Merge branch 'ikev2-kdf-modularization'

This modularizes the IKEv2 key derivation, which makes certification (e.g.
FIPS) easier because it allows the two steps (PRF/prf+) to be implemented
by already certified third-party libraries.

For the existing third-party libraries, the two KDFs are implemented via
the respective library's HKDF implementation.  A generic implementation,
based on existing PRFs, is provided by the new kdf plugin.

keymat_v2: Use plugin-provided KDF_PRF to derive SKEYSEED

unit-tests: Hand out an actual shared secret and pubkey in mock KE implementation

Makes this a bit more realistic and makes key derivation via OpenSSL's
HKDF work during tests.

wolfssl: Implement HMAC-based IKEv2 PRFs via wolfSSL's HKDF implementation

botan: Implement HMAC-based IKEv2 PRFs via Botan's HKDF implementation

openssl: Implement HMAC-based IKEv2 PRFs via OpenSSL's HKDF implementation

kdf: Implement wrapper for IKEv2 PRFs

test-vectors: Add vectors for HMAC-based IKEv2 PRFs

crypto: Add new KDF type for IKEv2 PRFs

crypto: Adapt kdf_t interface to support KDFs with fixed output length

wolfssl: Implement prf+ via wolfSSL's HKDF implementation

botan: Implement prf+ via Botan's HKDF implementation

crypto: Remove unused prf_plus_t

kdf: Implement prf+ directly without relying on prf_plus_t

keymat_v1: Derive CHILD_SA keys without using prf_plus_t

We already expand skeyid_e in a similar fashion so do this analogous
without relying on prf_plus_t.

unit-tests: Use plugin-provided prf+ in unit test

This tests the params API and the counter overflow.

tls-hkdf: Use plugin-provided prf+

keymat_v2: Use plugin-provided prf+ to derive keys

appveyor: Enable kdf plugin on old images with OpenSSL 1.0.2/1.1.0

HKDF with expand-only mode is only available since OpenSSL 1.1.1.

android: Build and load kdf plugin for prf+

Not necessary with newer versions of OpenSSL, but our BoringSSL release
does not support HKDF yet.

testing: Load kdf plugin in all scenarios that require it

Once we use plugin-provided prf+() these won't work otherwise.

keymat_v2: Refactor CHILD_SA key derivation so it only needs one prf+ call

keymat_v2: Refactor IKE key derivation so it only needs one prf+ call

openssl: Add a prf+ implementation based on OpenSSL's HKDF implementation

The HKDF-Expand() function defined in RFC 5869 is basically the same as
IKEv2's prf+(), so we can use the former to implement the latter.
However, we can only support HMAC-based PRFs this way, which should be
fine as others are rarely used.

kdf: Add plugin that provides a default prf+ implementation

test-vectors: Add test vectors for prf+

plugin-feature: Add plugin feature for KDFs

plugin-feature: Remove 'default' case in plugin_feature_un|load()

test-vectors: Add support for KDF test vectors

crypto-factory: Use actual plugin name when testing during construction

crypto-tester: Add facility to test KDFs

vici: Report registered KDFs

stroke: List registered KDFs

crypto-factory: Add constructor and methods to create KDFs

Using some arguments directly in the constructor will allow us to fall
back on other implementations.

pkcs5: Rename kdf_t to avoid conflict

transform: Add private transform for KDFs

crypto: Add interface for key derivation functions

Merge branch 'labeled-ipsec'

This adds support for labeled IPsec with SELinux (and a proprietary mode
that can be used to match child configs).  For SELinux support, compile
with --enable-selinux.

Other changes include a combined start action (trap|start), avoiding
initiating duplicate CHILD_SAs, updating reqids if dynamic traffic
selectors change, removing reqid errors on policy updates, or querying
specific CHILD_SAs with vici's list-sas command.

Closes #3075

testing: Add DSCP scenario that uses simple labels

Instead of creating two IKE_SAs with different identities, this scenario
uses simple labels to select the correct child config.

swanctl: Add options to filter CHILD_SAs in --list-sas

vici: Add options to only return specific CHILD_SAs in list-sas()

testing: Copy comments to test log

swanctl: Report labels in --list-* commands

vici: Report security label on CHILD_SA, policies and configs

vici: Make security labels and mode configurable

kernel-netlink: Forward labels from acquires

trap-manager: Add support to handle acquires with security labels

kernel-handler: Log security label received with acquire

kernel-interface: Optionally pass security label with an acquire

ike-sa: Accept optional security label when initiating CHILD_SAs

child-rekey: Maintain security label during rekeying

selinux: Add plugin to install trap policies with generic labels

After establishing an IKE_SA, we check if any of its child configs
define generic SELinux labels and install trap policies for them if
necessary narrowed to the current (virtual) IPs.

ike-sa: Add helper to determine an IKE_SA's dynamic hosts

trap-manager: Add facility to install externally managed trap policies

This allows managing trap policies outside of the trap manager.

We'll use this to create trap policies with generic labels if trap policies
can't (or won't) be used (e.g. as responder for roadwarriors).

child-sa: Allocate a new reqid if dynamic traffic selectors are updated

If update_sa() is called and dynamic traffic selectors are changed using
new addresses, this might cause issues if we continue to use a reqid that
doesn't match the updated traffic selectors.  For instance, if the initiator
then uses make-before-break reauth from the new IP.  It's also a particular
problem in the SELinux case where multiple CHILD_SAs with specific labels
all share the same (trap) policy with generic label.  However, SAs created
after the update would not match due to the new reqid.

kernel-netlink: Allow reqid updates for policies again

This was originally added with 1551d8b13d14 ("kernel-netlink: reject
policy refcount if the reqid differs").  Since then we added code to
allocate constant reqids for the same TS, which pretty much avoids the
previous issues.

However, the reqid might have to be changed due to MOBIKE updates. And
because reqids are allocated for a complete set of traffic selectors and
not individual pairs, this can create a problem with drop policies as
those will use the old reqid (they are installed with the same priority,
reqid etc. to replace the actual IPsec policies), while unmodified
replacement policies will use the new one.  A similar issue exists for
CHILD_SAs with SELinux contexts as those all use duplicate policies (same
generic label) but can't all be updated concurrently.

kernel-interface: Add support to change the reqid in update_sa()

kernel-wfp: Use new UDP ports in update_sa()

child-sa: Support dynamically updating trap policies

child-create: Add support to handle security labels

With SELinux and without a specific label from an acquire, we abort
establishing the CHILD_SA (for the first one we prefer a childless IKE_SA,
but since that's a separate extension, we fall back to letting the initial
CHILD_SA fail as we won't propose a label).

If trap policies are not installed already (e.g. because it's impossible to
do so like as responder for roadwarriors), this will require installing
them dynamically once the IKE_SA is established.

child-create: Consider security label when comparing CHILD_SAs

child-sa: Add support for security labels

In SELinux mode we install the configured label on the policies and the
negotiated one on the SAs.  This is how it usually is configured where the
policy/configuration has a generic context and the SAs will get the actual
context of the flows assigned (the latter matches the former, so flows
match the policies but will trigger an acquire if no matching SA exists).

In the simple mode we don't pass the label to the kernel and to avoid
duplicate policy errors we also don't use it to acquire unique reqids.

kernel-interface: Optionally consider security label when allocating reqids

peer-cfg: Consider security labels when selecting child configs

child-cfg: Add method to select a security label

child-cfg: Add optional security label and mode

kernel-netlink: Add support for optional security label on SAs and policies

encoding: Remove unused TS_TYPE and ADDRESS encodings

ts-payload: Add support for TS of type TS_SECLABEL

The security labels can be retrieved in a separate list from the
regular traffic selectors.  We currently only plan to support a single
security label ourselves, so when generating we don't expect a list.

traffic-selector-substructure: Add support for TS_SECLABEL

Changes how regular address range traffic selectors are parsed as the
IKE parser currently doesn't provide sub-type parsing.

Also removed a lot of unused method definitions.

traffic-selector: Add TS_SECLABEL type

leak-detective: Whitelist selinux_check_access()

sec-label: Add enum for security label mode

sec-label: Add class to represent security labels

In accordance with SELinux, we include the null-terminator in the encoding
for now.

configure: Add option to link against libselinux

vici: Make combination of 'trap' and 'start' configurable

enum: Add helper to parse enum flags from strings

Individual flag names are separated by |.

ike: Treat action_t as flags so 'start' and 'trap' can be combined

While combining the actions could cause duplicates (while the SA is
initiated, traffic might trigger the trap and the initiation of another
CHILD_SA), the previous commit should avoid most duplicates.  If reuse_ikesa
is disabled, duplicates can't be prevented, though.

enum: Allow specifying the name used when none of the flags are set

child-create: Abort initiating a duplicate CHILD_SA

This could happen if an acquire is triggered while we respond to a
CREATE_CHILD_SA request from the peer, or if an acquire is triggered
while an IKE_SA (with its existing CHILD_SAs) is reestablished (also
with break-before-make reauthentication).  Also catches multiple
manual initiations.

Note that this ignores the traffic selectors from acquires (narrowing to
them seems rare in practice anyway).

Duplicates can still get created if e.g. both peers initiate them
concurrently.

child-create: Just abort CREATE_CHILD_SA request if nonce creation fails

No need to send an illegal request with just an error notify.

kernel-listener: Use a struct to pass data from acquires

kernel-netlink: Read protocol of acquire not from template

If a policy with IPComp template triggers an acquire, we get two, one for
an IPComp, one for ESP/AH SA.  However, the triggering template of the trap
policy (where we get the reqid from), will be the same in both acquires,
IPComp, which we ignore, so no acquire was actually forwarded.

ike-sa: Use a struct to pass optional arguments when initiating CHILD_SAs

ike: Don't reset optional CHILD_SA properties when migrating child-creating tasks

These are set via methods, which are not called again after migration
(e.g. when retrying due to INVALID_KE or when moving queued tasks), so we
don't want to clear these values.

cirrus: Use FreeBSD 12.3

This should fix this error thrown by autoreconf:

ld-elf.so.1: /usr/local/lib/perl5/5.32/mach/CORE/libperl.so.5.32: Undefined symbol "strerror_l@FBSD_1.6"

ike: Track unprocessed initial IKE messages like half-open IKE_SAs

This should make the DoS limits (cookie_threshold[_ip] and block_threshold)
more accurate so that it won't be possible to create lots of jobs from
spoofed IP addresses before half-open IKE_SAs are actually created from
these jobs to enforce those limits.

Note that retransmits are tracked as half-open SAs until they are
processed/dismissed as the check only happens in checkout_by_message().

Increasing the count in process_message_job_create() avoids issues with
missing calls to track_init() before calling checkout_by_message() (e.g.
when processing fragmented IKEv1 messages, which are reinjected via a
process message job).

receiver: Add per-IP cookie threshold

Because the global cookie threshold is higher than the per-IP block
threshold, it was previously possible for an attacker to block a legitimate
user by sending spoofed IKE_SA_INIT packets from that user's IP.

The timespan for requiring cookies is now also not extended anymore with
every IKE_SA_INIT received during the calm down period.  Because this
allowed an attacker, after initially triggering the global cookie threshold,
to force cookies for all clients by sending just a single spoofed
IKE_SA_INIT every 10 seconds.

We keep track of reaching the per-IP threshold in segments of the hashed
IP addresses, so only a (random, due to chunk_hash()'s random key) subset
of clients will receive cookies, if single IPs are targeted.

The default global threshold is increased a bit.

receiver: Use a time based limit to switch COOKIE secrets

If we are under attack and there are lots of requests, we might hit
the previous use count limit pretty quickly and may switch secrets multiple
times a second, which renders the 10 second default lifetime of COOKIEs
pointless and prevents legitimate clients from sending requests with valid
COOKIEs.

lgtm: Fix query for chunk_from_chars()

`Block` has apparently been deprecated and renamed to `BlockStmt` a while
ago.  Support for `Block` was recently removed completely.

traffic-selector: Avoid out-of-bound array access when calculating range

This happens for `/0` subnet masks.  In practice, it's not an issue because
if `bytes` is 0, then so are `netbits`, `bits` and `mask`.  So the two
incorrectly addressed array elements are not actually modified.  The first
operation is a `&= 0xff` and the second a `|= 0`, so nothing changes.
But some tools might not consider the values and report this as undefined
behavior, which it technically is.

Merge branch 'pfkey-exclude-routes'

Avoid unnecessary exclude routes on FreeBSD where these can cause problems.

Closes strongswan/strongswan#890

kernel-pfkey: Don't install exclude routes for locally connected peers

Such routes with a gateway that equals the peer's address are problematic
on FreeBSD.  And since there is most likely a narrow route for the local
subnet anyway, the exclude routes would be redundant.

kernel-pfkey: Only install exclude route if not routing via outbound interface

When installing routes based on remote traffic selectors, it can be
necessary to install an exclude route for the remote peer to avoid a
routing loop and continue to be able to reach it via IKE/ESP.

However, such routes are only necessary, if the routes we install don't
go via outbound interface.  That's the case when using VIPs and routing
via TUN devices, or when using internal source IPs and routing via
their interfaces.

Installing such exclude routes if not necessary can cause issues on
FreeBSD (EINVAL when sending packets to the peer).

kernel-netlink: Remove unimplemented XFRM_OFFLOAD_IPV6 flag

The XFRM_OFFLOAD_IPV6 flag was never implemented in the kernel and there
are no plans to do so.

Kernel patch: https://git.kernel.org/pub/scm/linux/kernel/git/torvalds/linux.git/commit/?id=7c76ecd9c99b6e9a771d813ab1aa7fa428b3ade1

Closes strongswan/strongswan#916

README: Added link to docs.strongswan.org

testing: Increase memory on winnetou even more

tls-server: Use correct error alerts if client doesn't send a certificate

TLS 1.3 defines a specific alert for this and for TLS 1.2, RFC 5246,
section 7.4.6 defines handshake_failure as correct response.

openssl: Don't unload providers

There is a conflict between atexit() handlers registered by OpenSSL and
some executables (e.g. swanctl or pki) to deinitialize libstrongswan.
Because plugins are usually loaded after atexit() has been called, the
handler registered by OpenSSL will run before our handler.  So when the
latter destroys the plugins it's a bad idea to try to access any OpenSSL
objects as they might already be invalid.

Fixes: f556fce16b60 ("openssl: Load "legacy" provider in OpenSSL 3 for algorithms like MD4, DES etc.")
Closes strongswan/strongswan#921

Use wolfSSL 5.2.0 for tests