common/tr_constraint.c

   1 /*
   2  * Copyright (c) 2012-2014, JANET(UK)
   3  * All rights reserved.
   4  *
   5  * Redistribution and use in source and binary forms, with or without
   6  * modification, are permitted provided that the following conditions
   7  * are met:
   8  *
   9  * 1. Redistributions of source code must retain the above copyright
  10  *    notice, this list of conditions and the following disclaimer.
  11  *
  12  * 2. Redistributions in binary form must reproduce the above copyright
  13  *    notice, this list of conditions and the following disclaimer in the
  14  *    documentation and/or other materials provided with the distribution.
  15  *
  16  * 3. Neither the name of JANET(UK) nor the names of its contributors
  17  *    may be used to endorse or promote products derived from this software
  18  *    without specific prior written permission.
  19  *
  20  * THIS SOFTWARE IS PROVIDED BY THE COPYRIGHT HOLDERS AND CONTRIBUTORS
  21  * "AS IS" AND ANY EXPRESS OR IMPLIED WARRANTIES, INCLUDING, BUT NOT
  22  * LIMITED TO, THE IMPLIED WARRANTIES OF MERCHANTABILITY AND FITNESS
  23  * FOR A PARTICULAR PURPOSE ARE DISCLAIMED. IN NO EVENT SHALL THE
  24  * COPYRIGHT HOLDER OR CONTRIBUTORS BE LIABLE FOR ANY DIRECT,
  25  * INDIRECT, INCIDENTAL, SPECIAL, EXEMPLARY, OR CONSEQUENTIAL DAMAGES
  26  * (INCLUDING, BUT NOT LIMITED TO, PROCUREMENT OF SUBSTITUTE GOODS OR
  27  * SERVICES; LOSS OF USE, DATA, OR PROFITS; OR BUSINESS INTERRUPTION)
  28  * HOWEVER CAUSED AND ON ANY THEORY OF LIABILITY, WHETHER IN CONTRACT,
  29  * STRICT LIABILITY, OR TORT (INCLUDING NEGLIGENCE OR OTHERWISE)
  30  * ARISING IN ANY WAY OUT OF THE USE OF THIS SOFTWARE, EVEN IF ADVISED
  31  * OF THE POSSIBILITY OF SUCH DAMAGE.
  32  *
  33  */
  34 #include <jansson.h>
  35 #include "jansson_iterators.h"
  36 #include <assert.h>
  37 #include <talloc.h>
  38
  39 #include <tr_filter.h>
  40 #include <tr_debug.h>
  41
  42 #include <trust_router/tr_constraint.h>
  43 #include <tid_internal.h>
  44
  45
  46 static int tr_constraint_destructor(void *obj)
  47 {
  48   TR_CONSTRAINT *cons=talloc_get_type_abort(obj, TR_CONSTRAINT);
  49   int ii=0;
  50
  51   if (cons->type!=NULL)
  52     tr_free_name(cons->type);
  53   for (ii=0; ii<TR_MAX_CONST_MATCHES; ii++) {
  54     if (cons->matches[ii]!=NULL)
  55       tr_free_name(cons->matches[ii]);
  56   }
  57   return 0;
  58 }
  59
  60 TR_CONSTRAINT *tr_constraint_new(TALLOC_CTX *mem_ctx)
  61 {
  62   TR_CONSTRAINT *cons=talloc(mem_ctx, TR_CONSTRAINT);
  63   int ii=0;
  64
  65   if (cons!=NULL) {
  66     cons->type=NULL;
  67     for (ii=0; ii<TR_MAX_CONST_MATCHES; ii++)
  68       cons->matches[ii]=NULL;
  69     talloc_set_destructor((void *)cons, tr_constraint_destructor);
  70   }
  71   return cons;
  72 }
  73
  74 void tr_constraint_free(TR_CONSTRAINT *cons)
  75 {
  76   talloc_free(cons);
  77 }
  78
  79 TR_CONSTRAINT *tr_constraint_dup(TALLOC_CTX *mem_ctx, TR_CONSTRAINT *cons)
  80 {
  81   TALLOC_CTX *tmp_ctx=NULL;
  82   TR_CONSTRAINT *new=NULL;
  83   int ii=0;
  84
  85   if (cons==NULL)
  86     return NULL;
  87
  88   tmp_ctx=talloc_new(NULL);
  89   new=tr_constraint_new(tmp_ctx);
  90
  91   if (new!=NULL) {
  92     new->type=tr_dup_name(cons->type);
  93     for (ii=0; ii<TR_MAX_CONST_MATCHES; ii++)
  94       new->matches[ii]=tr_dup_name(cons->matches[ii]);
  95     talloc_steal(mem_ctx, new);
  96   }
  97
  98   talloc_free(tmp_ctx);
  99   return new;
 100 }
 101
 102 /* Returns TRUE (1) if the the string (str) matchs the wildcard string (wc_str), FALSE (0) if not.
 103  */
 104 int tr_prefix_wildcard_match (const char *str, const char *wc_str) {
 105   const char *wc_post = wc_str;
 106   size_t len = 0;
 107   size_t wc_len = 0;
 108
 109   if ((!str) || (!wc_str))
 110     return 0;
 111
 112   len = strlen(str);
 113   if (0 == (wc_len = strlen(wc_str)))
 114     return 0;
 115
 116   /* TBD -- skip leading white space? */
 117   if ('*' == wc_str[0]) {
 118     wc_post = &(wc_str[1]);
 119     wc_len--;
 120   }else if (len != wc_len)
 121     return 0;
 122
 123
 124   if (wc_len > len)
 125     return 0;
 126
 127   if (0 == strcmp(&(str[len-wc_len]), wc_post)) {
 128     return 1;
 129   }
 130   else
 131     return 0;
 132   }
 133
 134 TR_CONSTRAINT_SET *tr_constraint_set_from_fline (TR_FLINE *fline)
 135 {
 136   json_t *cset = NULL;
 137
 138   if (!fline)
 139     return NULL;
 140
 141   if (fline->realm_cons)
 142     tr_constraint_add_to_set((TR_CONSTRAINT_SET **)&cset, fline->realm_cons);
 143   if (fline->domain_cons)
 144     tr_constraint_add_to_set((TR_CONSTRAINT_SET **)&cset, fline->domain_cons);
 145
 146   return (TR_CONSTRAINT_SET *) cset;
 147 }
 148
 149 /* A constraint set is represented in json as an array of constraint
 150  * objects.  So, a constraint set (cset) that consists of one realm
 151  * constraint and one domain constraint might look like:
 152  *
 153  *      {cset: [{domain: [a.com, b.co.uk]},
 154  *              {realm: [c.net, d.org]}]}
 155  */
 156
 157 void tr_constraint_add_to_set (TR_CONSTRAINT_SET **cset, TR_CONSTRAINT *cons)
 158 {
 159   json_t *jcons = NULL;
 160   json_t *jmatches = NULL;
 161   int i = 0;
 162
 163   if ((!cset) || (!cons))
 164     return;
 165
 166   /* If we don't already have a json object, create one */
 167   if (!(*cset))
 168     *cset = (TR_CONSTRAINT_SET *) json_array();
 169
 170   /* Create a json object representing cons */
 171   jmatches = json_array();
 172   jcons = json_object();
 173
 174   for (i = 0; ((i < TR_MAX_CONST_MATCHES) && (NULL != cons->matches[i])); i++) {
 175     json_array_append_new(jmatches, json_string(cons->matches[i]->buf));
 176   }
 177
 178   json_object_set_new(jcons, cons->type->buf, jmatches);
 179
 180   /* Add the created object to the cset object */
 181   json_array_append_new((json_t *) *cset, jcons);
 182 }
 183
 184  int tr_constraint_set_validate(TR_CONSTRAINT_SET *cset)
 185 {
 186   json_t *json = (json_t *) cset;
 187   size_t i;
 188   json_t *set_member;
 189   if (!json_is_array(json)){
 190     tr_debug("Constraint_set is not an array");
 191     return 0;
 192   }
 193   json_array_foreach(json, i, set_member) {
 194     json_t *value;
 195     const char *key;
 196     if (!json_is_object(set_member)) {
 197       tr_debug("Constraint member at %zu is not an object\n", i);
 198       return 0;
 199     }
 200     json_object_foreach( set_member, key, value) {
 201       size_t inner_index;
 202       json_t *inner_value;
 203       if (!json_is_array(value)) {
 204         tr_debug("Constraint type %s at index %zu in constraint set is not an array\n", key,
 205                  i);
 206         return 0;
 207       }
 208       json_array_foreach(value, inner_index, inner_value) {
 209         if (!json_is_string(inner_value)) {
 210           tr_debug("Constraint type %s at index %zu in constraint set has non-string element %zu\n",
 211                    key, i, inner_index);
 212           return 0;
 213         }
 214       }
 215         }
 216   }
 217   return 1;
 218 }
 219
 220
 221 TR_CONSTRAINT_SET *tr_constraint_set_filter( TID_REQ *request,
 222                                              TR_CONSTRAINT_SET *orig,
 223                                              const char *constraint_type)
 224 {
 225   json_t *orig_cset = (json_t*) orig;
 226   json_t  *new_cs = NULL;
 227   size_t index;
 228   json_t *set_member;
 229   if (!tr_constraint_set_validate( (TR_CONSTRAINT_SET *) orig_cset)) {
 230     tr_debug ("tr_constraint_set_filter: not a valid constraint set\n");
 231     return NULL;
 232   }
 233   assert (new_cs = json_array());
 234   json_array_foreach(orig_cset, index, set_member) {
 235     if (json_object_get( set_member, constraint_type))
 236       json_array_append(new_cs, set_member);
 237   }
 238   return (TR_CONSTRAINT_SET *) new_cs;
 239 }
 240
 241 /**
 242  * Within a given constraint object merge any overlapping domain or
 243  * realm constraints.  For example ['*','*.net'] can be simplified to
 244  * ['*']
 245  */
 246 static void merge_constraints(json_t *constraint, const char *key)
 247 {
 248   json_t *value_1, *value_2, *constraint_array;
 249   size_t index_1, index_2;
 250   /*
 251    * Go through the loop pairwise linear, removing elements where one
 252    * element is a subset of the other.  Always shrik the array from
 253    * the end so that index_1 never becomes invalid (swapping if
 254    * needed).
 255    */
 256   constraint_array = json_object_get(constraint, key);
 257   if (NULL == constraint_array)
 258       return;
 259   json_array_foreach( constraint_array, index_1, value_1)
 260     json_array_foreach( constraint_array, index_2, value_2) {
 261     if (index_2 <= index_1)
 262       continue;
 263     if ( tr_prefix_wildcard_match( json_string_value(value_2),
 264                                    json_string_value(value_1))) {
 265       json_array_remove(constraint_array, index_2);
 266       index_2--;
 267     }else if (tr_prefix_wildcard_match( json_string_value(value_1),
 268                                         json_string_value(value_2))) {
 269       json_array_set(constraint_array, index_1, value_2);
 270       json_array_remove(constraint_array, index_2);
 271       index_2--;
 272     }
 273   }
 274 }
 275
 276 /**
 277  * Returns an array of constraint strings that is the intersection of
 278  * all constraints in the constraint_set of type #type
 279  */
 280 static json_t *constraint_intersect_internal( TR_CONSTRAINT_SET *constraints,
 281                                               const char *constraint_type)
 282 {
 283   json_t *constraint, *result = NULL;
 284   size_t i;
 285   json_array_foreach( (json_t *) constraints, i, constraint) {
 286     merge_constraints( constraint, constraint_type);
 287     if (NULL == result) {
 288       result = json_object_get(constraint, constraint_type);
 289       if (NULL != result)
 290         result = json_copy(result);
 291     }    else {
 292       json_t *intersect, *value_1, *value_2;
 293       size_t index_1, index_2;
 294       intersect = json_object_get(constraint, constraint_type);
 295       /*If an element of the constraint set doesn't have a particular
 296        * constraint type, we ignore that element of the constraint set.
 297        * However, if no element of the constraint set has a particular
 298        *     constraint type we return empty (no access) rather than universal
 299        * access.*/
 300       if (!intersect)
 301         continue;
 302     result_loop:
 303       json_array_foreach(result, index_1, value_1) {
 304         json_array_foreach(intersect, index_2, value_2) {
 305           if (tr_prefix_wildcard_match( json_string_value(value_1),
 306                                         json_string_value(value_2)))
 307             goto result_acceptable;
 308           else if (tr_prefix_wildcard_match(json_string_value( value_2),
 309                                             json_string_value(value_1))) {
 310             json_array_set(result, index_1, value_2);
 311             goto result_acceptable;
 312         }
 313         }
 314         json_array_remove(result, index_1);
 315         if (index_1 == 0)
 316           goto result_loop;
 317         index_1--;
 318       result_acceptable: continue;
 319       }
 320     }
 321   }
 322   return result;
 323 }
 324
 325 /**
 326  * Return the intersection of domain and realm constraints.
 327  * Return is live until #request is freed.
 328  */
 329 TR_CONSTRAINT_SET *tr_constraint_set_intersect( TID_REQ *request,
 330                                                 TR_CONSTRAINT_SET *input)
 331 {
 332   json_t *domain=NULL, *realm=NULL;
 333   json_t *result = NULL, *result_array = NULL;
 334   if (tr_constraint_set_validate(input)) {
 335     domain = constraint_intersect_internal(input, "domain");
 336     realm = constraint_intersect_internal(input, "realm");
 337   }
 338   assert(result = json_object());
 339   if (domain)
 340     json_object_set_new(result, "domain", domain);
 341   if (realm)
 342     json_object_set_new(result, "realm", realm);
 343   assert(result_array = json_array());
 344   json_array_append_new(result_array, result);
 345   tid_req_cleanup_json( request, result_array);
 346   return (TR_CONSTRAINT_SET *) result_array;
 347 }
 348
 349
 350 int tr_constraint_set_get_match_strings(
 351                                         TID_REQ *request,
 352                                         TR_CONSTRAINT_SET *constraints,
 353                                         const char *constraint_type,
 354                                         tr_const_string **output,
 355                                         size_t *output_len)
 356 {
 357   json_t *cset = (json_t *) constraints;
 358   json_t *member, *matches, *value;;
 359   size_t index, array_size;
 360   assert (output && output_len);
 361   *output = NULL;
 362   *output_len = 0;
 363   if (json_array_size(cset) != 1) {
 364     tr_debug("Constraint set for get_match_strings has more than one member\n");
 365     return -1;
 366   }
 367   member = json_array_get(cset, 0);
 368   matches = json_object_get(member, constraint_type);
 369   if (!matches)
 370     return -1;
 371   array_size = json_array_size(matches);
 372   if (array_size == 0)
 373     return -1;
 374   *output = talloc_array_ptrtype(request, *output, array_size);
 375   json_array_foreach( matches, index, value)
 376     (*output)[index] = json_string_value(value);
 377   *output_len = array_size;
 378   return 0;
 379 }