSH requires the exported name token to include the actual OID
of the selected mechanism. We were using an OID that identified a
family of GSS EAP mechanisms. We now use the concrete OID where
possible.

Conflicts:

mech_eap/util_name.c

Add -Werror to CFLAGS

add a testing path for setting initiator credentials
requires GSSEAP_DEBUG to be defined, set environment variable
GSSEAP_CREDS to password

correct buffer length check when importing name

pass glue context to defrostAttrContext

Define AC_GNU_SOURCE to avoid Linux compile warnings

plug leak in previous commit

Ensure credentials are initialized before calling initBegin()

include stdarg.h for vasprintf

fix unused parameter warning when building without reauth

Don't specify -g -O in Makefile.am, configure does it for us

Merge branch 'tlv'

cleanup unused parameter warnings

Merge branch 'master' into tlv

Conflicts:
mech_eap/README
mech_eap/accept_sec_context.c

remove -fno-strict-aliasing and -Wunused-parameter

don't leak RADIUS response packet

remove trailing space

remove trailing space

HEADS UP: move dictionary file to $prefix/etc/raddb/dictionary
instead of $prefix/share/freeradius/dictionary on advice from
Alan DeKok

don't free RADIUS context before packet

don't free RADIUS context before packet

Don't promote bindings unwrap failure to GSS_S_BAD_BINDINGS

Merge branch 'master' into tlv

cleanup commit 87b8bd5ef53b7813f138949b6cd2a1712f14eef5

HEADS UP: move dictionary file to $prefix/etc/raddb/dictionary
instead of $prefix/share/freeradius/dictionary on advice from
Alan DeKok

Cleanup builds without reauth

util_radius: radius only permits 253 octets

There is an off by one error because MAX_STR_LEN from freeradius has a pad byte.
Only store 253 bytes of AVP at a time.

Fix macro errors in tlv

util.h: state cannot be a macro argument and a referenced structure member

init_sec_context.c: do not reference Kerberos context if reauth not enabled

fallback to paircreate() if dictionary lookup fails

remove stuff about RADIUS attribute release, it's wrong

use directional GSS token types

more notes in README

future-proof: allow multiple round trip Kerberos exchanges at acceptor

remove SM_FLAG_RESTART

remove SM_FLAG_STOP_EVAL, unused

formatting cleanup

add an extra assert

if reauth token marked critical, don't allow EAP fallback

update README

add some more assertion checks

delegate output token criticality to handler

if client fails reauth, allow it to retry EAP