a little blurb for 0.2.3.6-alpha

forward-port the stable releases notes

bump to 0.2.3.6-alpha

fold in changes entries

Merge branch 'maint-0.2.2_secfix' into master_secfix

Conflicts:
src/common/tortls.c
src/or/connection_or.c
src/or/dirserv.c
src/or/or.h

Add option to give guard flag to relays without the CVE-2011-2768 fix

This way, all of the DA operators can upgrade immediately, without nuking
every client's set of entry guards as soon as a majority of them upgrade.

Until enough guards have upgraded, a majority of dirauths should set this
config option so that there are still enough guards in the network. After
a few days pass, all dirauths should use the default.

Don't give the Guard flag to relays without the CVE-2011-2768 fix

Make tor_version_same_series non-static

Merge branch 'maint-0.2.1_secfix' into maint-0.2.2_secfix

Conflicts:
src/or/connection_or.c

Reject create cells on outgoing OR connections from bridges

Mark which OR connections are outgoing

Don't use any OR connection which sent us a CREATE_FAST cell for an EXTEND

Fix suggested by Nick Mathewson.

Don't send a certificate chain on outgoing TLS connections from non-relays

Merge branch 'maint-0.2.2'

Merge branch 'maint-0.2.1' into maint-0.2.2

Remove the -F option from tor-resolve.

It used to mean "Force": it would tell tor-resolve to ask tor to
resolve an address even if it ended with .onion.  But when
AutomapHostsOnResolve was added, automatically refusing to resolve
.onion hosts stopped making sense.  So in 0.2.1.16-rc (commit
298dc95dfd8), we made tor-resolve happy to resolve anything.

The -F option stayed in, though, even though it didn't do anything.
Oddly, it never got documented.

Found while fixing GCC 4.6 "set, unused variable" warnings.

manually backport a5232e0c4c

Merge branch 'maint-0.2.2'

Merge branch 'maint-0.2.1' into maint-0.2.2

closer to a changelog for the next alpha

stop asserting at boot

The patch for 3228 made us try to run init_keys() before we had loaded
our state file, resulting in an assert inside init_keys. We had moved
it too early in the function.

Now it's later in the function, but still above the accounting calls.

Reinit keys at the start of options_act().

Previously we did this nearer to the end (in the old_options &&
transition_affects_workers() block).  But other stuff cares about
keys being consistent with options... particularly anything which
tries to access a key, which can die in assert_identity_keys_ok().

Fixes bug 3228; bugfix on 0.2.2.18-alpha.

Conflicts:

src/or/config.c

Don't crash a bridge authority on SIGHUP if it's not in the consensus

Fixes bug 2572.

Fix assert for relay/bridge state change

When we added support for separate client tls certs on bridges in
a2bb0bfdd5 we forgot to correctly initialize this when changing
from relay to bridge or vice versa while Tor is running. Fix that
by always initializing keys when the state changes.

Fixes bug 2433.

Conflicts:

src/or/config.c

Merge branch 'cov_run224_squashed'

Changelog for recent coverity issues

Fix memory leak in retry_all_listeners: Coverity CID 485

Fix memory leak in options_act_reversible: fix Coverity CID 486,487

Do not tread vpadding cell as versions cell.  Not in any released version.

Fix a NULL pointer dereference in parse_server_transport_line().

Merge remote-tracking branch 'origin/maint-0.2.2'

Merge remote-tracking branch 'public/cov_run224_022' into maint-0.2.2

Fix a couple of pluggable transport bugs

Fix coverity complaints 490, 491 and 492. Especially the one in
parse_client_transport_line() could've been a remotely triggerable
segfault, I think.

Don't crash when accountingmax is set in non-server Tors

We use a hash of the identity key to seed a prng to tell when an
accounting period should end.  But thanks to the bug998 changes,
clients no longer have server-identity keys to use as a long-term seed
in accounting calculations.  In any case, their identity keys (as used
in TLS) were never never fixed.  So we can just set the wakeup time
from a random seed instead there.  Still open is whether everybody
should be random.

This patch fixes bug 2235, which was introduced in 0.2.2.18-alpha.

Diagnosed with help from boboper on irc.

Properly refcount client_identity_key

In a2bb0bf we started using a separate client identity key. When we are
in "public server mode" (that means not a bridge) we will use the same
key. Reusing the key without doing the proper refcounting leads to a
segfault on cleanup during shutdown. Fix that.

Also introduce an assert that triggers if our refcount falls below 0.
That should never happen.

Add some asserts to get_{tlsclient|server}_identity_key

We now require that:
  - Only actual servers should ever call get_server_identity_key
  - If you're being a client or bridge, the client and server keys should
    differ.
  - If you're being a public relay, the client and server keys
    should be the same.

Rename get_client_identity_key to get_tlsclient_identity_key

Maintain separate server and client identity keys when appropriate.

Fixes a bug described in ticket #988.

Conflicts:

src/or/main.c
src/or/router.c

Make crypto_free_pk_env tolerate NULL arg in 0.2.1.  Error-proofing against bug 988 backport

Maintain separate server and client TLS contexts.

Fixes bug #988.

Conflicts:

src/or/main.c
src/or/router.c

Refactor tor_tls_context_new:

* Make tor_tls_context_new internal to tortls.c, and return the new
  tor_tls_context_t from it.

* Add a public tor_tls_context_init wrapper function to replace it.

Conflicts:

src/or/main.c
src/or/router.c

Add public_server_mode function.

Merge branch 'maint-0.2.2'

Merge branch 'maint-0.2.1' into maint-0.2.2

Fix zlib macro brokenness on osx with zlib 1.2.4 and higher.

From the code:
   zlib 1.2.4 and 1.2.5 do some "clever" things with macros.  Instead of
   saying "(defined(FOO) ? FOO : 0)" they like to say "FOO-0", on the theory
   that nobody will care if the compile outputs a no-such-identifier warning.

   Sorry, but we like -Werror over here, so I guess we need to define these.
   I hope that zlib 1.2.6 doesn't break these too.

Possible fix for bug 1526.

Merge branch 'maint-0.2.2'

unmangle the fingerprint example in the man page

Remove a confusing dollar sign from the example fingerprint in the
man page, and also make example fingerprint a valid one.

Merge branch 'ticket4294'

Avoid likely memory fragmentation from rep_hist_note_descs_served

When you're doing malloc(sizeof(int)), something may well have gone
wrong.

This technique is a bit abusive, but we're already relying on it
working correctly in geoip.c.

Add percentiles to the desc stats reporting

To get a better idea what's going on on Tonga, add some code to report
how often the most and least frequently fetched descriptor was fetched,
as well as 25, 50, 75 percentile.

Also ensure we only count bridge descriptors here.

Merge remote-tracking branch 'sebastian/bug4293'

Don't initialize desc stats for non-bridgedirauth nodes

Also make sure that calling rep_hist_note_desc_served() while stats
aren't initialized just returns.

Bug spotted by SwissTorHelp. Thanks!

checkpoint: fold in changes files

bump to 0.2.3.5-alpha-dev

Double-check that we really can get RSA keys from ID/Auth certs

Addresses issue 4287; issue not in any released Tor.

Fix a reference-leak in tor_tls_received_v3_certificate

We were calling SSL_get_peer_certificate but not X509_free.

This is a major part of bug4252; the bug has been in no released version.

Fix memory leak in prop176 code

This fixes part of bug4252.  Bug not in any released version.

Merge remote-tracking branch 'rransom-tor/bug3825c'

Merge branch 'ticket4200'

Fix missing word in changes/ticket4200

Check for jumping clock in *format_*stats functions

None of these were real bugs (yet), because the callers made sure
everything was fine. Make it more explicit. Suggested by Nick

Add new stats type: descriptor fetch stats

This is used for the bridge authority currently, to get a better
intuition on how many descriptors are actually fetched from it and how
many fetches happen in total.

Implements ticket 4200.

remove code related to tracking descriptor serving times

This had broken due to bitrot - it doesn't know about microdescriptors
at all, and afaik hasn't generally been used in ages.

Merge remote-tracking branch 'rransom-tor/bug4091'

Check whether a client port is a Unix socket before using its IP addr

Bugfix on commit c1ac0695d5bc64b555c345e4be87b18bab3ae56b, not yet in any
release.  Fixes bug 4091; bug reported by SwissTorHelp.

Merge remote-tracking branch 'origin/maint-0.2.2'

Merge remote-tracking branch 'rransom-tor/bug4251-022' into maint-0.2.2

Merge remote-tracking branch 'origin/maint-0.2.2'

Fix crash when changing node restrictions with DNS lookup in progress

Fixes bug 4259, bugfix on 0.2.2.25-alpha.  Bugfix by "Tey'".

Original message by submitter:

  Changing nodes restrictions using a controller while Tor is doing
  DNS resolution could makes Tor crashes (on WinXP at least). The
  problem can be repeated by trying to reach a non-existent domain
  using Tor:

    curl --socks4a 127.0.0.1:9050 inexistantdomain.ext

  .. and changing the ExitNodes parameter through the control port
  before Tor returns a DNS resolution error (of course, the following
  command won't work directly if the control port is password
  protected):

    echo SETCONF ExitNodes=TinyTurtle | nc -v 127.0.0.1 9051

  Using a non-existent domain is needed to repeat the issue so that
  Tor takes a few seconds for resolving the domain (which allows us to
  change the configuration). Tor will crash while processing the
  configuration change.

  The bug is located in the addressmap_clear_excluded_trackexithosts
  method which iterates over the entries of the addresses map in order
  to check whether the changes made to the configuration will impact
  those entries. When a DNS resolving is in progress, the new_adress
  field of the associated entry will be set to NULL. The method
  doesn't expect this field to be NULL, hence the crash.

Free rend_data and intro_key when extra intro circs become general-purpose

Merge branch 'maint-0.2.2'

Merge branch 'maint-0.2.1' into maint-0.2.2

Update to the October 2011 GeoIP database.

Check for intro circ timeouts properly

Previously, we would treat an intro circuit failure as a timeout iff the
circuit failed due to a mismatch in relay identity keys.  (Due to a bug
elsewhere, we only recognize relay identity-key mismatches on the first
hop, so this isn't as bad as it could have been.)

Bugfix on commit eaed37d14c6e1dc93a392f62ef2e501f75e4878a, not yet in any
release.

Merge branch 'bug3512'

Stop using addr_port_lookup as an address splitting function

It's too risky to have a function where if you leave one parameter
NULL, it splits up address:port strings, but if you set it, it does
hostname resolution.

Change "reverse_lookup_name" functions to refer to "PTR_name"s

Under the new convention, having a tor_addr.*lookup function that
doesn't do hostname resolution is too close for comfort.

I used this script here, and have made no other changes.

  s/tor_addr_parse_reverse_lookup_name/tor_addr_parse_PTR_name/g;
  s/tor_addr_to_reverse_lookup_name/tor_addr_to_PTR_name/g;

Fix names of functions that convert strings to addrs

Now let's have "lookup" indicate that there can be a hostname
resolution, and "parse" indicate that there wasn't.  Previously, we
had one "lookup" function that did resolution; four "parse" functions,
half of which did resolution; and a "from_str()" function that didn't
do resolution.  That's confusing and error-prone!

The code changes in this commit are exactly the result of this perl
script, run under "perl -p -i.bak" :

  s/tor_addr_port_parse/tor_addr_port_lookup/g;
  s/parse_addr_port(?=[^_])/addr_port_lookup/g;
  s/tor_addr_from_str/tor_addr_parse/g;

This patch leaves aton and pton alone: their naming convention and
behavior is is determined by the sockets API.

More renaming may be needed.

Fix a bunch of whitespace errors

Merge branch 'prop176-v2'

Add some points to make it easy to turn off v3 support

Changes file for prop176 branch

Quiet two notices, and spelling mistake cleanup

Fix a few 64bit compiler warnings

Add more log statements for protocol/internal failures

Remove auth_challenge field from or_handshake_state_t

We didn't need to record this value; it was already recorded
implicitly while computing cell digests for later examination in the
authenticate cells.

spec conformance: allow only one cert of each type

Give tor_cert_get_id_digests() fail-fast behavior

Right now we can take the digests only of an RSA key, and only expect to
take the digests of an RSA key.  The old tor_cert_get_id_digests() would
return a good set of digests for an RSA key, and an all-zero one for a
non-RSA key.  This behavior is too error-prone: it carries the risk that
we will someday check two non-RSA keys for equality and conclude that
they must be equal because they both have the same (zero) "digest".

Instead, let's have tor_cert_get_id_digests() return NULL for keys we
can't handle, and make its callers explicitly test for NULL.

Fix some more issues wrt tor_cert_new found by asn

Make more safe_str usage happen for new logs in command.c

Set up network parameters on non-authenticated incoming connections

Also add some info log messages for the steps of the v3 handshake.

Now my test network bootstraps!

Make sure we stop putting cells into our hash at the right time.

Bugfixes for authenticate handling and generation

Fix log message about what cells we are sending

more verbose log for recording an odd cell

Actually accept cells in SERVER_RENEGOTIATING

Generate certificates that enable v3 handshake

Allow "finished flushing" during v3 handshake

Hook up all of the prop176 code; allow v3 negotiations to actually work

Remove a no-longer-relevant comment