doc/html/mitK5features.html

   1 <!DOCTYPE html PUBLIC "-//W3C//DTD XHTML 1.0 Transitional//EN"
   2   "http://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd">
   3
   4
   5 <html xmlns="http://www.w3.org/1999/xhtml">
   6   <head>
   7     <meta http-equiv="Content-Type" content="text/html; charset=utf-8" />
   8
   9     <title>MIT Kerberos features &mdash; MIT Kerberos Documentation</title>
  10
  11     <link rel="stylesheet" href="_static/agogo.css" type="text/css" />
  12     <link rel="stylesheet" href="_static/pygments.css" type="text/css" />
  13     <link rel="stylesheet" href="_static/kerb.css" type="text/css" />
  14
  15     <script type="text/javascript">
  16       var DOCUMENTATION_OPTIONS = {
  17         URL_ROOT:    './',
  18         VERSION:     '1.15.1',
  19         COLLAPSE_INDEX: false,
  20         FILE_SUFFIX: '.html',
  21         HAS_SOURCE:  true
  22       };
  23     </script>
  24     <script type="text/javascript" src="_static/jquery.js"></script>
  25     <script type="text/javascript" src="_static/underscore.js"></script>
  26     <script type="text/javascript" src="_static/doctools.js"></script>
  27     <link rel="author" title="About these documents" href="about.html" />
  28     <link rel="copyright" title="Copyright" href="copyright.html" />
  29     <link rel="top" title="MIT Kerberos Documentation" href="index.html" />
  30     <link rel="next" title="MIT Kerberos License information" href="mitK5license.html" />
  31     <link rel="prev" title="KDC cookie format" href="formats/cookie.html" />
  32   </head>
  33   <body>
  34     <div class="header-wrapper">
  35         <div class="header">
  36
  37
  38             <h1><a href="index.html">MIT Kerberos Documentation</a></h1>
  39
  40             <div class="rel">
  41
  42         <a href="index.html" title="Full Table of Contents"
  43             accesskey="C">Contents</a> |
  44         <a href="formats/cookie.html" title="KDC cookie format"
  45             accesskey="P">previous</a> |
  46         <a href="mitK5license.html" title="MIT Kerberos License information"
  47             accesskey="N">next</a> |
  48         <a href="genindex.html" title="General Index"
  49             accesskey="I">index</a> |
  50         <a href="search.html" title="Enter search criteria"
  51             accesskey="S">Search</a> |
  52     <a href="mailto:krb5-bugs@mit.edu?subject=Documentation__MIT Kerberos features">feedback</a>
  53             </div>
  54         </div>
  55     </div>
  56
  57     <div class="content-wrapper">
  58       <div class="content">
  59         <div class="document">
  60
  61       <div class="documentwrapper">
  62         <div class="bodywrapper">
  63           <div class="body">
  64
  65   <div class="toctree-wrapper compound">
  66 </div>
  67 <div class="section" id="mit-kerberos-features">
  68 <span id="mitk5features"></span><h1>MIT Kerberos features<a class="headerlink" href="#mit-kerberos-features" title="Permalink to this headline">¶</a></h1>
  69 <p><a class="reference external" href="http://web.mit.edu/kerberos">http://web.mit.edu/kerberos</a></p>
  70 <div class="section" id="quick-facts">
  71 <h2>Quick facts<a class="headerlink" href="#quick-facts" title="Permalink to this headline">¶</a></h2>
  72 <p>License - <a class="reference internal" href="mitK5license.html#mitk5license"><em>MIT Kerberos License information</em></a></p>
  73 <dl class="docutils">
  74 <dt>Releases:</dt>
  75 <dd><ul class="first last simple">
  76 <li>Latest stable: <a class="reference external" href="http://web.mit.edu/kerberos/krb5-1.15/">http://web.mit.edu/kerberos/krb5-1.15/</a></li>
  77 <li>Supported: <a class="reference external" href="http://web.mit.edu/kerberos/krb5-1.14/">http://web.mit.edu/kerberos/krb5-1.14/</a></li>
  78 <li>Release cycle: 9 &#8211; 12 months</li>
  79 </ul>
  80 </dd>
  81 <dt>Supported platforms / OS distributions:</dt>
  82 <dd><ul class="first last simple">
  83 <li>Windows (KfW 4.0): Windows 7, Vista, XP</li>
  84 <li>Solaris: SPARC, x86_64/x86</li>
  85 <li>GNU/Linux: Debian x86_64/x86, Ubuntu x86_64/x86, RedHat x86_64/x86</li>
  86 <li>BSD: NetBSD x86_64/x86</li>
  87 </ul>
  88 </dd>
  89 <dt>Crypto backends:</dt>
  90 <dd><ul class="first last simple">
  91 <li>builtin - MIT Kerberos native crypto library</li>
  92 <li>OpenSSL (1.0+) - <a class="reference external" href="http://www.openssl.org">http://www.openssl.org</a></li>
  93 </ul>
  94 </dd>
  95 </dl>
  96 <p>Database backends: LDAP, DB2</p>
  97 <p>krb4 support: Kerberos 5 release &lt; 1.8</p>
  98 <p>DES support: configurable (See <a class="reference internal" href="admin/advanced/retiring-des.html#retiring-des"><em>Retiring DES</em></a>)</p>
  99 </div>
 100 <div class="section" id="interoperability">
 101 <h2>Interoperability<a class="headerlink" href="#interoperability" title="Permalink to this headline">¶</a></h2>
 102 <p><cite>Microsoft</cite></p>
 103 <p>Starting from release 1.7:</p>
 104 <ul class="simple">
 105 <li>Follow client principal referrals in the client library when
 106 obtaining initial tickets.</li>
 107 <li>KDC can issue realm referrals for service principals based on domain names.</li>
 108 <li>Extensions supporting DCE RPC, including three-leg GSS context setup
 109 and unencapsulated GSS tokens inside SPNEGO.</li>
 110 <li>Microsoft GSS_WrapEX, implemented using the gss_iov API, which is
 111 similar to the equivalent SSPI functionality.  This is needed to
 112 support some instances of DCE RPC.</li>
 113 <li>NTLM recognition support in GSS-API, to facilitate dropping in an
 114 NTLM implementation for improved compatibility with older releases
 115 of Microsoft Windows.</li>
 116 <li>KDC support for principal aliases, if the back end supports them.
 117 Currently, only the LDAP back end supports aliases.</li>
 118 <li>Support Microsoft set/change password (<span class="target" id="index-0"></span><a class="rfc reference external" href="http://tools.ietf.org/html/rfc3244.html"><strong>RFC 3244</strong></a>) protocol in
 119 kadmind.</li>
 120 <li>Implement client and KDC support for GSS_C_DELEG_POLICY_FLAG, which
 121 allows a GSS application to request credential delegation only if
 122 permitted by KDC policy.</li>
 123 </ul>
 124 <p>Starting from release 1.8:</p>
 125 <ul class="simple">
 126 <li>Microsoft Services for User (S4U) compatibility</li>
 127 </ul>
 128 <p><cite>Heimdal</cite></p>
 129 <ul class="simple">
 130 <li>Support for KCM credential cache starting from release 1.13</li>
 131 </ul>
 132 </div>
 133 <div class="section" id="feature-list">
 134 <h2>Feature list<a class="headerlink" href="#feature-list" title="Permalink to this headline">¶</a></h2>
 135 <p>For more information on the specific project see <a class="reference external" href="http://k5wiki.kerberos.org/wiki/Projects">http://k5wiki.kerberos.org/wiki/Projects</a></p>
 136 <dl class="docutils">
 137 <dt>Release 1.7</dt>
 138 <dd><ul class="first last simple">
 139 <li>Credentials delegation                   <span class="target" id="index-1"></span><a class="rfc reference external" href="http://tools.ietf.org/html/rfc5896.html"><strong>RFC 5896</strong></a></li>
 140 <li>Cross-realm authentication and referrals <span class="target" id="index-2"></span><a class="rfc reference external" href="http://tools.ietf.org/html/rfc6806.html"><strong>RFC 6806</strong></a></li>
 141 <li>Master key migration</li>
 142 <li>PKINIT                                   <span class="target" id="index-3"></span><a class="rfc reference external" href="http://tools.ietf.org/html/rfc4556.html"><strong>RFC 4556</strong></a> <a class="reference internal" href="admin/pkinit.html#pkinit"><em>PKINIT configuration</em></a></li>
 143 </ul>
 144 </dd>
 145 <dt>Release 1.8</dt>
 146 <dd><ul class="first last simple">
 147 <li>Anonymous PKINIT         <span class="target" id="index-4"></span><a class="rfc reference external" href="http://tools.ietf.org/html/rfc6112.html"><strong>RFC 6112</strong></a> <a class="reference internal" href="admin/pkinit.html#anonymous-pkinit"><em>Anonymous PKINIT</em></a></li>
 148 <li>Constrained delegation</li>
 149 <li>IAKERB                   <a class="reference external" href="http://tools.ietf.org/html/draft-ietf-krb-wg-iakerb-02">http://tools.ietf.org/html/draft-ietf-krb-wg-iakerb-02</a></li>
 150 <li>Heimdal bridge plugin for KDC backend</li>
 151 <li>GSS-API S4U extensions   <a class="reference external" href="http://msdn.microsoft.com/en-us/library/cc246071">http://msdn.microsoft.com/en-us/library/cc246071</a></li>
 152 <li>GSS-API naming extensions                            <span class="target" id="index-5"></span><a class="rfc reference external" href="http://tools.ietf.org/html/rfc6680.html"><strong>RFC 6680</strong></a></li>
 153 <li>GSS-API extensions for storing delegated credentials <span class="target" id="index-6"></span><a class="rfc reference external" href="http://tools.ietf.org/html/rfc5588.html"><strong>RFC 5588</strong></a></li>
 154 </ul>
 155 </dd>
 156 <dt>Release 1.9</dt>
 157 <dd><ul class="first last simple">
 158 <li>Advance warning on password expiry</li>
 159 <li>Camellia encryption (CTS-CMAC mode)       <span class="target" id="index-7"></span><a class="rfc reference external" href="http://tools.ietf.org/html/rfc6803.html"><strong>RFC 6803</strong></a></li>
 160 <li>KDC support for SecurID preauthentication</li>
 161 <li>kadmin over IPv6</li>
 162 <li>Trace logging                             <a class="reference internal" href="admin/troubleshoot.html#trace-logging"><em>Trace logging</em></a></li>
 163 <li>GSSAPI/KRB5 multi-realm support</li>
 164 <li>Plugin to test password quality           <a class="reference internal" href="plugindev/pwqual.html#pwqual-plugin"><em>Password quality interface (pwqual)</em></a></li>
 165 <li>Plugin to synchronize password changes    <a class="reference internal" href="plugindev/kadm5_hook.html#kadm5-hook-plugin"><em>KADM5 hook interface (kadm5_hook)</em></a></li>
 166 <li>Parallel KDC</li>
 167 <li>GSS-API extentions for SASL GS2 bridge    <span class="target" id="index-8"></span><a class="rfc reference external" href="http://tools.ietf.org/html/rfc5801.html"><strong>RFC 5801</strong></a> <span class="target" id="index-9"></span><a class="rfc reference external" href="http://tools.ietf.org/html/rfc5587.html"><strong>RFC 5587</strong></a></li>
 168 <li>Purging old keys</li>
 169 <li>Naming extensions for delegation chain</li>
 170 <li>Password expiration API</li>
 171 <li>Windows client support   (build-only)</li>
 172 <li>IPv6 support in iprop</li>
 173 </ul>
 174 </dd>
 175 <dt>Release 1.10</dt>
 176 <dd><ul class="first last simple">
 177 <li>Plugin interface for configuration        <a class="reference internal" href="plugindev/profile.html#profile-plugin"><em>Configuration interface (profile)</em></a></li>
 178 <li>Credentials for multiple identities       <a class="reference internal" href="plugindev/ccselect.html#ccselect-plugin"><em>Credential cache selection interface (ccselect)</em></a></li>
 179 </ul>
 180 </dd>
 181 <dt>Release 1.11</dt>
 182 <dd><ul class="first last simple">
 183 <li>Client support for FAST OTP               <span class="target" id="index-10"></span><a class="rfc reference external" href="http://tools.ietf.org/html/rfc6560.html"><strong>RFC 6560</strong></a></li>
 184 <li>GSS-API extensions for credential locations</li>
 185 <li>Responder mechanism</li>
 186 </ul>
 187 </dd>
 188 <dt>Release 1.12</dt>
 189 <dd><ul class="first last simple">
 190 <li>Plugin to control krb5_aname_to_localname and krb5_kuserok behavior   <a class="reference internal" href="plugindev/localauth.html#localauth-plugin"><em>Local authorization interface (localauth)</em></a></li>
 191 <li>Plugin to control hostname-to-realm mappings and the default realm    <a class="reference internal" href="plugindev/hostrealm.html#hostrealm-plugin"><em>Host-to-realm interface (hostrealm)</em></a></li>
 192 <li>GSSAPI extensions for constructing MIC tokens using IOV lists         <a class="reference internal" href="appdev/gssapi.html#gssapi-mic-token"><em>IOV MIC tokens</em></a></li>
 193 <li>Principal may refer to nonexistent policies <a class="reference external" href="http://k5wiki.kerberos.org/wiki/Projects/Policy_refcount_elimination">Policy Refcount project</a></li>
 194 <li>Support for having no long-term keys for a principal <a class="reference external" href="http://k5wiki.kerberos.org/wiki/Projects/Principals_without_keys">Principals Without Keys project</a></li>
 195 <li>Collection support to the KEYRING credential cache type on Linux <a class="reference internal" href="basic/ccache_def.html#ccache-definition"><em>Credential cache</em></a></li>
 196 <li>FAST OTP preauthentication module for the KDC which uses RADIUS to validate OTP token values <a class="reference internal" href="admin/otp.html#otp-preauth"><em>OTP Preauthentication</em></a></li>
 197 <li>Experimental Audit plugin for KDC processing <a class="reference external" href="http://k5wiki.kerberos.org/wiki/Projects/Audit">Audit project</a></li>
 198 </ul>
 199 </dd>
 200 </dl>
 201 <p>Release 1.13</p>
 202 <blockquote>
 203 <div><ul class="simple">
 204 <li>Add support for accessing KDCs via an HTTPS proxy server using
 205 the <a class="reference external" href="http://msdn.microsoft.com/en-us/library/hh553774.aspx">MS-KKDCP</a>
 206 protocol.</li>
 207 <li>Add support for <a class="reference external" href="http://k5wiki.kerberos.org/wiki/Projects/Hierarchical_iprop">hierarchical incremental propagation</a>,
 208 where slaves can act as intermediates between an upstream master
 209 and other downstream slaves.</li>
 210 <li>Add support for configuring GSS mechanisms using
 211 <tt class="docutils literal"><span class="pre">/etc/gss/mech.d/*.conf</span></tt> files in addition to
 212 <tt class="docutils literal"><span class="pre">/etc/gss/mech</span></tt>.</li>
 213 <li>Add support to the LDAP KDB module for <a class="reference external" href="http://k5wiki.kerberos.org/wiki/Projects/LDAP_SASL_support">binding to the LDAP
 214 server using SASL</a>.</li>
 215 <li>The KDC listens for TCP connections by default.</li>
 216 <li>Fix a minor key disclosure vulnerability where using the
 217 &#8220;keepold&#8221; option to the kadmin randkey operation could return the
 218 old keys. <a class="reference external" href="http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2014-5351">[CVE-2014-5351]</a></li>
 219 <li>Add client support for the Kerberos Cache Manager protocol. If
 220 the host is running a Heimdal kcm daemon, caches served by the
 221 daemon can be accessed with the KCM: cache type.</li>
 222 <li>When built on OS X 10.7 and higher, use &#8220;KCM:&#8221; as the default
 223 cachetype, unless overridden by command-line options or
 224 krb5-config values.</li>
 225 <li>Add support for doing unlocked database dumps for the DB2 KDC
 226 back end, which would allow the KDC and kadmind to continue
 227 accessing the database during lengthy database dumps.</li>
 228 </ul>
 229 </div></blockquote>
 230 <p>Release 1.14</p>
 231 <blockquote>
 232 <div><ul class="simple">
 233 <li>Administrator experience<ul>
 234 <li>Add a new kdb5_util tabdump command to provide reporting-friendly
 235 tabular dump formats (tab-separated or CSV) for the KDC database.
 236 Unlike the normal dump format, each output table has a fixed number
 237 of fields.  Some tables include human-readable forms of data that
 238 are opaque in ordinary dump files.  This format is also suitable for
 239 importing into relational databases for complex queries.</li>
 240 <li>Add support to kadmin and kadmin.local for specifying a single
 241 command line following any global options, where the command
 242 arguments are split by the shell&#8211;for example, &#8220;kadmin getprinc
 243 principalname&#8221;.  Commands issued this way do not prompt for
 244 confirmation or display warning messages, and exit with non-zero
 245 status if the operation fails.</li>
 246 <li>Accept the same principal flag names in kadmin as we do for the
 247 default_principal_flags kdc.conf variable, and vice versa.  Also
 248 accept flag specifiers in the form that kadmin prints, as well as
 249 hexadecimal numbers.</li>
 250 <li>Remove the triple-DES and RC4 encryption types from the default
 251 value of supported_enctypes, which determines the default key and
 252 salt types for new password-derived keys.  By default, keys will
 253 only created only for AES128 and AES256.  This mitigates some types
 254 of password guessing attacks.</li>
 255 <li>Add support for directory names in the KRB5_CONFIG and
 256 KRB5_KDC_PROFILE environment variables.</li>
 257 <li>Add support for authentication indicators, which are ticket
 258 annotations to indicate the strength of the initial authentication.
 259 Add support for the &#8220;require_auth&#8221; string attribute, which can be
 260 set on server principal entries to require an indicator when
 261 authenticating to the server.</li>
 262 <li>Add support for key version numbers larger than 255 in keytab files,
 263 and for version numbers up to 65535 in KDC databases.</li>
 264 <li>Transmit only one ETYPE-INFO and/or ETYPE-INFO2 entry from the KDC
 265 during pre-authentication, corresponding to the client&#8217;s most
 266 preferred encryption type.</li>
 267 <li>Add support for server name identification (SNI) when proxying KDC
 268 requests over HTTPS.</li>
 269 <li>Add support for the err_fmt profile parameter, which can be used to
 270 generate custom-formatted error messages.</li>
 271 </ul>
 272 </li>
 273 <li>Developer experience:<ul>
 274 <li>Change gss_acquire_cred_with_password() to acquire credentials into
 275 a private memory credential cache.  Applications can use
 276 gss_store_cred() to make the resulting credentials visible to other
 277 processes.</li>
 278 <li>Change gss_acquire_cred() and SPNEGO not to acquire credentials for
 279 IAKERB or for non-standard variants of the krb5 mechanism OID unless
 280 explicitly requested.  (SPNEGO will still accept the Microsoft
 281 variant of the krb5 mechanism OID during negotiation.)</li>
 282 <li>Change gss_accept_sec_context() not to accept tokens for IAKERB or
 283 for non-standard variants of the krb5 mechanism OID unless an
 284 acceptor credential is acquired for those mechanisms.</li>
 285 <li>Change gss_acquire_cred() to immediately resolve credentials if the
 286 time_rec parameter is not NULL, so that a correct expiration time
 287 can be returned.  Normally credential resolution is delayed until
 288 the target name is known.</li>
 289 <li>Add krb5_prepend_error_message() and krb5_wrap_error_message() APIs,
 290 which can be used by plugin modules or applications to add prefixes
 291 to existing detailed error messages.</li>
 292 <li>Add krb5_c_prfplus() and krb5_c_derive_prfplus() APIs, which
 293 implement the RFC 6113 PRF+ operation and key derivation using PRF+.</li>
 294 <li>Add support for pre-authentication mechanisms which use multiple
 295 round trips, using the the KDC_ERR_MORE_PREAUTH_DATA_REQUIRED error
 296 code.  Add get_cookie() and set_cookie() callbacks to the kdcpreauth
 297 interface; these callbacks can be used to save marshalled state
 298 information in an encrypted cookie for the next request.</li>
 299 <li>Add a client_key() callback to the kdcpreauth interface to retrieve
 300 the chosen client key, corresponding to the ETYPE-INFO2 entry sent
 301 by the KDC.</li>
 302 <li>Add an add_auth_indicator() callback to the kdcpreauth interface,
 303 allowing pre-authentication modules to assert authentication
 304 indicators.</li>
 305 <li>Add support for the GSS_KRB5_CRED_NO_CI_FLAGS_X cred option to
 306 suppress sending the confidentiality and integrity flags in GSS
 307 initiator tokens unless they are requested by the caller.  These
 308 flags control the negotiated SASL security layer for the Microsoft
 309 GSS-SPNEGO SASL mechanism.</li>
 310 <li>Make the FILE credential cache implementation less prone to
 311 corruption issues in multi-threaded programs, especially on
 312 platforms with support for open file description locks.</li>
 313 </ul>
 314 </li>
 315 <li>Performance:<ul>
 316 <li>On slave KDCs, poll the master KDC immediately after processing a
 317 full resync, and do not require two full resyncs after the master
 318 KDC&#8217;s log file is reset.</li>
 319 </ul>
 320 </li>
 321 </ul>
 322 </div></blockquote>
 323 <p>Release 1.15</p>
 324 <ul class="simple">
 325 <li>Administrator experience:<ul>
 326 <li>Add support to kadmin for remote extraction of current keys
 327 without changing them (requires a special kadmin permission that
 328 is excluded from the wildcard permission), with the exception of
 329 highly protected keys.</li>
 330 <li>Add a lockdown_keys principal attribute to prevent retrieval of
 331 the principal&#8217;s keys (old or new) via the kadmin protocol.  In
 332 newly created databases, this attribute is set on the krbtgt and
 333 kadmin principals.</li>
 334 <li>Restore recursive dump capability for DB2 back end, so sites can
 335 more easily recover from database corruption resulting from power
 336 failure events.</li>
 337 <li>Add DNS auto-discovery of KDC and kpasswd servers from URI
 338 records, in addition to SRV records.  URI records can convey TCP
 339 and UDP servers and master KDC status in a single DNS lookup, and
 340 can also point to HTTPS proxy servers.</li>
 341 <li>Add support for password history to the LDAP back end.</li>
 342 <li>Add support for principal renaming to the LDAP back end.</li>
 343 <li>Use the getrandom system call on supported Linux kernels to avoid
 344 blocking problems when getting entropy from the operating system.</li>
 345 </ul>
 346 </li>
 347 <li>Code quality:<ul>
 348 <li>Clean up numerous compilation warnings.</li>
 349 <li>Remove various infrequently built modules, including some preauth
 350 modules that were not built by default.</li>
 351 </ul>
 352 </li>
 353 <li>Developer experience:<ul>
 354 <li>Add support for building with OpenSSL 1.1.</li>
 355 <li>Use SHA-256 instead of MD5 for (non-cryptographic) hashing of
 356 authenticators in the replay cache.  This helps sites that must
 357 build with FIPS 140 conformant libraries that lack MD5.</li>
 358 </ul>
 359 </li>
 360 <li>Protocol evolution:<ul>
 361 <li>Add support for the AES-SHA2 enctypes, which allows sites to
 362 conform to Suite B crypto requirements.</li>
 363 </ul>
 364 </li>
 365 </ul>
 366 <p><cite>Pre-authentication mechanisms</cite></p>
 367 <ul class="simple">
 368 <li>PW-SALT                                         <span class="target" id="index-11"></span><a class="rfc reference external" href="http://tools.ietf.org/html/rfc4120.html#section-5.2.7.3"><strong>RFC 4120</strong></a></li>
 369 <li>ENC-TIMESTAMP                                   <span class="target" id="index-12"></span><a class="rfc reference external" href="http://tools.ietf.org/html/rfc4120.html#section-5.2.7.2"><strong>RFC 4120</strong></a></li>
 370 <li>SAM-2</li>
 371 <li>FAST negotiation framework   (release 1.8)      <span class="target" id="index-13"></span><a class="rfc reference external" href="http://tools.ietf.org/html/rfc6113.html"><strong>RFC 6113</strong></a></li>
 372 <li>PKINIT with FAST on client   (release 1.10)     <span class="target" id="index-14"></span><a class="rfc reference external" href="http://tools.ietf.org/html/rfc6113.html"><strong>RFC 6113</strong></a></li>
 373 <li>PKINIT                                          <span class="target" id="index-15"></span><a class="rfc reference external" href="http://tools.ietf.org/html/rfc4556.html"><strong>RFC 4556</strong></a></li>
 374 <li>FX-COOKIE                                       <span class="target" id="index-16"></span><a class="rfc reference external" href="http://tools.ietf.org/html/rfc6113.html#section-5.2"><strong>RFC 6113</strong></a></li>
 375 <li>S4U-X509-USER                (release 1.8)      <a class="reference external" href="http://msdn.microsoft.com/en-us/library/cc246091">http://msdn.microsoft.com/en-us/library/cc246091</a></li>
 376 <li>OTP                          (release 1.12)     <a class="reference internal" href="admin/otp.html#otp-preauth"><em>OTP Preauthentication</em></a></li>
 377 </ul>
 378 <p><cite>PRNG</cite></p>
 379 <ul class="simple">
 380 <li>modularity       (release 1.9)</li>
 381 <li>Yarrow PRNG      (release &lt; 1.10)</li>
 382 <li>Fortuna PRNG     (release 1.9)       <a class="reference external" href="http://www.schneier.com/book-practical.html">http://www.schneier.com/book-practical.html</a></li>
 383 <li>OS PRNG          (release 1.10)      OS&#8217;s native PRNG</li>
 384 </ul>
 385 </div>
 386 </div>
 387
 388
 389           </div>
 390         </div>
 391       </div>
 392         </div>
 393         <div class="sidebar">
 394     <h2>On this page</h2>
 395     <ul>
 396 <li><a class="reference internal" href="#">MIT Kerberos features</a><ul>
 397 <li><a class="reference internal" href="#quick-facts">Quick facts</a></li>
 398 <li><a class="reference internal" href="#interoperability">Interoperability</a></li>
 399 <li><a class="reference internal" href="#feature-list">Feature list</a></li>
 400 </ul>
 401 </li>
 402 </ul>
 403
 404     <br/>
 405     <h2>Table of contents</h2>
 406     <ul class="current">
 407 <li class="toctree-l1"><a class="reference internal" href="user/index.html">For users</a></li>
 408 <li class="toctree-l1"><a class="reference internal" href="admin/index.html">For administrators</a></li>
 409 <li class="toctree-l1"><a class="reference internal" href="appdev/index.html">For application developers</a></li>
 410 <li class="toctree-l1"><a class="reference internal" href="plugindev/index.html">For plugin module developers</a></li>
 411 <li class="toctree-l1"><a class="reference internal" href="build/index.html">Building Kerberos V5</a></li>
 412 <li class="toctree-l1"><a class="reference internal" href="basic/index.html">Kerberos V5 concepts</a></li>
 413 <li class="toctree-l1"><a class="reference internal" href="formats/index.html">Protocols and file formats</a></li>
 414 <li class="toctree-l1 current"><a class="current reference internal" href="">MIT Kerberos features</a><ul class="simple">
 415 </ul>
 416 </li>
 417 <li class="toctree-l1"><a class="reference internal" href="build_this.html">How to build this documentation from the source</a></li>
 418 <li class="toctree-l1"><a class="reference internal" href="about.html">Contributing to the MIT Kerberos Documentation</a></li>
 419 <li class="toctree-l1"><a class="reference internal" href="resources.html">Resources</a></li>
 420 </ul>
 421
 422     <br/>
 423     <h4><a href="index.html">Full Table of Contents</a></h4>
 424     <h4>Search</h4>
 425     <form class="search" action="search.html" method="get">
 426       <input type="text" name="q" size="18" />
 427       <input type="submit" value="Go" />
 428       <input type="hidden" name="check_keywords" value="yes" />
 429       <input type="hidden" name="area" value="default" />
 430     </form>
 431         </div>
 432         <div class="clearer"></div>
 433       </div>
 434     </div>
 435
 436     <div class="footer-wrapper">
 437         <div class="footer" >
 438             <div class="right" ><i>Release: 1.15.1</i><br />
 439                 &copy; <a href="copyright.html">Copyright</a> 1985-2017, MIT.
 440             </div>
 441             <div class="left">
 442
 443         <a href="index.html" title="Full Table of Contents"
 444             >Contents</a> |
 445         <a href="formats/cookie.html" title="KDC cookie format"
 446             >previous</a> |
 447         <a href="mitK5license.html" title="MIT Kerberos License information"
 448             >next</a> |
 449         <a href="genindex.html" title="General Index"
 450             >index</a> |
 451         <a href="search.html" title="Enter search criteria"
 452             >Search</a> |
 453     <a href="mailto:krb5-bugs@mit.edu?subject=Documentation__MIT Kerberos features">feedback</a>
 454             </div>
 455         </div>
 456     </div>
 457
 458   </body>
 459 </html>