aklog: require opt-in to enable single-DES in libkrb5 89/13689/2
authorBenjamin Kaduk <kaduk@mit.edu>
Fri, 12 Jul 2019 04:07:35 +0000 (21:07 -0700)
committerBenjamin Kaduk <kaduk@mit.edu>
Wed, 17 Jul 2019 21:40:16 +0000 (17:40 -0400)
commiteaae6eba8ca10ba7a5a20ee0d1b5f91bc2bac6c6
tree2d8abae6e475dbf0692fa5462645ebb01473ecc3
parent5f48367f2bd5bf1c0e689c79508177b649b9113b
aklog: require opt-in to enable single-DES in libkrb5

Since the introduction of rxkad-k5 in response to OPENAFS-SA-2013-003,
it is not strictly necessary to configure libkrb5 to allow weak crypto
in order to obtain an AFS token.  A sufficient amount of time has passed
since then that it is safe to assume that the default behavior is the
more-secure one, and require opt-in for the insecure behavior.

To indicate that the use of single-DES is quite risky, add the
"-insecure_des" argument to both klog and aklog, to gate the
preexisting calls that enable weak crypto/single-DES.
These calls, and the -insecure_des option, may be removed entirely
in a future commit.

Change-Id: If175d0f95f0ede0f252844086a2a023da5580732
Reviewed-on: https://gerrit.openafs.org/13689
Reviewed-by: Michael Meffie <mmeffie@sinenomine.net>
Reviewed-by: Benjamin Kaduk <kaduk@mit.edu>
Tested-by: Benjamin Kaduk <kaduk@mit.edu>
doc/man-pages/pod1/aklog.pod
doc/man-pages/pod1/klog.krb5.pod
src/aklog/aklog.c
src/aklog/klog.c