Merge branch 'bug3306_nm_squashed' into maint-0.2.2

Detect insanely large circuit build state; don't give its length to rand_int

Check maximum properly in crypto_rand_int()

George Kadianakis notes that if you give crypto_rand_int() a value
above INT_MAX, it can return a negative number, which is not what
the documentation would imply.

The simple solution is to assert that the input is in [1,INT_MAX+1].
If in the future we need a random-value function that can return
values up to UINT_MAX, we can add one.

Fixes bug 3306; bugfix on 0.2.2pre14.

Merge branch 'maint-0.2.1' into maint-0.2.2

move to the june 1 2011 maxmind geoip db

Merge branch 'bug3318c' into maint-0.2.2

Reject 128-byte keys that are not 1024-bit

When we added the check for key size, we required that the keys be
128 bytes.  But RSA_size (which defers to BN_num_bytes) will return
128 for keys of length 1017..1024.  This patch adds a new
crypto_pk_num_bits() that returns the actual number of significant
bits in the modulus, and uses that to enforce key sizes.

Also, credit the original bug3318 in the changes file.

Merge remote-tracking branch 'rransom/bug2748-v2' into maint-0.2.2

Changes file for bug2355.

Update man page for new UseBridges tristate behaviour.

Add an "auto" option to UseBridges

UseBridges 1 now means "connect only to bridges; if you know no
bridges, don't make connections."  UseBridges auto means "Use bridges
if they are known, and we have no EntryNodes set, and we aren't a
server."  UseBridges 0 means "don't use bridges."

Merge remote-tracking branch 'rransom-tor/bug3309' into maint-0.2.2

Merge remote-tracking branch 'arma/bug3321' into maint-0.2.2

Fix unit test failure in dir/formats

options->DirPort is 0 in the unit tests, so
router_get_advertised_dir_port() would return 0 so we wouldn't pick a
dirport. This isn't what we want for the unit tests. Fixes bug
introduced in 95ac3ea5946.

Add info-level log messages during HS-client-state purge

I hope these will never be useful, but having them and not needing them is
better than needing them and not having them.

Refactor HS client state-clearing code into a separate function

Clear last_hid_serv_requests on SIGNAL NEWNYM

Fixes bug #3309.

Make last_hid_serv_requests functions less fragile

Previously, Tor would dereference a NULL pointer and crash if
lookup_last_hid_serv_request were called before the first call to
directory_clean_last_hid_serv_requests.  As far as I can tell, that's
currently impossible, but I want that undocumented invariant to go away
in case I^Wwe break it someday.

Fix compile error in procmon.c

An elusive compile-error (MingW-gcc v4.50 on Win_XP); a missing
comma (!) and a typo ('err_msg' at line 277 changed to 'errmsg').
Aso changed the format for 'err_code' at line 293 into a "%ld" to suppress
a warning. How did this go unnoticed for ~1 month? Btw. This is my 1st ever
'git commit', so it better work.

Report wrong key sizes correctly

When we introduced NEED_KEY_1024 in routerparse.c back in
0.2.0.1-alpha, I forgot to add a *8 when logging the length of a
bad-length key.

Bugfix for 3318 on 0.2.0.1-alpha.

fix a bridge edge case similar to 2511

If you had configured a bridge but then switched to a different bridge
via the controller, you would still be willing to use the old one.

stop asserting at boot

The patch for 3228 made us try to run init_keys() before we had loaded
our state file, resulting in an assert inside init_keys. We had moved
it too early in the function.

Now it's later in the function, but still above the accounting calls.

Merge branch 'bug3216_v2' into maint-0.2.2

Merge branch 'bug3289' into maint-0.2.2

Warn when two hs use the same directory

This simple implementation has a few issues, but it should do for
0.2.2.x. We will want to revisit this later and make it smarter.

minor cleanups while reviewing 3216

whitespace fixes

Merge branch 'bug3045' into maint-0.2.2

Conflicts:
src/or/circuitbuild.c

Improve comments and defensive programming for 3045

The comment fixes are trivial.  The defensive programming trick is to
tolerate receiving NULL inputs on the describe functions. That should
never actually happen, but it seems like the likeliest mistake for us
to make in the future.

Merge remote-tracking branch 'public/bug3270' into maint-0.2.2

Merge branch 'bug3228_squashed' into maint-0.2.2

Reinit keys at the start of options_act().

Previously we did this nearer to the end (in the old_options &&
transition_affects_workers() block).  But other stuff cares about
keys being consistent with options... particularly anything which
tries to access a key, which can die in assert_identity_keys_ok().

Fixes bug 3228; bugfix on 0.2.2.18-alpha.

Merge branch 'bug1297a' into maint-0.2.2

Use the normal four-hop CBT for client intro circuits

Fixes another part of bug 1297.

Set timestamp_dirty on HS circuits as circuit_expire_building requires

Fixes part of #1297; bugfix on 48e0228f1e031a709c1deb149c7dfd187c3609cf,
when circuit_expire_building was changed to assume that timestamp_dirty
was set when a circuit changed purpose to _C_REND_READY.  (It wasn't.)

answer an XXX nickm asked in aa950e6c4

Merge remote-tracking branch 'origin/maint-0.2.1' into maint-0.2.2

Fix typo in changes/bug2574. Thanks, rransom

Merge remote-tracking branch 'origin/maint-0.2.1' into maint-0.2.2

Merge branch 'bug2574' into maint-0.2.1

Don't try to build descriptors when router_get_advertised_or_port()==0

The previous attempt was incomplete: it told us not to publish a
descriptor, but didn't stop us from generating one.  Now we treat an
absent OR port the same as not knowing our address.  (This means
that when we _do_ get an OR port, we need to mark the descriptor
dirty.)

More attempt to fix bug3216.

Don't build descriptors if ORPort auto is set and we have no OR listener

This situation can happen easily if you set 'ORPort auto' and
'AccountingMax'.  Doing so means that when you have no ORPort, you
won't be able to set an ORPort in a descriptor, so instead you would
just generate lots of invalid descriptors, freaking out all the time.

Possible fix for 3216; fix on 0.2.2.26-beta.

Work correctly if your nameserver is ::1

We had all the code in place to handle this right... except that we
were unconditionally opening a PF_INET socket instead of looking at
sa_family.  Ow.

Fixes bug 2574; not a bugfix on any particular version, since this
never worked before.

Fix GCC 4.6's new -Wunused-but-set-variable warnings.

Most instances were dead code; for those, I removed the assignments.
Some were pieces of info we don't currently plan to use, but which
we might in the future.  For those, I added an explicit cast-to-void
to indicate that we know that the thing's unused.  Finally, one was
a case where we were testing the wrong variable in a unit test.
That one I fixed.

This resolves bug 3208.

Remove the -F option from tor-resolve.

It used to mean "Force": it would tell tor-resolve to ask tor to
resolve an address even if it ended with .onion.  But when
AutomapHostsOnResolve was added, automatically refusing to resolve
.onion hosts stopped making sense.  So in 0.2.1.16-rc (commit
298dc95dfd8), we made tor-resolve happy to resolve anything.

The -F option stayed in, though, even though it didn't do anything.
Oddly, it never got documented.

Found while fixing GCC 4.6 "set, unused variable" warnings.

Unbreak the build on libevent 1.x systems

Merge branch 'feature3049-v2' into maint-0.2.2

Conflicts:
src/common/Makefile.am

The first argument for a libevent callback should be evutil_socket_t

Appease make check-spaces wrt procmon.h

Use a 64-bit type to hold sockets on win64.

On win64, sockets are of type UINT_PTR; on win32 they're u_int;
elsewhere they're int.  The correct windows way to check a socket for
being set is to compare it with INVALID_SOCKET; elsewhere you see if
it is negative.

On Libevent 2, all callbacks take sockets as evutil_socket_t; we've
been passing them int.

This patch should fix compilation and correctness when built for
64-bit windows.  Fixes bug 3270.

naked constants are ugly

finish a comment nickm started in 8ebceeb3

remove some (confusing) dead code

Merge branch 'bug1810' into maint-0.2.2

Don't recreate descriptor on sighup

We used to regenerate our descriptor whenever we'd get a sighup. This
was caused by a bug in options_transition_affects_workers() that would
return true even if the options were exactly the same. Down the call
path we'd call init_keys(), which made us make a new descriptor which
the authorities would reject, and the node would subsequently fall out
of the consensus.

This patch fixes only the first part of this bug:
options_transition_affects_workers() behaves correctly now. The second
part still wants a fix.

what's up with this trailing whitespace

Split out owning-controller-loss shutdown code into a function

Add changes file for #3049

Implement TAKEOWNERSHIP command

Split control connection cleanup out of connection_free

Fix comment typo

Add an XXX

Fix trailing asterisk in the output of "GETINFO info/names"

Exit immediately if we can't monitor our owning controller process

tor_process_monitor_new can't currently return NULL, but if it ever can,
we want that to be an explicitly fatal error, without relying on the fact
that monitor_owning_controller_process's chain of caller will exit if it
fails.

Fix some comments

Implement __OwningControllerProcess option

Implements part of feature 3049.

log the reason for publishing a new relay descriptor

now we have a better chance of hunting down the root cause of bug 1810.

Fix a compile warning on OSX 10.6

discard circuits when we change our bridge configuration

otherwise we might reuse circuits from the previous configuration,
which could be bad depending on the user's situation

refetch bridge descriptors in a timely fashion

When we configure a new bridge via the controller, don't wait up to ten
seconds before trying to fetch its descriptor. This wasn't so bad when
you listed your bridges in torrc, but it's dreadful if you configure
your bridges via vidalia.

Merge branch 'bug2752' into maint-0.2.2

Add credit to bug2752; correct the issue number in the changes file

Handle NULL argument to get_configured_bridge_by_addr_port_digest

Fixes bug 2313; bugfix on 0.2.2.26-beta.

Oops; that function got renamed.

Check onion keys in microdescriptors, too

Remove from maint-0.2.2 changes files merged in release-0.2.2 and master

Merge remote-tracking branch 'origin/maint-0.2.1' into maint-0.2.2

Conflicts:
changes/bug2190
changes/forget-rend-descs-on-newnym

rm files for changes merged in all of release021, release022, master

Fix bug2752 : 48-char HTTPProxyAuthenticator limitation

Bumped the char maximum to 512 for HTTPProxyAuthenticator &
HTTPSProxyAuthenticator. Now stripping all '\n' after base64
encoding in alloc_http_authenticator.

Merge remote-tracking branch 'origin/maint-0.2.1' into maint-0.2.2

Fixed trivial conflict due to headers moving into their own .h files
from or.h.

Conflicts:
src/or/or.h

squash! Add crypto_pk_check_key_public_exponent function

Rename crypto_pk_check_key_public_exponent to crypto_pk_public_exponent_ok:
it's nice to name predicates s.t. you can tell how to interpret true
and false.

Require that certain public keys have public exponent 65537

Add crypto_pk_check_key_public_exponent function

Check fetched rendezvous descriptors' service IDs

Merge remote-tracking branch 'public/bug2850' into maint-0.2.2

Fixed a trivial conflict where this and the ControlSocketGroupWritable
code both added different functions to the same part of connection.c.

Conflicts:
src/or/connection.c

Increase the length of the buffer in smartlist_string_num_isin().

This was harmless, since we only used this for checking for lists of
port values, but it's the principle of the thing.

Fixes 3175; bugfix on 0.1.0.1-rc

changes file for bug3045

Log descriptions of nodes, not just nicknames.

This patch introduces a few new functions in router.c to produce a
more helpful description of a node than its nickame, and then tweaks
nearly all log messages taking a nickname as an argument to call these
functions instead.

There are a few cases where I left the old log messages alone: in
these cases, the nickname was that of an authority (whose nicknames
are useful and unique), or the message already included an identity
and/or an address.  I might have missed a couple more too.

This is a fix for bug 3045.

Merge branch 'bug2972' into maint-0.2.2

Make check_private_dir check for group ownership as appropriate

Fix up some comment issues spotted by rransom

Check permissions on the directory holding a control socket

Add a new flag to check_private_dir to make it _not_ change permissions

We'll need this for checking permissions on the directories that hold
control sockets: if somebody says "ControlSocket ~/foo", it would be
pretty rude to do a chmod 700 on their homedir.

Add a function to pull off the final component of a path

Make check_private_dir accept g+rx dirs if told to do so.

Clean up the 2972 implementation a little

Add UnixSocketsGroupWritable config flag

When running a system-wide instance of Tor on Unix-like systems, having
a ControlSocket is a quite handy mechanism to access Tor control
channel.  But it would be easier if access to the Unix domain socket can
be granted by making control users members of the group running the Tor
process.

This change introduces a UnixSocketsGroupWritable option, which will
create Unix domain sockets (and thus ControlSocket) 'g+rw'. This allows
ControlSocket to offer same access control measures than
ControlPort+CookieAuthFileGroupReadable.

See <http://bugs.debian.org/552556> for more details.

Preserve bridge download status across SETCONF, HUP

This code changes it so that we don't remove bridges immediately when
we start re-parsing our configuration.  Instead, we mark them all, and
remove all the marked ones after re-parsing our bridge lines.  As we
add a bridge, we see if it's already in the list.  If so, we just
unmark it.

This new behavior will lose the property we used to have that bridges
were in bridge_list in the same order in which they appeared in the
torrc.  I took a quick look through the code, and I'm pretty sure we
didn't actually depend on that anywhere.

This is for bug 3019; it's a fix on 0.2.0.3-alpha.

Fixup whitespace issues from 3122 commit

Merge remote-tracking branch 'origin/maint-0.2.1' into maint-0.2.2

Conflicts:
src/or/networkstatus.c