include/rpc/auth.h

   1 /*-
   2  * Copyright (c) 2009, Sun Microsystems, Inc.
   3  * All rights reserved.
   4  *
   5  * Redistribution and use in source and binary forms, with or without
   6  * modification, are permitted provided that the following conditions are met:
   7  * - Redistributions of source code must retain the above copyright notice,
   8  *   this list of conditions and the following disclaimer.
   9  * - Redistributions in binary form must reproduce the above copyright notice,
  10  *   this list of conditions and the following disclaimer in the documentation
  11  *   and/or other materials provided with the distribution.
  12  * - Neither the name of Sun Microsystems, Inc. nor the names of its
  13  *   contributors may be used to endorse or promote products derived
  14  *   from this software without specific prior written permission.
  15  *
  16  * THIS SOFTWARE IS PROVIDED BY THE COPYRIGHT HOLDERS AND CONTRIBUTORS "AS IS"
  17  * AND ANY EXPRESS OR IMPLIED WARRANTIES, INCLUDING, BUT NOT LIMITED TO, THE
  18  * IMPLIED WARRANTIES OF MERCHANTABILITY AND FITNESS FOR A PARTICULAR PURPOSE
  19  * ARE DISCLAIMED. IN NO EVENT SHALL THE COPYRIGHT HOLDER OR CONTRIBUTORS BE
  20  * LIABLE FOR ANY DIRECT, INDIRECT, INCIDENTAL, SPECIAL, EXEMPLARY, OR
  21  * CONSEQUENTIAL DAMAGES (INCLUDING, BUT NOT LIMITED TO, PROCUREMENT OF
  22  * SUBSTITUTE GOODS OR SERVICES; LOSS OF USE, DATA, OR PROFITS; OR BUSINESS
  23  * INTERRUPTION) HOWEVER CAUSED AND ON ANY THEORY OF LIABILITY, WHETHER IN
  24  * CONTRACT, STRICT LIABILITY, OR TORT (INCLUDING NEGLIGENCE OR OTHERWISE)
  25  * ARISING IN ANY WAY OUT OF THE USE OF THIS SOFTWARE, EVEN IF ADVISED OF THE
  26  * POSSIBILITY OF SUCH DAMAGE.
  27  *
  28  *      from: @(#)auth.h 1.17 88/02/08 SMI
  29  *      from: @(#)auth.h        2.3 88/08/07 4.0 RPCSRC
  30  *      from: @(#)auth.h        1.43    98/02/02 SMI
  31  * $NetBSD: auth.h,v 1.15 2000/06/02 22:57:55 fvdl Exp $
  32  * $FreeBSD: src/include/rpc/auth.h,v 1.21 2006/02/28 16:02:26 deischen Exp $
  33  * $DragonFly: src/include/rpc/auth.h,v 1.4 2004/02/26 13:58:26 joerg Exp $
  34  */
  35
  36 /*
  37  * auth.h, Authentication interface.
  38  *
  39  * Copyright (C) 1984, Sun Microsystems, Inc.
  40  *
  41  * The data structures are completely opaque to the client.  The client
  42  * is required to pass an AUTH * to routines that create rpc
  43  * "sessions".
  44  */
  45
  46 #ifndef _RPC_AUTH_H
  47 #define _RPC_AUTH_H
  48 #include <rpc/xdr.h>
  49 #include <rpc/clnt_stat.h>
  50 #include <sys/cdefs.h>
  51 #include <sys/socket.h>
  52
  53 #define MAX_AUTH_BYTES  400
  54 #define MAXNETNAMELEN   255     /* maximum length of network user's name */
  55
  56 /*
  57  *  Client side authentication/security data
  58  */
  59
  60 typedef struct sec_data {
  61         u_int   secmod;         /* security mode number e.g. in nfssec.conf */
  62         u_int   rpcflavor;      /* rpc flavors:AUTH_UNIX,AUTH_DES,RPCSEC_GSS */
  63         int     flags;          /* AUTH_F_xxx flags */
  64         caddr_t data;           /* opaque data per flavor */
  65 } sec_data_t;
  66
  67 #ifdef _SYSCALL32_IMPL
  68 struct sec_data32 {
  69         uint32_t secmod;        /* security mode number e.g. in nfssec.conf */
  70         uint32_t rpcflavor;     /* rpc flavors:AUTH_UNIX,AUTH_DES,RPCSEC_GSS */
  71         int32_t flags;          /* AUTH_F_xxx flags */
  72         caddr32_t data;         /* opaque data per flavor */
  73 };
  74 #endif /* _SYSCALL32_IMPL */
  75
  76 /*
  77  * AUTH_DES flavor specific data from sec_data opaque data field.
  78  * AUTH_KERB has the same structure.
  79  */
  80 typedef struct des_clnt_data {
  81         struct netbuf   syncaddr;       /* time sync addr */
  82         struct knetconfig *knconf;      /* knetconfig info that associated */
  83                                         /* with the syncaddr. */
  84         char            *netname;       /* server's netname */
  85         int             netnamelen;     /* server's netname len */
  86 } dh_k4_clntdata_t;
  87
  88 #ifdef _SYSCALL32_IMPL
  89 struct des_clnt_data32 {
  90         struct netbuf32 syncaddr;       /* time sync addr */
  91         caddr32_t knconf;               /* knetconfig info that associated */
  92                                         /* with the syncaddr. */
  93         caddr32_t netname;              /* server's netname */
  94         int32_t netnamelen;             /* server's netname len */
  95 };
  96 #endif /* _SYSCALL32_IMPL */
  97
  98 #ifdef KERBEROS
  99 /*
 100  * flavor specific data to hold the data for AUTH_DES/AUTH_KERB(v4)
 101  * in sec_data->data opaque field.
 102  */
 103 typedef struct krb4_svc_data {
 104         int             window;         /* window option value */
 105 } krb4_svcdata_t;
 106
 107 typedef struct krb4_svc_data    des_svcdata_t;
 108 #endif /* KERBEROS */
 109
 110 /*
 111  * authentication/security specific flags
 112  */
 113 #define AUTH_F_RPCTIMESYNC      0x001   /* use RPC to do time sync */
 114 #define AUTH_F_TRYNONE          0x002   /* allow fall back to AUTH_NONE */
 115
 116
 117 /*
 118  * Status returned from authentication check
 119  */
 120 enum auth_stat {
 121         AUTH_OK=0,
 122         /*
 123          * failed at remote end
 124          */
 125         AUTH_BADCRED=1,                 /* bogus credentials (seal broken) */
 126         AUTH_REJECTEDCRED=2,            /* client should begin new session */
 127         AUTH_BADVERF=3,                 /* bogus verifier (seal broken) */
 128         AUTH_REJECTEDVERF=4,            /* verifier expired or was replayed */
 129         AUTH_TOOWEAK=5,                 /* rejected due to security reasons */
 130         /*
 131          * failed locally
 132         */
 133         AUTH_INVALIDRESP=6,             /* bogus response verifier */
 134         AUTH_FAILED=7                   /* some unknown reason */
 135 #ifdef KERBEROS
 136         /*
 137          * kerberos errors
 138          */
 139         ,
 140         AUTH_KERB_GENERIC = 8,          /* kerberos generic error */
 141         AUTH_TIMEEXPIRE = 9,            /* time of credential expired */
 142         AUTH_TKT_FILE = 10,             /* something wrong with ticket file */
 143         AUTH_DECODE = 11,               /* can't decode authenticator */
 144         AUTH_NET_ADDR = 12              /* wrong net address in ticket */
 145 #endif /* KERBEROS */
 146 };
 147
 148 union des_block {
 149         struct {
 150                 uint32_t high;
 151                 uint32_t low;
 152         } key;
 153         char c[8];
 154 };
 155 typedef union des_block des_block;
 156 __BEGIN_DECLS
 157 bool_t  xdr_des_block(XDR *, des_block *);
 158 __END_DECLS
 159
 160 /*
 161  * Authentication info.  Opaque to client.
 162  */
 163 struct opaque_auth {
 164         enum_t  oa_flavor;              /* flavor of auth */
 165         caddr_t oa_base;                /* address of more auth stuff */
 166         u_int   oa_length;              /* not to exceed MAX_AUTH_BYTES */
 167 };
 168
 169
 170 /*
 171  * Auth handle, interface to client side authenticators.
 172  */
 173 typedef struct __auth {
 174         struct  opaque_auth     ah_cred;
 175         struct  opaque_auth     ah_verf;
 176         union   des_block       ah_key;
 177         struct auth_ops {
 178                 void    (*ah_nextverf) (struct __auth *);
 179                 /* nextverf & serialize */
 180                 int     (*ah_marshal) (struct __auth *, XDR *);
 181                 /* validate verifier */
 182                 int     (*ah_validate) (struct __auth *,
 183                                 struct opaque_auth *);
 184                 /* refresh credentials */
 185                 int     (*ah_refresh) (struct __auth *, void *);
 186                 /* destroy this structure */
 187                 void    (*ah_destroy) (struct __auth *);
 188         } *ah_ops;
 189         void *ah_private;
 190 } AUTH;
 191
 192
 193 /*
 194  * Authentication ops.
 195  * The ops and the auth handle provide the interface to the authenticators.
 196  *
 197  * AUTH *auth;
 198  * XDR  *xdrs;
 199  * struct opaque_auth verf;
 200  */
 201 #define AUTH_NEXTVERF(auth)             \
 202                 ((*((auth)->ah_ops->ah_nextverf))(auth))
 203 #define auth_nextverf(auth)             \
 204                 ((*((auth)->ah_ops->ah_nextverf))(auth))
 205
 206 #define AUTH_MARSHALL(auth, xdrs)       \
 207                 ((*((auth)->ah_ops->ah_marshal))(auth, xdrs))
 208 #define auth_marshall(auth, xdrs)       \
 209                 ((*((auth)->ah_ops->ah_marshal))(auth, xdrs))
 210
 211 #define AUTH_VALIDATE(auth, verfp)      \
 212                 ((*((auth)->ah_ops->ah_validate))((auth), verfp))
 213 #define auth_validate(auth, verfp)      \
 214                 ((*((auth)->ah_ops->ah_validate))((auth), verfp))
 215
 216 #define AUTH_REFRESH(auth, msg)         \
 217                 ((*((auth)->ah_ops->ah_refresh))(auth, msg))
 218 #define auth_refresh(auth, msg)         \
 219                 ((*((auth)->ah_ops->ah_refresh))(auth, msg))
 220
 221 #define AUTH_DESTROY(auth)              \
 222                 ((*((auth)->ah_ops->ah_destroy))(auth))
 223 #define auth_destroy(auth)              \
 224                 ((*((auth)->ah_ops->ah_destroy))(auth))
 225
 226
 227 __BEGIN_DECLS
 228 extern struct opaque_auth _null_auth;
 229 __END_DECLS
 230
 231 /*
 232  * These are the various implementations of client side authenticators.
 233  */
 234
 235 /*
 236  * System style authentication
 237  * AUTH *authunix_create(machname, uid, gid, len, aup_gids)
 238  *      char *machname;
 239  *      int uid;
 240  *      int gid;
 241  *      int len;
 242  *      int *aup_gids;
 243  */
 244 __BEGIN_DECLS
 245 AUTH    *authunix_create(char *, int, int, int, int *);
 246 AUTH    *authunix_create_default(void);
 247 AUTH    *authnone_create(void);
 248 __END_DECLS
 249 /*
 250  * DES style authentication
 251  * AUTH *authsecdes_create(servername, window, timehost, ckey)
 252  *      char *servername;               - network name of server
 253  *      u_int window;                   - time to live
 254  *      const char *timehost;           - optional hostname to sync with
 255  *      des_block *ckey;                - optional conversation key to use
 256  */
 257 __BEGIN_DECLS
 258 AUTH    *authdes_create(char *, u_int, struct sockaddr *, des_block *);
 259 AUTH    *authdes_seccreate(const char *, const u_int, const char *,
 260                            const des_block *);
 261 __END_DECLS
 262
 263 __BEGIN_DECLS
 264 bool_t  xdr_opaque_auth(XDR *, struct opaque_auth *);
 265 __END_DECLS
 266
 267 #define authsys_create(c,i1,i2,i3,ip) authunix_create((c),(i1),(i2),(i3),(ip))
 268 #define authsys_create_default() authunix_create_default()
 269
 270 /*
 271  * Netname manipulation routines.
 272  */
 273 __BEGIN_DECLS
 274 int     getnetname(char *);
 275 int     host2netname(char *, const char *, const char *);
 276 int     user2netname(char *, const uid_t, const char *);
 277 int     netname2user(char *, uid_t *, gid_t *, int *, gid_t *);
 278 int     netname2host(char *, char *, const int);
 279 void    passwd2des(char *, char *);
 280 __END_DECLS
 281
 282 /*
 283  *
 284  * These routines interface to the keyserv daemon
 285  *
 286  */
 287 __BEGIN_DECLS
 288 int     key_decryptsession(const char *, des_block *);
 289 int     key_encryptsession(const char *, des_block *);
 290 int     key_gendes(des_block *);
 291 int     key_setsecret(const char *);
 292 int     key_secretkey_is_set(void);
 293 __END_DECLS
 294
 295 /*
 296  * Publickey routines.
 297  */
 298 __BEGIN_DECLS
 299 int     getpublickey(const char *, char *);
 300 int     getpublicandprivatekey(const char *, char *);
 301 int     getsecretkey(char *, char *, char *);
 302 __END_DECLS
 303
 304 #ifdef KERBEROS
 305 /*
 306  * Kerberos style authentication
 307  * AUTH *authkerb_seccreate(service, srv_inst, realm, window, timehost, status)
 308  *      const char *service;                    - service name
 309  *      const char *srv_inst;                   - server instance
 310  *      const char *realm;                      - server realm
 311  *      const u_int window;                     - time to live
 312  *      const char *timehost;                   - optional hostname to sync with
 313  *      int *status;                            - kerberos status returned
 314  */
 315 __BEGIN_DECLS
 316 AUTH    *authkerb_seccreate(const char *, const char *, const char *,
 317                             const u_int, const char *, int *);
 318 __END_DECLS
 319
 320 /*
 321  * Map a kerberos credential into a unix cred.
 322  *
 323  *      authkerb_getucred(rqst, uid, gid, grouplen, groups)
 324  *      const struct svc_req *rqst;             - request pointer
 325  *      uid_t *uid;
 326  *      gid_t *gid;
 327  *      short *grouplen;
 328  *      int *groups;
 329  *
 330  */
 331 __BEGIN_DECLS
 332 int     authkerb_getucred(/* struct svc_req *, uid_t *, gid_t *,
 333                           short *, int * */);
 334 __END_DECLS
 335 #endif /* KERBEROS */
 336
 337 __BEGIN_DECLS
 338 struct svc_req;
 339 struct rpc_msg;
 340 enum auth_stat _svcauth_null (struct svc_req *, struct rpc_msg *);
 341 enum auth_stat _svcauth_short (struct svc_req *, struct rpc_msg *);
 342 enum auth_stat _svcauth_unix (struct svc_req *, struct rpc_msg *);
 343 __END_DECLS
 344
 345 #define AUTH_NONE       0               /* no authentication */
 346 #define AUTH_NULL       0               /* backward compatibility */
 347 #define AUTH_SYS        1               /* unix style (uid, gids) */
 348 #define AUTH_UNIX       AUTH_SYS
 349 #define AUTH_SHORT      2               /* short hand unix style */
 350 #define AUTH_DH         3               /* for Diffie-Hellman mechanism */
 351 #define AUTH_DES        AUTH_DH         /* for backward compatibility */
 352 #define AUTH_KERB       4               /* kerberos style */
 353
 354 #endif /* !_RPC_AUTH_H */