require that policy files also provide a <message> element

Declaring an action now requires two textual elements (that both are
subject to translation):

 description: This is intended to be used in policy editors, for
              example "Mount internal volumes".
 message:     This is to be used in auth dialogs, for example "System
              Policy prevents mounting this internal volume".

This is actually needed for security reasons. The idea is that the
desktop environment can provide infrastructure that Callers
(e.g. applications) can use to ask the user to authenticate to gain a
privilege. One such example is PolicyKit-gnome; it's a D-Bus session
based service that applications can use to ask the user to
auth.

Before this change the caller provided the markup, e.g. gnome-mount
would do

 action = "hal-storage-mount-fixed";
 markup = _("System policy prevents mounting internal drives");
 result = org.gnome.PolicyKit.ShowDialog (action, markup);

and the problem here is that any application in the session can spoof
the dialog by providing false information and getting to use to click
through on that.

With this change, where the org.gnome.PolicyKit auth service reads the
message from a system-controlled file, this can't happen. What the
user sees really reflects the action he's asking to consider allowing
to happen.

Especially with things like XACE (previously known as SEX) this is
important as we can make the process providing the D-Bus service
org.gnome.PolicyKit run in a dedicated security context, audit it to
make sure it's secure. Then have the window manager paint trust window
decorations or other things to make the user feel fuzzy, warm and
safe.

Btw, with this change the PolicyKit-gnome API will be simplified to

 action = "hal-storage-mount-fixed";
 result = org.gnome.PolicyKit.ShowDialog (action);

which is just about as simple as it can get.

Credit goes to Ryan Lortie <desrt@desrt.ca> for pointing this out
on #gnome-hackers earlier this morning.

fix typo

change default username

- change user from 'polkit' to 'polkituser'
- create directories in /var from polkit instead of polkit-grant

fix up some of the docs

remove RESULT_NOT_AUTHORIZED_TO_KNOW and s/RESULT_UNKNOWN_ACTION/RESULT_UNKNOWN/

switch from VIA_ROOT to VIA_ADMIN

In the future PolicyKit will be able to be built such that VIA_ADMIN
either means 1) ask for root password; or 2) ask for a user in the
'wheel' group to authenticate. Right now it's only the former.

update TODO

document the /etc/PolicyKit/PolicyKit.conf file with a manual page

Also add a man page for polkit-list-actions(1).

add support for an /etc/PolicyKit/PolicyKit.conf config file

With this, system administrators can override policy. Partial support,
more to come (including manual pages and documentation) later.

get proper pid and SELinux context

replace configuration reload mechanism

Instead of asking the user of libpolkit to provide a huge file
monitoring abstraction we simply ask for a simple interface for
watching file descriptors and use inotify (on Linux) to watch a file,
/var/lib/PolicyKit/reload. We provide a new tool,
polkit-reload-config, that simply touches this file.

remove the notion of modules

post-release version bump

update NEWS

add some more TODO items

update HACKING and TODO

update TODO

add the spec

fix small typo so _keep_always granting works again

make .policy files live in /usr/share, not /etc

build fixes

move all grant writing/checking into a separate private library

remove the distinction for local vs. remote users

Again, we punt this to the applications/mechanisms - they know better.

rip out the notion of Resources

It makes things a _lot more_ complicated having to deal with resources
and there's a much nicer way to deal with it: Punt it to the apps:

It's much more natural for the application to have a notion about
about what resources are "trusted" (and e.g. requires lesser
privileges) and what resources aren't.

Consider dial-up networking; here the privileged application that
performs the dial-up operation consults a list (maintained by the
system administrator) of allowed numbers to dial. If the unprivileged
networking UI applet that requests a number to be dialed is on the
list it uses the PolicyKit action 'nm-dialup-trusted-location', if it
isn't then it uses the PolicyKit action 'nm-dialup-untrusted-location'.

switch to XML for policy definition files and introduce descriptions

Descriptions will be subject to i18n/l10n efforts at some point.

Also add a new tool polkit-list-actions.

also remember to do s/libpolkit/polkit/ on the pkg-config files

rename libpolkit to polkit

It's more consistent and, uhm, easier to type.

add some validation to public facing functions

remove misguided action parameters

This feature was introduced with

 commit 02a4c5101ca4751963f76a0e016d3308389dc2a5
 http://gitweb.freedesktop.org/?p=PolicyKit.git;a=commit;h=02a4c5101ca4751963f76a0e016d3308389dc2a5

It makes things a lot harder for privilege granting if a feature like
action parameters are present. Thinking about it, they're not really
necessary; the parameters should just be encoded in the resource name;
e.g. with the example given in the commit

> This is useful for letting mechanisms convey information which may be
> useful in making a decision whether an action is OK. For example,
> NetworkManager could use this to provide the phone-number parameter
> with a hypothetical "nm-dialup" action. Then a site or vendor can
> provide insert
>
>  mandatory polkit-run-program.so \
>     program="/usr/lib/check-dialup-number.sh" privilege="nm-dialup"
>
> into /etc/PolicyKit/PolicyKit.conf and have said program check
>
>  $POLKIT_ACTION_PARAM_PHONE_NUMBER
>
> in that program.

is broken; the right thing here is for a hypothetical NetworkManager
to pass the dial up connection details as the resource

 resource.type = "NetworkManager"
 resource.id = "/org/freedesktop/NM/DialUpConnection/number=555-HOT-CHICKS"

in a well-defined format etc. etc.

add the PAM configuration file

add pkg-config files for the two new libraries

add the correct version files for docs

add grant functionality + lots of other changes

 - Split libpolkit into three libraries
   - libpolkit : to be used only by mechanisms and modules
   - libpolkit-dbus : utility library for libpolkit to get caller, session
                      etc. info from the bus and ConsoleKit
   - libpolkit-grant : client side library for obtaining privileges; uses
                       a setgid helper internally

 - grant functionality
   - a helper library, libpolkit-grant, to gain privileges
     - includes a setgid $POLKIT_GROUP helper to write granted privileges
   - a PK module, to read and interpret granted privileges
   - a cmdline app, polkit-grant, using said library

 - Other changes
   - so it turns out that sizeof(bool) != sizeof(gboolean), sizeof(dbus_bool_t)
     This blows so define our own polkit_bool_t type
   - add some validation routines

The grant functionality, especially the setgid helper needs thorough
security review before we can release it.

remove all usage of glib from the header files

This paves the way for getting rid of a glib dependency; when and if
that happens is to be determined; right now it just doesn't make a lot
of sense to reimplement GKeyFile, GSList, GHashTable, g_spawn_sync and
other useful routines. But it might make sense if we want to get the
message bus daemon to link with libpolkit so you e.g. can say

 <policy polkit="acme-frobnicate">
   <allow send_interface="com.acme.Frobnicator"
 </policy>

to allow a caller on the system message bus to access that interface
if, and only if, he can do the "acme-frobnicate" action according to
PolicyKit.

associate parameters (key/value pairs) with the Action class

This is useful for letting mechanisms convey information which may be
useful in making a decision whether an action is OK. For example,
NetworkManager could use this to provide the phone-number parameter
with a hypothetical "nm-dialup" action. Then a site or vendor can
provide insert

 mandatory polkit-run-program.so program="/usr/lib/check-dialup-number.sh" privilege="nm-dialup"

into /etc/PolicyKit/PolicyKit.conf and have said program check

 $POLKIT_ACTION_PARAM_PHONE_NUMBER

in that program.

remember to set session's ConsoleKit object path

policy files now have the .policy extension, not .priv

no need to reference polkit-module-default twice in a man page

minor fixes to the PolicyKit manual page

mass renaming of classes

 Privilege -> Action
 PrivilegeFile -> PolicyFile
 PrivilegeFileEntry -> PolicyFileEntry
 PrivilegeCache -> PolicyCache

Hopefully it makes a bit more sense now.

fix up Makefile.am

generate and dist ChangeLog

add built-in options and a new module pam-polkit-run-program.so

stop disting ChangeLog and start disting modules/PolicyKit.conf

Am happy to report that 'make distcheck' now works!

add module loading to PolicyKit

This paves the way for writing

 1. A module that tracks temporary (look in /var/run) and permanent (look
    in /var/lib) privilege grants
 2. A D-Bus service to authenticate a client to obtain to a privilege
    grant and then writing the grant in temporary or permanent storage

Also, this feature lets people very easily lock down the system; just
edit /etc/PolicyKit/PolicyKit.conf; add pam-module-deny-all / -allow-all
stanzas with various privilege=<regexp> and user=<username> options.

watch the correct directory

really ignore privilege files starting with "." this time

Also avoid dumping all privilege file entries to debug whenever we
populate our privilege cache.

refine file monitoring interface and implement policy reload

make polkit-privilege-file-validate accept multiple files

move to using _pk_debug and respect $POLKIT_DEBUG

read privilege files and actually use the policy described in those

provide an example privilege file

include PolKitPrivilegeFile in API docs

introduce a PolKitResult enumeration and make privilege files use that

add support for privilege files and provide a validation tool

get rid of AS_AC_EXPAND and use autoconf docdir

Inspired by recent patches to both HAL and ConsoleKit from Michael
Biebl <mbiebl@gmail.com>.

no need to mention $(top_srcdir) twice

build fix so 'make distcheck' works

add two tools polkit-check-caller and polkit-check-session

implement the classes carrying data

document the API

Now I only need to implement it...

split libpolkit into more source/header files

proposed API

update to the gtk-doc.make from the HAL project

reset project and remove all existing code

Some of the code, e.g. the daemon, will be brought back in other forms.

fix make distcheck

A quick (and dirty) fix to get 'make distcheck' complete running and
to fix polkitd-test

stop configure if pam/pam-devel is missing

This little patch fixes configure to stop and print a error message if
pam/pam-devel is missing while run configure for PolicyKit

Patch from Danny Kukawka <danny.kukawka@web.de> with some cleanup.s

* pam-polkit-console/pam-polkit-console.c: (pam_sm_open_session),
(pam_sm_close_session): fixed usage of pam_get_item() to respect
strict-aliasing rules

        * polkitd/polkit-manager.c: (polkit_manager_get_caller_info):
added ifdef around currently unused calling_selinux_context

        * tools/polkit-grant-privilege.c: (grant_complete_cb): replaced
libpolkit_free_context() with correct libpolkit_grant_free_context()

Add ChangeLog and *.tar.gz to .gitignore.

Remove ChangeLog file and add rules to Makefile.am to generate one for
disted tarballs.

.cvsignore -> .gitignore

For now, comment out SELinux stuff as it breaks when SELinux is not
    available.

Patch from Frederic Peters <fpeters@entrouvert.com>. jhbuild monitors files
    being installed and prevents them from being written out of its target
    directory. This means HAL now prevents jhautobuild[1] to complete since
    pam-polkit-console hardcodes /lib/security. Attached is a patch with a
    configure option (--with-pam-module-dir) so it is possible to set an
    other directory. [1] http://jhbuild.bxlug.be

Patch from Frederic Peters <fpeters@entrouvert.com>.
    http://jhbuild.bxlug.be/builds/2006-06-06-0000/logs/PolicyKit/#build
    shows a error when building newest PolicyKit with Debian PAM libraries.
Attached patch adds new configure checks; pam-polkit-console.c may need
    alternate behaviour if pam_vsyslog is missing (using straight
    vsyslog?).
configure.in,

Lots of changes! Almost ready for 0.2 release.

Update to new D-BUS API; print " (temporary)" for privilege if appropriate.
Update to new D-BUS API
Update to new D-BUS API (main): --do--
New file
Add build rules for polkit-revoke-privilege
Fix up prototypes
Update to new D-BUS API
    (polkit_manager_get_allowed_resources_for_privilege): --do--
    (polkit_manager_revoke_temporary_privilege): New function
    (polkit_manager_remove_temporary_privilege): Fix up resource handling
    (polkit_manager_add_temporary_privilege): --do--
Update to new D-BUS API and export libpolkit_revoke_temporary_privilege()
Update to new D-BUS API
    (libpolkit_get_allowed_resources_for_privilege_for_uid): --do--
    (libpolkit_revoke_temporary_privilege): New function
Rename InitiatePrivilegeGrant() to InitiateTemporaryPrivilegeGrant(). Add
    new function RevokeTemporaryPrivilege(). Make IsUserPrivileged() output
    a boolean is_temporary. GetAllowedResourcesForPrivilege() now also
    outputs an integer num_non_temp.

Write some more stuff

Add in the new spec directory so we add the folder to the tarball.
Fix this up in one place so it validates and so that make distcheck can run
    again..

Add docbook detection
New files
Free the questions to prevent memory leak

initial commit

Add these files.

remove code that shouldn't be committed

Remember to kill the child here

forgot ChangeLog for polkitd/main.c

Unref when the child dies (polkit_session_initiate_auth): Ref the object
    after creating child (polkit_session_initiator_disconnected): Make sure
    to nuke the kids

Include sys/types.h; fixed fd.o bug #6280. Patch from Wouter Bolsterlee
    <uws+freedesktop@xs4all.nl>.

Change priorities from 90 10 to 98 02 to make this work
Remove user="@POLKIT_USER@" bits as I'm not sure we need a dedicated user
Cosmetic things

remove Makefile.in; it's not needed

Add SUSE distro bits.

forgot two files

Add a bunch of code; basically a full rewrite moving all queries to the
    daemon.

Use right Cflags

s/hal-policy/polkit/

Use simpler names: user, group and txtsrc :-/

Add libpoluser, libpolgroup and libpoltxtsrc variables

s/-llibpolkit/-lpolkit/

Initial import

Initial revision