github: Build on macOS 14 instead of the deprecated macOS 13

While macos-13 was running on Intel, both macos-latest (macOS 15) and
macos-14 run on ARM64.  While there are Intel-based images for 14 and 15,
they will only be available until August 2027 (and there aren't any Intel
devices anymore anyway).

github: Use OpenSSL 3.6.0 for tests

vici: Remove deprecated license classifier in Python metadata

Merge branch 'android-updates'

This fixes GUI-related compatibility issues with Android 16 and allows
(pre-)selecting on-device certificates/keys with managed profiles.  Also
fixes a typo in the managed config description that prevented
split-tunneling settings from working.

android: New release after updating target SDK and allowing cert selection in managed profiles

android: Fix typo for split-tunneling settings in managed config description

We use the American spelling "tunneling" throughout the app.

android: Make a certificate alias pre-selectable in managed profiles

This allows associating a pre-installed certificate/key with a VPN
profile.  For instance, one locally generated on the device via
SCEP/ETS by the MDM.  It only works if the app is granted access to the
certificate/key (alias) by the MDM.

For now, users may still select a different certificate if one is
available (since this requires the certificate to be installed as
user-selectable there might not be).

android: Prompt the user to edit the profile if no certificate is selected

android: Don't print "null" if no user certificate is selected

android: Allow selecting a user certificate for managed profiles

This is only enabled for profiles that are not distributed with a
certificate.

android: Explicitly pull in androidx.localbroadcastmanager

Seems to not get pulled in automatically anymore.  This has actually been
deprecated for years apparently.  Unfortunately, it's not that easy to
replace, so keep it for now.

android: Remove redundant namespace and fix indentation in state fragment layout

android: Use correct title for proxy server port field in managed configs

android: Simplify theme definition due to minSdkVersion

android: Remove obsolete TargetApi attribute

android: Update syntax for three values Gradle warns about

Others seem to be fine or even get an explicit error if changed, like
targetSdkVersion.

android: Increase targetSdkVersion to 36 (Android 16)

android: Update NDK version

android: Apply UI changes for edge-to-edge views in Android 15+

When targeting Android 15, edge-to-edge is the default and when targeting
Android 16, apps can't opt-out from this anymore.  So we update our views
and enable edge-to-edge also for older versions (avoids the black bar
behind the system UI at the bottom).  For most views we just use automatic
margins via android:fitsSystemWindows (or programmatically via
setDecorFitsSystemWindows).  However, for the profile lists and log views,
we take some extra measures that allow the lists to go behind the bottom
system UI.  Appropriate padding is applied at the bottom of the lists so
the last item(s) can be scrolled into full view.

android: Avoid crash if read-only profile selection dialog is hidden

android: Update dependencies

android: Update Gradle plugin

github: Use latest SonarQube action

Updating this although the fixed security issue only affects Windows
builds.

Remove support for MD2

No part of IKE/IPsec or X.509 uses MD2 anymore, so there really is no
reason to still support it (unlike MD4 that is used in EAP-MSCHAPv2,
MD5 that's used in EAP-MD5, or SHA-1 that's used for e.g. NAT-D hashes).

It caused test vectors to fail on systems where OpenSSL is built with
MD2 support but has it disabled at runtime.

Version bump to 6.0.3dr1

Merge branch 'testing-trixie'

Use Debian trixie as base image for testing.

testing: Add delay after qemu-nbd -c

Seems that there is a delay before the disk can be used when using newer
QEMU versions (e.g. on Debian trixie). We get errors like these:

  sfdisk: cannot open /dev/nbd0: Inappropriate ioctl for device

or

  mount: /srv/strongswan-testing/build/loop: special device /dev/nbd0p1 does not exist.

A sleep before the next command seems to help.

Also see [1].

[1] https://gitlab.com/qemu-project/qemu/-/issues/1413

testing: Add option to run tests without leak detective

This new option allows to disable leak detective to reduce the runtime
during development.  Either only for the command line (swanctl, pki etc.)
or optionally also for the daemon(s).

Disabling leak detective only for the CLI tools already brings a
considerable reduction in runtime (from 48m to 38m on my dev host) as
there are many such calls in the post-test stage.  Any leaks in those
tools are also a lot less of an issue than leaks in the daemon.  So using
this during development should be fine as long as a full test run is done
regularly (in particular before releases).  Disabling leak detective
completely further reduces the runtime (to 30m on my dev host). But that
should probably only be used for functional regression tests after
verifying new code didn't introduce new leaks.

This also fixes the service script which is used for charon-tkm since
16fcdb460afd ("charon-tkm: Don't use starter/stroke with charon-tkm anymore").

testing: Use Debian trixie to test TKM

testing: Use Debian trixie

testing: Use proper directory for slapd PID files

libimcv: Add Debian 13 (trixie) to database

testing: Increase memory for guest hosts to run Debian trixie

While some increase was necessary anyway because the idle system requires
about 5-10 MiB more memory, the main issue is resolving the code line and
function name in case of a memory leak.  Calling addr2line requires a lot
more memory than before.  Using backtraces via libbfd doesn't help either
because the trigger is the bfd_find_nearest_line() call we use as well.
And because we'd try to resolve all symbols that way (for whitelisting),
the memory overhead would be even higher and affect every shutdown, even
if no leak occurred.  It also causes a significant time overhead (running
all tests took 75m instead of 48m).

I also tested switching to ASAN/LSAN.  The peak memory usage is slightly
higher than when using libbfd, but enabling it also increased the runtime
overhead a lot (the daemon and swanctl both required about 10-20 MiB more
memory, not just during the shutdown).

testing: Add support for Debian trixie base images

testing: Use pipx to install swidGenerator on Debian trixie

We could use the same approach on bookworm (if the base image is updated),
but just use the old approach there for now.

testing: Install required packages in venv of updated strongTNC

Update revision for some dependency updates.  While python3-setuptools is
installed on the system, the venv apparently can't use it.  legacy-cgi is
required to use that old Django version with newer Python releases.

testing: Update TKM RPC to be compatible with newer compilers

testing: Use newer version of TKM on trixie

The API for libgmpada has change with 1.6 in a way that's not
backwards-compatible.  So we use a different revision that includes
the required changes depending on the Debian version.

This also adds support for esa_select(), to support seamless rekeyings,
which requires updating xfrm-ada as well.

testing: Run commands in chroot in a login shell

Similar to the previous commit, this ensures we have the same environment
we do later on the system.

testing: Start a login shell in chroot script

This ensures we have the same environment (e.g. stuff from /etc/profile.d)
as when logging in via SSH later.

testing: Ignore unknown memory in leak detective

This is set in two locations for systemd services and login shells. The
memory is freed by OPENSSL_cleanup().

leak-detective: Include OpenSSL symbol seen on Debian trixie

testing: Pass base image codename to application Makefiles

Some might require it to use different revisions or commands.

testing: Mount /proc in the chroot to make systemctl happy

testing: Use new recommended approach to install key for custom apt repository

apt-key add is deprecated (and not available in trixie) as it makes the
available for all sources.  The recommended approach makes the key very
specifically available for just our repository.

testing: Remove unnecessary workaround for DHCP

testing: Move sysctl settings to sysctl.d and add some memory settings

Debian trixie doesn't provide a 99-sysctl.conf symlink in that directory
anymore.  The memory settings are also useful there as the default of
one changed and overbooking helps when forking a process with large
memory footprint (e.g. the IKE daemon).

testing: Remove xconsole config for rsyslogd

This produces a warning and we don't have X.

github: Use AWS-LC 1.61.1 for tests

host: Don't try to resolve %any* keywords with mismatched address family

While host_create_from_string_and_family() usually replaces %any*
keywords, this fails if the address family doesn't match (e.g. %any4 with
AF_INET6).  There is no point in trying to resolve these keywords via
DNS as % is no valid character for host names.

Closes strongswan/strongswan#2880

github: Use latest SonarQube action

curl: Fix types enforced by compiler check in newer libcurl headers

Merge branch 'plugin-versions'

This adds a symbol with the current version number to all existing
plugins (the PLUGIN_DEFINE() macro makes this easy).  The version is
checked when a plugin is loaded from a file in order to prevent loading
old plugins from any previous build, which could cause all sorts of
issues.

References strongswan/strongswan#2835

plugin-loader: Check version of loaded plugins

This prevents loading plugins from older builds that can cause all sorts
of issues as they might access struct members in different locations.

We don't check the version for statically linked plugins.

Define plugin version in all existing plugins

plugin: Add macro to define plugin version and constructor

plugin-loader: Don't prevent dynamic linking in addition to static constructors

When built with static plugins and constructors, we might still want to
be able to load external plugins.

Fixes: d860c26e9533 ("plugin-loader: Properly support compilation without dlopen()/dlsym() etc.")

pkcs11: Improve detection of already unwrapped CKA_EC_POINTs

If an uncompressed point is already unwrapped (incorrect but some tokens/
modules do this) and therefore still looks like an ASN.1 octet string,
there could be false positives with the previous checks that lead to
mangled points.

By ensuring that we unwrapped the complete ASN.1 chunk, we can already
reduce the false positive rate when the assumed length is smaller than
the chunk, which we previously accepted but isn't the case in correctly
encoded points.

And while we already checked that the first byte indicates a valid point
type/encoding, there could still be false positives.  We can avoid those
with some checks on the length of the unwrapped point.  In particular,
enforcing a multiple of 4/8 should fail for valid unwrapped points where
three bytes were removed in the process (ASN.1 tag and length, point
encoding).

Closes strongswan/strongswan#2872

charon-cmd: Cache shared secret under identities if available

We won't have identities for private key passwords, but we do for EAP
identities and they might get reused if redirected.

ike-sa-manager: Avoid deadlock due to race condition during shutdown

If an entry is added while we wait for a checked out SA in flush() (e.g.
due to an action performed by that SA), new entries might get inserted
before the one we wait for.  If that was the first entry in the row, we
didn't correctly update the table and the new entries were basically lost
by overwriting the first entry in the row.  As the SA count was still
increased but the new entries couldn't get enumerated, the daemon wasn't
terminated properly but was stuck in the loop in flush().

trap-manager: Migrate tracked IKE SA in case of redirect during IKE_AUTH

controller: Migrate tracked IKE SA in case of redirect during IKE_AUTH

ike-sa: Avoid reusing established IKE_SAs that got redirected

These will get terminated by the peer after a while.  So we don't want
to reuse them.

vici: Fix indentation for some add_kv() calls

vici: Include configured local and remote ports in list-conns

Closes strongswan/strongswan#2869

github: Only run CI for latest commit in a branch, cancel old runs

libipsec: Run unit tests with TESTS_PLUGINS if specified

libtls: Fix double-free when enumerating private keys

testing: Disable deprecated features in Botan

We keep MD5 enabled for now as we need it for TLS 1.0/1.1.  Once we
remove that we can reconsider (although, it's also needed for EAP-MD5
and since MD4 is disabled as well, which means EAP-MSCHAPv2 won't
be available, we'd be left with only EAP-GTC for simple username/password
authentication, which nobody else supports).

botan: Replace calls to deprecated botan_privkey|pubkey_export()

github: Use OpenSSL 3.5.2 for tests

github: Use AWS-LC 1.58.1 for tests

openssl: Add support for Ed25519 via AWS-LC

github: Check active transforms against reference files

Also collect current results so we can update reference files easily.

Enabled AES-CFB in wolfSSL as we have already support for it in the
plugin.

unit-tests: Add option to collect active crypto transforms

This will allow us to compare new library versions against previous ones,
so we don't suddenly loose some algorithms like it happened with KDFs
recently after updating OpenSSL to 3.5.1.

credential-factory: Avoid deadlock during unit tests

If a unit test times out while generating a private key (e.g. because of
a lack of entropy), this avoids a deadlock by still releasing the read
lock that'd prevent acquiring the write lock when plugins are unloaded.

Closes strongswan/strongswan#2850

openssl: Simplify wrapping private key objects

openssl: Support EdDSA keys in PKCS#12 containers

References strongswan/strongswan#2848

vici: Add support for P-CSCF server attributes

Was apparently forgotten when support was added to the attr plugin
with 98a3ba8a5a16 ("attr: Add p-cscf keyword for P-CSCF server addresses").

For consistency, using an underscore like the `split*` options and not a
dash like in the attr plugin.

References strongswan/strongswan#2396

eap-authenticator: Assume IKE identity as EAP-Identity if client doesn't send one

Apparently, some clients (e.g. native Android) just send an empty
EAP-Identity response.  We silently ignored that previously and then
used the IKE identity for the actual EAP method.  This change tries to
do something similar (i.e. don't fail if the response is empty), but by
assuming the IKE identity as EAP-Identity, we match that and possibly
can switch configs.

Closes strongswan/strongswan#2833
Fixes: 2f2e4abe3c52 ("ikev2: Add support to switch peer configs based on EAP-Identities")

github: Use provided actions for SonarQube installation and scan

Also switch to the cloud cache (which doesn't seem to work either way
anyway).

certexpire: Double size of internal buffer for identities

The error-notify, lookip, and whitelist (previous commit) plugins already
use the same buffer size for identities.

whitelist: Double the length of the id field in the messages

Closes strongswan/strongswan#2842

Use wolfSSL 5.8.2 for tests

wolfssl: Store RNG on object for curve25519

5.8.2 enables blinding for curve25519 by default, so the RNG set when
making the key is also used later on.

ml: Disable versioning for shared object

Avoid generating versioned shared objects which would need to be
installed along with the version-independent symlink by specifying
"-avoid-version" in the libtool LDFLAGS for the plugin. Avoid any
unwanted surprises by also specifying the "-module" option, making the
LDFLAGS consistent with all other libstrongswan plugins.

Closes strongswan/strongswan#2844

Merge branch 'whitelist-watcher'

Use watcher and non-blocking I/O for client connections to avoid issues
with clients that stay connected for a long time.

Closes strongswan/strongswan#2827

whitelist: Add error handling to socket reads and fix a memory leak

This now adds some state (basically a message buffer), but simplifies
error handling as we don't have to handle two potential failure paths
and could avoid some potential issues by still calling the blocking
read_all().

It also fixes a memory leak when clients disconnect.

whitelist: Use a watcher for control socket reading rather than blocking

Performing a stream read_all call (which is a blocking read) from
within the accept callback has the issue that if a whitelist client is
still connected whilst a shutdown of the charon deamon is triggered
then that shutdown won't complete gracefully due to the accept task
never exiting.

So fix shutting down gracefully by using the socket watcher rather than
a blocking read upon connection accept. Fall back to a blocking read
for partial messages to avoid the complexity associated (i.e. storing
state) for incomplete reads, which shouldn't block and cause the
original problem if the client only sends whole messages.

nm: Version bump to 1.6.3

Version bump to 6.0.2

testing: Use alternative approach for retransmits in ikev1/dpd-restart scenario

With a long delay, the retransmit might not get sent before further tests
are evaluated on faster machines, while more retransmits should still allow
the scenario to succeed on slower ones.

child-cfg: Actually force narrowing TS in transport mode only as initiator

Closes strongswan/strongswan#2830

Fixes: ad1ad2159f0b ("child-cfg: Use traffic selector list")

openssl: Don't allocate salt if PRF/hash is unknown

This can happen if e.g. AES-XCBC is selected.

Fixes: 2dbeecfc029b ("openssl: Fix testing KDF_PRF in the constructor with OpenSSL 3.5.1")

github: Shorten name for crypto-plugin job and reverse matrix arguments

This gives us more readable names in the UI.  Instead of

  crypto-plugins (ubuntu-latest, b...
  crypto-plugins (ubuntu-latest, b...
  crypto-plugins (ubuntu-latest, ...
  crypto-plugins (ubuntu-latest, ...
  crypto-plugins (ubuntu-latest, o...
  crypto-plugins (ubuntu-latest, o...

we now get

  crypto (botan, ubuntu-latest, no)
  crypto (botan, ubuntu-latest, yes)
  crypto (wolfssl, ubuntu-latest, no)
  crypto (wolfssl, ubuntu-latest, yes)
  crypto (openssl, ubuntu-latest, no)
  crypto (openssl, ubuntu-latest, yes)

openssl: Fix testing KDF_PRF in the constructor with OpenSSL 3.5.1

Setting the salt to NULL now fails, so we set it to hash length's zeroes,
which is the default value for HKDF-Extract if no salt is passed.

Fixes strongswan/strongswan#2828

Doxyfile: Don't hide set_seed() method

Fixed some typos, courtesy of codespell

Version bump to 6.0.2rc1

NEWS: Add news for 6.0.2