Merge pull request #110 from wjt/patch-1

README: fix "Debain" typo

README: fix "Debain" typo

Merge pull request #106 from fristonio/spell-check

feat(spell-check): add make command for spell check.

feat(spell-check): add make command for spell check.

* Remove spelling mistakes in the repository
* Add travis script to check for typos.
* Add command to Makefile to check for typos.
* Fixes #71

Merge pull request #107 from google/mod

Use Go Modules and support Go 1.11 building

Update Travis to use go 1.10 and go 1.11

Bump Travis Version

Fix golint to not need a special fork

Go 1.11 gofmt updatae

Use proto.Equal instead of reflect.DeepEquals

Update Protoc Compiler to 3.6.1

Update dependancies to lastest version

Don't vendor helper tooling

Remove dep from documentation and travis build

Transition from dep to golang's module system

Merge pull request #105 from google/release

Release: v0.2.4

Release: v0.2.4

Merge pull request #103 from google/pam

Cleanup privilege dropping/raising in pam_fscrypt

Improve debug and error output for pam_fscrypt

Ensure keyring privilege changes are reversible

This change makes sure that, when we set the ruid and euid in order to
get the user keyring linked into the current process keyring, we will
always be able to reverse these changes (using a suid of 0).

This fixes an issue where "su <user>" would result in a system error
when called by an unprivileged user. It also explains exactly how and
why we are making these privilege changes.

Ensure setting user privileges is reversible

This change makes sure after dropping then elevating privileges for a
process, the euid, guid, and groups are all the same as they were
originally. This significantly simplifies the privilege logic.

This fixes CVE-2018-6558, which allowed an unprivleged user to gain
membership in the root group (gid 0) due to the groups not being
properly reset in the process.

Merge pull request #104 from google/travis

Fix Travis to only use Go 1.10

Update docs to indicate v1.10 is required

Fix Travis to only use Go 1.10

Merge pull request #102 from google/mips

Use proper sizes when casting to Go slice

Use proper sizes when casting to Go slice

Addresses most of the issues in #101.

The following commands now succeed:
    GOARCH=mips go build github.com/google/fscrypt/util
    GOARCH=mipsle go build github.com/google/fscrypt/util

Merge pull request #97 from ebiggers/privileges_fix

security: drop and regain privileges in all threads

Merge pull request #96 from ebiggers/unset_item_fix

pam: return error when PAM info item is unset

security: drop and regain privileges in all threads

After enabling pam_fscrypt for "session" and creating a directory
protected with a login protector, I was no longer able to log in as that
user.  The problem is that the Go runtime is creating threads after
pam_fscrypt drops privileges, but pam_fscrypt is not re-acquiring
privileges on those threads because the Go wrappers for setreuid(),
setregid(), and setgroups() in the "sys/unix" package are using the raw
syscalls which operate on the calling thread only.

This violates glibc's assumption that all threads have the same uids and
gids, causing it to abort() the process when a later module in the PAM
stack (pam_mail in my case) tries to drop privileges using the glibc
functions.

Fix it by dropping and regaining privileges using the glibc functions
rather than the "sys/unix" functions.

This also avoids any possibility that privileges could be changed in a
thread other than the "main" one for pam_fscrypt, since the Go runtime
does not guarantee which OS-level thread runs what.

It would be nice to also exit all Go worker threads before returning
from pam_fscrypt, but the Go runtime doesn't seem to support that.

pam: return error when PAM info item is unset

pam_fscrypt is crashing with a segfault in copyIntoSecret() when using
Ctrl-C to interrupt a 'sudo' prompt.  It is dereferencing a NULL pointer
that is supposed point to the PAM_AUTHTOK item.  The problem is that the
Go code assumes pam_get_item() returns a non-success status if the item
is unset, when actually it sets the data pointer to NULL and returns
PAM_SUCCESS.

Fix it by making pam.Handle.GetItem() return an error in that case.

Clarify how to run integration tests

Also clarifies some other minor points.

Makefile: arch command is not portable

According to:
https://www.gnu.org/software/coreutils/manual/html_node/arch-invocation.html
the arch command isn't portable, so we switch to uname.

Makefile: Go/Protoc don't support arm64 big endian

Protoc: https://github.com/google/protobuf/blob/a711e3d5b4ee1dd7f9d21197dca8432a5819a64e/protoc-artifacts/build-protoc.sh#L82-L83
Go: https://github.com/golang/sys/blob/37707fdb30a5b38865cfb95e5aab41707daec7fd/unix/linux/mkall.go#L43-L79

Makefile: Fix archetecture detection

Using "arch" instead of "go env GOARCH" is more standard and doesn't
generate a warning on "sudo make install".

Merge pull request #91 from google/version

Release: v0.2.3

Release: v0.2.3

Merge pull request #90 from google/travis

travis: Fix travis bug

travis: Fix travis bug

Merge pull request #89 from google/proto

Makefile: bump protoc to most recent version

metadata: regenerate .pb.go

Makefile: bump protoc to most recent version

Merge pull request #88 from google/key

travis: Upload encrypted API key

travis: Upload encrypted API key

Merge pull request #87 from google/cleanup

Minor fixes and cleanup

vet: eliminate unnecessary shadowing

Running "go vet -shadow ./..." finds all places where a variable might
be incorrectly or unnecessarily shadowed. This fixes some of them.

cmd/fscrypt: don't show build time if not set

Merge pull request #86 from google/docs

docs: Update CONTRIBUTING.md and README.md

docs: Update CONTRIBUTING.md and README.md

PR #85 failed to update the documentation. This is now fixed with some
additional cleanup.

Merge pull request #85 from google/depfix

Complete the new Build System

travis: use multiple build stages

This change rewrites .travis.yml to use many build stages/jobs. This
allows our build to run faster, as almost all jobs run in containers.

Stage 1: Run on all pushes to all branches
  - Job Build: just runs "make" to make sure everything is OK

Stage 2: Run on all PRs and pushes to master
  - Job Lint: Makes sure dep, "make gen", "make format", and "make lint"
              are all happy.
  - Job Build 1: Make sure "go get" and "make" will work. This job will
                 later run unit tests.
  - Job Build 2: Same as Job Build 1, except with another go version.
  - Job Integeration: Run integration tests (needs sudo, so needs VM)

Stage 3: Run on releases (if other stages pass)
  - Job Deploy: Publishes amd64 binaries to GitHub.

Makefile: completly rewrite

This change is a complete rewrite of fscrypt's Makefile.

The new build rules can be roughly divided into secions:
  Build   - bin/fscrypt and bin/pam_fscrypt
  Linting - gen (for .proto files), format, lint
  Test    - test, test-{setup|teardown}, coverage.out
  Install - install, uninstall, install-{bin|pam}
  Tools   - tools and other bin/* needed for the other rules

As before, "make" builds the binary and pam_module, while "make all"
builds and tests everything (except for integration tests), and "make
clean" removes any generated files.

Also note that this new build system:
  - Doesn't require input_fail.py
  - Properly falis on linter errors
  - Builds everything into the bin/ directory (customizable)
  - Builds all the vendored tools

golint: Use fork that respects vendor directory

Ideally, we would just use "golint ./..." to check all our our source
files for lint error. However, this does not work because it will
include all packages in the vendor directory. The pull request at:
https://github.com/golang/lint/pull/325
fixes this issue, so we will use it until the PR has been merged.

vendor: include source for tools

This change vendors the source for all our build, formatting, and
linting tools. Generated by running "dep ensure".

dep: require tools to be vendored

This change ot Gopkg.toml will make it easier to build the linting and
formatting tools. Vendoring their source also makes sure that updates to
these tools do not break the build.

vendor: update vendored dependancies

This change updates dependancies to be consistent with Gopkg.toml.
This change was generated by running "dep ensure".

dep: add dependancies to Gopkg.toml

fscrypt directly depends on 5 repositories (8 packages). This change
adds those dependancies to Gopkg.toml, so that they can be properly
versioned. Note that the golang.org/x repositories do not use semver.

test: all packages should have tests

The tests added in this change are trivial, but they make sure that
every package has a non-zero number of tests. This is important for
eventually increasing test coverage.

lint: Remove all build tags

Our current build tags set off the linter. We will later add in more
comprehensive build tags that will be properly formatted.

Merge pull request #84 from google/argon2

Move to x/crypto/argon2

dep: Run dep ensure

docs/travis: Remove mention of Argon2

Now that Argon2 is simply and implementation detail of the `crypto`
package, and no a build dependancy, we don't need it in Travis or in the
documenation for building fscrypt.

crypto: Move from libargon2 -> x/crypto/argon2

Use the golang library for the hashing function instead of the reference
C implementation. This removes the dependancy on libargon2. As we are no
longer doing our own error checking, we also eliminate those tests.

Merge pull request #83 from google/dep

Start using Dep

dep: Update Travis to use dep

Add dep instalation, remove govendor from go tools, and add a check for
dependancies.

dep: Setup Gopkg.toml

This change transitions to dep, sets up Gopkg.toml, and purnes the
maximum allowable number of files.

Change Golang formatter

Moves from goimports to [goreturns](https://github.com/sqs/goreturns).
This should not effect any code that already compiles as goreturns only
adds zero return values, then runs goimports.

This is mainly to help improve ergonomics when dealing with multiple
return types.

Remove unnecessary gitignore rule

Merge pull request #75 from ilius/PR-README-typo

Fix typo in README.md

fix typo in README.md: $GOPATH/github.com -> $GOPATH/src/github.com

Merge pull request #74 from google/maxMemory

Limit the amount of RAM that will be used

Format files correctly

Limit the amount of RAM that will be used

Fixes #73.

Adds maxMemoryBytes as 128MiB and cleans up the helper
functions/variables to make it more clear which values are a number of
bytes, and which values are a number of KiB.

Merge pull request #70 from kant/patch-1

Typos

Typos

Merge pull request #69 from google/makefile

Makefile cleanup

Makefile: Updated scripts to run tests in travis

Merge pull request #68 from dvrkps/patch-1

travis: update go version

travis: update go version

Merge pull request #67 from google/sync

security: Sync filesystem before dropping caches

security: Sync filesystem before dropping caches

Merge pull request #64 from google/new_values

Update all external dependencies to the latest version

Merge pull request #65 from google/session_keyring

security: Add check option to UserKeyringID

vendor: Just add windows to make govendor work

Fix lint

security: Add check option to UserKeyringID

metadata: Add new encryption modes

Makefile: Don't update dependancies w/ "make all"

vendor: Update to latest versions

This changes the vendored sources of github.com/golang/protobuf,
golang.org/x/crypto/ssh, and golang.org/x/sys/unix to be the current
master versions.

Fixes logging string for policies

We should always log the descriptor not the entire policy structure.

Merge pull request #56 from google/panics

Fixed failures in PAM module

cmd/fscrypt: Add explanations for keyring failures

Now the user is persented with help when they try to access a keyring
that isn't theirs or try to use fscrypt without a user keyring linked
into the session keyring.

cmd/fscrypt: Check that keyrings are setup

Chaning the --user flag to (optionally) check for a proper keyring setup
allows us to fail early in cases where we need a working keyring.

security: Change user keyring lookup algorithm

Now instead of spawning a seperate thread we alternate between changing
the euid and ruid to both find the keyring and link it to the process
keyring. Note that we also ensure that the user keyring is linked into
the root keyring whenever possible.

security: No more permenant privilege dropping

This was creating an issue becasuse fully dropping privileges required
spawning a goroutine and using rutime.DropOSThread().

pam_fscrypt: PAM module no longer crashes on panic

Now the offending panic will just be logged and the module will fail.
This is important as to not crash the login process.

Merge pull request #52 from google/keyrings

Changes to the keyrings interface, corresponding UI changes, and misc changes

Merge pull request #54 from google/uuid

Use `/dev/disk/by-uuid` to get UUID links to other filesystems

filesystem: libblkid -> search /dev/disk/by-uuid

security: Error if privilege reset goes wrong

Fixed linter issues