Don't unset IKE_SA on bus before we released virtual IPs and attributes

New Android release after adding AES-GCM, IPv6-in-IPv4 and using kernel-netlink

libipsec now supports AES-GCM, IPv6 tunnels over IPv4 are supported,
native x86 libraries are built (requires a new Vstr build script).
Also, the existing kernel-netlink plugin now provides the kernel-net
implementation, which should be more stable in case multiple interfaces
are up and have IP addresses installed on them.

libipsec: Fix memory leak in event relay

android: Use stronger ESP proposal including AES-GCM

libipsec: Add support for AES-GCM

libipsec: Wrap traditional algorithms in AEAD wrapper

android: Remove unused methods on NetworkManager/network_manager_t

android: Ignore interface 'lo'

Android adds a default route via 'lo' if no connectivity is available
causing charon to send packets via lo and triggering DPD.

android: Repurpose android-net to simply handle connectivity events

Using the events by NetworkManager/ConnectivityManager to trigger roam events
instead of the events generated by the kernel-netlink plugin the noise level
is much lower.

kernel-netlink: Add an option to disable roam events

android: Replace android-net plugin with kernel-netlink

Virtual IPs are not handled by the kernel-netlink plugin and tun devices are
ignored.

android: Set strongswan.conf options before initializing other libraries

kernel-netlink: Define defaults for routing table and prio

openssl: Define a default for FIPS_MODE

In memwipe_check(), don't put magic on stack when calling do_magic()

Otherwise the magic might be on the stack while checking it.

Dump stack if memwipe() check fails

Use attest database in tnc/tnccs-20-os scenario

fixed a 64bit time_t issue

destroy SQL query

Keep last AR ID

Added use of openssl-fips library to NEWS

check for successful activation of FIPS mode

install FIPS-aware OpenSSL Debian packages

Added openssl-ikev2/rw-cpa scenario

build openssl-fips in KVM root-image

fixed typo

During libstrongswan initialization, check if memwipe() works as expected

added libstrongswan.plugins.openssl.fips_mode to man page

support of OpenSSL FIPS-140-2 library

build soup plugin in KVM test environment

disable reauth, too

Fix checksum calculation with DESTDIR installations

version bump to 5.0.4

Added charon.initiator_only option which causes charon to ignore IKE initiation requests by peers

Allow SHA1_Init()/SHA1_Update() to fail if OpenSSL version >= 1.0

Check RSA_public_decrypt() length before constructing and comparing a chunk

If decryption fails, it returns -1. chunk_equals() should catch that error,
but be more explicit in error checking.

RSA_check_key() may return -1 if it fails

RAND_bytes/RAND_pseudo_bytes returns -1 if it is not supported by RAND method

Check return value of ECDSA_Verify() correctly

eap-radius: Add an option to exclude ports from Called/Calling-Station-Id

version bump to 5.0.4dr1

fixed another printf statement

fixed printf statements

emit a single assig_vips bus message for all VIPs

ifmap plugin subscribes to assing_vip bus signal

Added missing sasl Doxygen group

unity: Check IKE_SA in only after enumerating virtual IPs

fixed configure options

cleaned up XML code in tnccs-11 plugin

duplicheck: track multiple IKE_SAs in checking state to avoid any races

When two consequent duplicates have been detected, track state of each checking
IKE_SA separately, avoiding potential race conditions between the active SA
and the different SAs in checking state.

fixed memory leak

properly handle orphaned renewSession jobs

support chunked HTTP responses

implemented periodic IF-MAP RenewSession request

Refactor check_for_rekeyed_child() in quick_mode task

Reuse reqid of an existing Quick Mode, even if it has been rekeyed

If two peers rekey Quick Modes at the same time, the original Quick Mode is
in REKEYING state and hence the requid is not reused. This is required though,
as two identical policies won't work if they have different requids.

List all stroke counters when "all" is given, and report if connection not known

Defer CHILD_SA rekeying if allocating an SPI fails

Accept a certificate/key pair to use client authentication in tls_test

version bump to 5.0.3

allow retrieval of private keys from other credential sets

improve checking of sent and received http messages

Updated strongswan.conf(5) man page

Load raw keys before possibly destroying the identity

If no identity (or %any) is configured the identification_t object is
destroyed and an invalid object was associated with the created pubkey
certificate.
Actually using %any does not work as the certificate would not match
when the client later provides an identity.

ipseckey: Use proper daemon name for enable option

Properly handle situation if no resolver plugins are loaded

fixed capability metadata

fix start of wpa_supplicant

updated strongswan.conf man page for tn_ifmap plugin

renamed tnc_ifmap2 plugin to tnc_ifmap

removed obsoleted tnc_ifmap plugin

implemented http basic authentication

parse IF-MAP server URI

implemented publish_enforcement_report and endSession methods

implemented publish_ike_sa method

ifmap message type is known

implemented publish_device_ip method

added IF-MAP SOAP error handling

created tnc_ifmap2_soap_msg class

implement NewSession and PurgePublisher messages using the libxml2 library

set up a new IF-MAP session

fixed typo

Fixed Doxygen comment in eap_radius plugin

Fix detection and use of netinet/ip6.h on FreeBSD

Don't set USE_ATTR_SQL when the sql plugin is enabled only

Make some private functions in plugins static

Fixes monolithic build.

Use new strongSwan HA kernel patchset keeping iptables ABI

Allows us to install stock debian iptables without the need for patching and
compiling our own.

Define SSHCONF from strongswan testing directory, not TESTDIR

This fixes the use of SSHCONF in the ssh wrapper script before ./do-tests
had a chance to create the required symlinks.

Lazy unmount guest filesystem after building image, as it still might be busy

crypt_burn: Proper cleanup

crypt_burn: Fix loop condition for regular crypters

libpts: Cast first argument for %.*s to int

error-notify: Close file descriptors in case clients are still connected

libpttls: Destroy reader when handling errors during SASL

pacman: Define gen_time out of the loop

It gets assigned if count==3 but only used later when count >= 7.

ipseckey: NULL pointer dereference fixed in error case

Recipes: Disable Anet unit tests

Some Anet unit tests may fail because of the network configuration on
the testing host. These failures do not indicate a problem in Anet but
are a result of unpredictable events.

Fixed some typos, courtesy of codespell

Added hostapd package to base image

Added Framed-IP-Address information to RADIUS accounting records