[package xenclient-ioemu] Target Env was applied to "cd" builtin rather
than the xen-setup command. This was causing the configure to fail
because of missing headers and libraries.

Merge branch 'master' of git://git.uk.xensource.com/xenclient/build

[package/xen] Build qemu as well.

Merge branch 'master' of git://git.xci-test.com/xenclient/build

See email thread below.

Briefly:

- Make curl's test for same user and password before re-using a connection more robust.
- Once auth has finished (succeed or fail), close the connection. This stops the connection being re-used for auth
  again later, which confuses curl!

------ EMAIL THREAD STARTS HERE ------

A slight modification. I modified libcurl to do these things:

- Check user name and password match before re-using a connection.

o This ensures that if we ever had multiple, concurrent users, there is no chance a user would end up authenticated as someone else.

- Close the connection once auth has succeeded or failed.

o This ensures that a user won't end up re-using a connection from a previous auth. Curl's state machine doesn't like this. It's probably safest anyway.

- Put a 32 byte random string in the password field (while picking up the NT hash from a file).

o This is to protect against multiple _concurrent_ auth attempts from the _same_ user. Without this, the auth attempts might interfere and fail.

What do you think? I've done these changes outside XenClient so far and will fold them in tomorrow if they seem okay.

David

From: David Halls

Sent: 22 January 2010 18:25

To: Jean-Sebastien Legare

Cc: Ian Pratt; Jean Guyader; Chris Mayers
Subject: libcurl

OK so I found an unpleasant feature of libcurl today: it doesn't quite get NTLM right on its connections.

It doesn't mark NTLM connections as being in use for NTLM so in theory if it decides to re-use a connection doing NTLM, things can fail in weird ways. Here's the bug report I subsequently found:

37. Having more than one connection to the same host when doing NTLM

  authentication (with performs multiple "passes" and authenticates a

  connection rather than a HTTP request), and particularly when using the

  multi interface, there's a risk that libcurl will re-use a wrong connection

  when doing the different passes in the NTLM negotiation and thus fail to

  negotiate (in seemingly mysterious ways).

It also screws up if you happen to re-use a connection that's previously done NTLM, and want to do NTLM again (the existing bed test harness found that - well done whoever wrote that). It says the authentication is in a bad state. This is because it just re-uses the connection as it's to the same host.

What I've done so far for a fix is to modify curl's connection re-use logic like so:

- if a connection has a username and password associated with it, then it can only be re-used if the new request has a username and password; AND

- the username and password on the connection must match those on the request

This ensures that:

- NTLM still works since the challenge-response multiple requests is performed over the same connection

- connections aren't re-used inadvertently, and that when we do re-use them, it's for the same user. [In XenClient, we only do NTLM to login - after that, we use pass headers around to prove the user is logged on. So we don't need to re-use the authenticated connections.]

However, there remains one problem. If a second NTLM authentication (i.e. login) is required for the same user for any reason, and the first connection is still alive, then it fails. This is because the user name and passwords will match and the first connection will be re-used - and curl's state machine gets into a state.

So I have a workaround for this. We don't actually set any password - we pick the hash up from a file. So if I set the password field to a random string, everything works.

What do you think to this solution? Is it safe enough (I guess a long enough random string should be ok?)

David

XC-596: Acquire a lot more data in status-report

XC-1126: Allow host installer to offer upgrade
by removing an entry in the answerfile used by the install CD.

remove unused old answerfile

Added patch file for CURL so it can pick up NT password hash from a file

[package/libcurl] switch to version 7.19.7

[xenclient/skeleton] Add secure ramdisk.

[xenclient/skeleton] Add /mnt/secure

[xenclient/skeleton]: Add /mnt directory

[xenclient/skeleton] Start two dns one per bridge.

Merge branch 'master' of git://git.uk.xensource.com/xenclient/build

udhcpd: Add lease file, and change lease time (100 days).

Merge branch 'master' of git://git.uk.xensource.com/xenclient/build

put libgmch in staging

Merge branch 'master' of git://git.uk.xensource.com/xenclient/build

[xenclient/skeleton]: Create 2M file for syslog file.

XC-1070 Host installer: Legal-approved EULA

Merge branch 'master' of git://git.xci-test.com/xenclient/build

add database demon to init.d

Merge branch 'master' of git://git.uk.xensource.com/xenclient/build

Use staging gettext for tpm-tools

[package/ncurses]: Only modify prefix= and exec_prefix=.

Merge branch 'master' of git://git.uk.xensource.com/xenclient/build

[package/ncurses] Fix ncurses5-config

Use the toolchain compiler (but don't overide the include files) for tboot

fix incorrect name of unpacked stamp file for autotools rule in tpm-tools and trousers

Tidy up tboot.mk, and move Christian's patch into something that can be sent upstream

Hack around brokenness in latest tboot.hg

Make xenclient-tboot package select trousers and tpm-tools.

Fix tpm-tools package.

Installer: Switch min disk size to 512 so we pick the usb flash up.

kernel: Set usb as yes.

Enable ext4 linux kernel module.

Merge branch 'master' of git://git.uk.xensource.com/xenclient/build

Set xen acpi video configuration by default.

Fix xcryptsetup.

Update to the latest TBOOT/SINITs, make trousers/tpmtools generic packages.

Rename cryptsetup to xcryptsetup since busybox dependencies are a joke...

Change dependencies.

Fix cryptsetup/e2fsprogs dependencies.

Add dependency on pkgconfig since configure step needs it.

Merge branch 'master' of ssh://latara.uk.xensource.com/home/chris/xc/build

Refresh the answerfiles txt file.

XC-1019: Host installer: Fix "EXIT" button in EULA

XC-1017: Host installer: More fix backwards w/ Escape key

XC-1017: Host installer: Fix backwards w/ Escape key

Add luksCheckKey command to verify a passphrase.

Merge branch 'master' of git://git.uk.xensource.com/xenclient/build

don't use the GPU in dom0

[installer-skeleton] Make SSH enabled by default for quick installs

Slightly cleaner version of root password change

[initscripts] Set password and disable/enable ssh based on installer settings

Add password prompt and SSH enable prompt to installer (and answerfiles)

[package/xenclient/xen] Install pxe rom on the target.

amt bit swizzling boot time component

Add NetworkManager script to handle ppp devices

Move NetworkManager's udev files to the correct path

dbus-daemon-launch-helper must be SUID root to start services

Install HAL's udev rules to the correct directory

Add support for PPP device routing

Add ppp modules for 3g

Add support for the 3g card we bought in tesco this morninig

Add cryptsetup.

Merge branch 'master' of git://git.uk.xensource.com/xenclient/build

Add crypto-sha256 for cryptsetup/luks.

cannot write to vga memory to clear it until GTT is set up, after which time vbetool will clean it anyway

make init_raster wait for flr to avoid race with xenvm

Add modules: dm-crypt, crypto-gf128mul, crypto-cbc and crypto-xts

Autoconf for input_server

skeleton: init_raster, Clear vga memory before calling X.

Add usb-cdrom support in the installer

XC-696: Proper legal EULA for Private Beta into host installer

XC-665: implement percentage complete calc for verifying repo

XC-476 We no longer install curl's CA-bundle because of licensing constraints.

XC-476 The installer allows copying a certificate bundle to dom0.
   The new installation step is executed only when a Transmitter
   backend is setup.

set the command register to 7 before running vbetool

toolchain/external: fix ` typo at the end of the line.

Fix rsync errors during build (race between find+chmod and rsync)

XC-649: Update the faux-EULA for Private Beta

Add init_raster

[skel/installer] Add /usr/bin/groups to installer skeleton, fixes xc-279

Clean one line superblanker part #1 patch

Make X compile (remove kernel drm headers, and fix libdrm_intel.la)

Merge branch 'devel-thomasho'

[package/xenclient-kernel] Enable AES module

This fixes WPA2. Can now connect to WPA2-PSK and WPA2-Enterprise
networks.

XC-314

[package/x11r7/intel]: Force dri.

[package/xorg]: Upgrade Xorg to 1.6.1

[package/xenclinet/wifi-backports] Fixes to xenkernel compatibility patch

[package/xserver_xorg]: Enable dri and mesa3d.

Update wpa_supplicant and compat-wireless from upstream

Quick and dirty (and by god it is) superblanker part #1. Fix this patch to be a one liner once the build system is able to compile Mesa for staging.

XC-423: Enable verify repository integrity in host installer

[package/xenclient]: Introduce gmch

Merge branch 'master' of git://git.uk.xensource.com/xenclient/build

[package/libdrm] Change version and fix makefile.

Fix xorg dependancy issues