git.gag.com Git - debian/sudo/blob - auth/sudo_auth.c

   1 /*
   2  * Copyright (c) 1999-2005, 2008-2010 Todd C. Miller <Todd.Miller@courtesan.com>
   3  *
   4  * Permission to use, copy, modify, and distribute this software for any
   5  * purpose with or without fee is hereby granted, provided that the above
   6  * copyright notice and this permission notice appear in all copies.
   7  *
   8  * THE SOFTWARE IS PROVIDED "AS IS" AND THE AUTHOR DISCLAIMS ALL WARRANTIES
   9  * WITH REGARD TO THIS SOFTWARE INCLUDING ALL IMPLIED WARRANTIES OF
  10  * MERCHANTABILITY AND FITNESS. IN NO EVENT SHALL THE AUTHOR BE LIABLE FOR
  11  * ANY SPECIAL, DIRECT, INDIRECT, OR CONSEQUENTIAL DAMAGES OR ANY DAMAGES
  12  * WHATSOEVER RESULTING FROM LOSS OF USE, DATA OR PROFITS, WHETHER IN AN
  13  * ACTION OF CONTRACT, NEGLIGENCE OR OTHER TORTIOUS ACTION, ARISING OUT OF
  14  * OR IN CONNECTION WITH THE USE OR PERFORMANCE OF THIS SOFTWARE.
  15  *
  16  * Sponsored in part by the Defense Advanced Research Projects
  17  * Agency (DARPA) and Air Force Research Laboratory, Air Force
  18  * Materiel Command, USAF, under agreement number F39502-99-1-0512.
  19  */
  20
  21 #include <config.h>
  22
  23 #include <sys/types.h>
  24 #include <sys/param.h>
  25 #include <stdio.h>
  26 #ifdef STDC_HEADERS
  27 # include <stdlib.h>
  28 # include <stddef.h>
  29 #else
  30 # ifdef HAVE_STDLIB_H
  31 #  include <stdlib.h>
  32 # endif
  33 #endif /* STDC_HEADERS */
  34 #ifdef HAVE_STRING_H
  35 # include <string.h>
  36 #endif /* HAVE_STRING_H */
  37 #ifdef HAVE_STRINGS_H
  38 # include <strings.h>
  39 #endif /* HAVE_STRINGS_H */
  40 #ifdef HAVE_UNISTD_H
  41 # include <unistd.h>
  42 #endif /* HAVE_UNISTD_H */
  43 #include <pwd.h>
  44 #include <time.h>
  45 #include <signal.h>
  46
  47 #include "sudo.h"
  48 #include "sudo_auth.h"
  49 #include "insults.h"
  50
  51 sudo_auth auth_switch[] = {
  52 #ifdef AUTH_STANDALONE
  53     AUTH_STANDALONE
  54 #else
  55 #  ifndef WITHOUT_PASSWD
  56     AUTH_ENTRY(0, "passwd", passwd_init, NULL, passwd_verify, NULL)
  57 #  endif
  58 #  if defined(HAVE_GETPRPWNAM) && !defined(WITHOUT_PASSWD)
  59     AUTH_ENTRY(0, "secureware", secureware_init, NULL, secureware_verify, NULL)
  60 #  endif
  61 #  ifdef HAVE_AFS
  62     AUTH_ENTRY(0, "afs", NULL, NULL, afs_verify, NULL)
  63 #  endif
  64 #  ifdef HAVE_DCE
  65     AUTH_ENTRY(0, "dce", NULL, NULL, dce_verify, NULL)
  66 #  endif
  67 #  ifdef HAVE_KERB4
  68     AUTH_ENTRY(0, "kerb4", kerb4_init, NULL, kerb4_verify, NULL)
  69 #  endif
  70 #  ifdef HAVE_KERB5
  71     AUTH_ENTRY(0, "kerb5", kerb5_init, NULL, kerb5_verify, kerb5_cleanup)
  72 #  endif
  73 #  ifdef HAVE_SKEY
  74     AUTH_ENTRY(0, "S/Key", NULL, rfc1938_setup, rfc1938_verify, NULL)
  75 #  endif
  76 #  ifdef HAVE_OPIE
  77     AUTH_ENTRY(0, "OPIE", NULL, rfc1938_setup, rfc1938_verify, NULL)
  78 #  endif
  79 #endif /* AUTH_STANDALONE */
  80     AUTH_ENTRY(0, NULL, NULL, NULL, NULL, NULL)
  81 };
  82
  83 void
  84 verify_user(pw, prompt)
  85     struct passwd *pw;
  86     char *prompt;
  87 {
  88     int counter = def_passwd_tries + 1;
  89     int success = AUTH_FAILURE;
  90     int status;
  91     int flags;
  92     char *p;
  93     sudo_auth *auth;
  94     sigaction_t sa, osa;
  95 #ifdef HAVE_BSM_AUDIT
  96     extern char **NewArgv;
  97 #endif
  98
  99     /* Enable suspend during password entry. */
 100     sigemptyset(&sa.sa_mask);
 101     sa.sa_flags = SA_RESTART;
 102     sa.sa_handler = SIG_DFL;
 103     (void) sigaction(SIGTSTP, &sa, &osa);
 104
 105     /* Make sure we have at least one auth method. */
 106     if (auth_switch[0].name == NULL) {
 107 #ifdef HAVE_BSM_AUDIT
 108         audit_failure(NewArgv, "no authentication methods");
 109 #endif
 110         log_error(0, "%s  %s %s",
 111             "There are no authentication methods compiled into sudo!",
 112             "If you want to turn off authentication, use the",
 113             "--disable-authentication configure option.");
 114     }
 115
 116     /* Set FLAG_ONEANDONLY if there is only one auth method. */
 117     if (auth_switch[1].name == NULL)
 118         SET(auth_switch[0].flags, FLAG_ONEANDONLY);
 119
 120     /* Initialize auth methods and unconfigure the method if necessary. */
 121     for (auth = auth_switch; auth->name; auth++) {
 122         if (auth->init && IS_CONFIGURED(auth)) {
 123             if (NEEDS_USER(auth))
 124                 set_perms(PERM_USER);
 125
 126             status = (auth->init)(pw, &prompt, auth);
 127             if (status == AUTH_FAILURE)
 128                 CLR(auth->flags, FLAG_CONFIGURED);
 129             else if (status == AUTH_FATAL) {    /* XXX log */
 130 #ifdef HAVE_BSM_AUDIT
 131                 audit_failure(NewArgv, "authentication failure");
 132 #endif
 133                 exit(1);                /* assume error msg already printed */
 134             }
 135
 136             if (NEEDS_USER(auth))
 137                 set_perms(PERM_ROOT);
 138         }
 139     }
 140
 141     while (--counter) {
 142         /* Do any per-method setup and unconfigure the method if needed */
 143         for (auth = auth_switch; auth->name; auth++) {
 144             if (auth->setup && IS_CONFIGURED(auth)) {
 145                 if (NEEDS_USER(auth))
 146                     set_perms(PERM_USER);
 147
 148                 status = (auth->setup)(pw, &prompt, auth);
 149                 if (status == AUTH_FAILURE)
 150                     CLR(auth->flags, FLAG_CONFIGURED);
 151                 else if (status == AUTH_FATAL) {/* XXX log */
 152 #ifdef HAVE_BSM_AUDIT
 153                     audit_failure(NewArgv, "authentication failure");
 154 #endif
 155                     exit(1);            /* assume error msg already printed */
 156                 }
 157
 158                 if (NEEDS_USER(auth))
 159                     set_perms(PERM_ROOT);
 160             }
 161         }
 162
 163         /* Get the password unless the auth function will do it for us */
 164 #ifdef AUTH_STANDALONE
 165         p = prompt;
 166 #else
 167         p = (char *) tgetpass(prompt, def_passwd_timeout * 60,
 168             tgetpass_flags);
 169 #endif /* AUTH_STANDALONE */
 170
 171         /* Call authentication functions. */
 172         for (auth = auth_switch; p && auth->name; auth++) {
 173             if (!IS_CONFIGURED(auth))
 174                 continue;
 175
 176             if (NEEDS_USER(auth))
 177                 set_perms(PERM_USER);
 178
 179             success = auth->status = (auth->verify)(pw, (char *)p, auth);
 180
 181             if (NEEDS_USER(auth))
 182                 set_perms(PERM_ROOT);
 183
 184             if (auth->status != AUTH_FAILURE)
 185                 goto cleanup;
 186         }
 187 #ifndef AUTH_STANDALONE
 188         if (p)
 189             zero_bytes(p, strlen(p));
 190 #endif
 191         if (!ISSET(tgetpass_flags, TGP_ASKPASS))
 192             pass_warn(stderr);
 193     }
 194
 195 cleanup:
 196     /* Call cleanup routines. */
 197     for (auth = auth_switch; auth->name; auth++) {
 198         if (auth->cleanup && IS_CONFIGURED(auth)) {
 199             if (NEEDS_USER(auth))
 200                 set_perms(PERM_USER);
 201
 202             status = (auth->cleanup)(pw, auth);
 203             if (status == AUTH_FATAL) { /* XXX log */
 204 #ifdef HAVE_BSM_AUDIT
 205                 audit_failure(NewArgv, "authentication failure");
 206 #endif
 207                 exit(1);                /* assume error msg already printed */
 208             }
 209
 210             if (NEEDS_USER(auth))
 211                 set_perms(PERM_ROOT);
 212         }
 213     }
 214
 215     switch (success) {
 216         case AUTH_SUCCESS:
 217             (void) sigaction(SIGTSTP, &osa, NULL);
 218             return;
 219         case AUTH_INTR:
 220         case AUTH_FAILURE:
 221             if (counter != def_passwd_tries) {
 222                 if (def_mail_badpass || def_mail_always)
 223                     flags = 0;
 224                 else
 225                     flags = NO_MAIL;
 226 #ifdef HAVE_BSM_AUDIT
 227                 audit_failure(NewArgv, "authentication failure");
 228 #endif
 229                 log_error(flags, "%d incorrect password attempt%s",
 230                     def_passwd_tries - counter,
 231                     (def_passwd_tries - counter == 1) ? "" : "s");
 232             }
 233             /* FALLTHROUGH */
 234         case AUTH_FATAL:
 235 #ifdef HAVE_BSM_AUDIT
 236             audit_failure(NewArgv, "authentication failure");
 237 #endif
 238             exit(1);
 239     }
 240     /* NOTREACHED */
 241 }
 242
 243 void
 244 pass_warn(fp)
 245     FILE *fp;
 246 {
 247
 248 #ifdef INSULT
 249     if (def_insults)
 250         (void) fprintf(fp, "%s\n", INSULT);
 251     else
 252 #endif
 253         (void) fprintf(fp, "%s\n", def_badpass_message);
 254 }
 255
 256 void
 257 dump_auth_methods()
 258 {
 259     sudo_auth *auth;
 260
 261     (void) fputs("Authentication methods:", stdout);
 262     for (auth = auth_switch; auth->name; auth++)
 263         (void) printf(" '%s'", auth->name);
 264     (void) putchar('\n');
 265 }