vici: Add pyproject.toml file to declare build backend

cirrus: Fix vici Python build on Alpine

testing: Ignore errors when dumping our routing table

Some scenarios disable route installation and if they are executed before
any scenarios that don't, there won't be a rule for table 220 and we get
"FIB table does not exist" errors.

vici: Update Python build

Directly calling setup.py is deprecated (apparently has been for a while,
but now we get large warnings).  Direct installation is also discouraged.
So this removes that option.  The built wheel (the old egg format is not
used/built anymore) can be installed manually in a venv or the like.

vici: Update supported Python versions

github: Update chunk_from_chars() CodeQL query to new data flow API

pubkey: Remove unused set_subject() method

If not properly used (i.e. before sharing the object), this was not
thread-safe.  So better remove it and force users to create immutable
objects.

vici: Delay creation of raw public keys until we know the identity

The previous approach had two drawbacks:

First, it caused duplicate public keys because when the `certificate_t`
object was created and added to the credential set it had no subject
assigned yet.  So it defaulted to the key ID.  However, all previously
loaded keys had their subject already changed to an identity, so there
never was a match and new objects were always added whenever a config
with raw public keys was loaded.

Second, the subject was replaced in a way that's not thread-safe on an
object that's already shared in the public credential set.  So other
threads could potentially access the `identification_t` object that's
destroyed during that process.

References strongswan/strongswan#853
Closes strongswan/strongswan#2561

testing: Include ML-KEM crypto tests rw-cert scenario

child-create: Fix double free of list of labels after migrate

If a migrate of a child-create occurs then labels_i and labels_r are
freed, but the pointers are left set. If the task is subsequently
destroyed without being reused, then both of these will be double
freed.

Fix this by setting labels_i and labels_r to NULL in the migrate
method after freeing, similar to other fields that are freed.

Closes strongswan/strongswan#2552

Fixes: f9b895b49f49 ("child-create: Add support to handle security labels")

swanctl: Document keX_ prefix and replace DH with KE

nm: Version bump to 1.6.1

file-logger: Don't log <> if ike_name is disabled and no IKE_SA is available

Fixes: a2fba6db4a17 ("file-logger: Add option to log messages as JSON objects")

testing: Use a single scp command to restore defaults

This is a bit faster than two sequential calls.

testing: Improve replacing IP addresses in test files

There are a lot of files without patterns and running them all through
sed is quite slow.  Using grep first makes this quicker (about 0.5s per
test).  Ignoring PEM files is also helpful.

testing: Log timestamps relative to the start of the test

Makes it easier to compare multiple runs against each other.

testing: Collect test results with an on-guest script in parallel

In particular the swanctl calls all take a while and this allows doing
them in parallel if multiple hosts are involved. This reduces the runtime
of each test by 1-3 seconds.

testing: Use an on-guest script to cleanup/initialize and run them in parallel

This is a bit quicker than doing this with separate SSH calls for each
host sequentially (up to half a second per test).

testing: Always use immediate mode for tcpdump

We don't use versions that don't support this anymore and sometimes the
detection didn't work properly and a run without it would get started.

Remove two files to be ignored

Version bump to 6.0.0

child-sa: Update status flags based on success of SA addition

Both variables `inbound_installed` and `outbound_state` are used in
`child_sa_t::destroy()` to determine whether inbound and outbound state
have to be deleted. They are assigned prior to the call to
`kernel_interface_t::add_sa()`. As this call may fail, the destructor may
try to delete a state which it has not been added.
By making the assignment of these variables dependent on the success of
the state addition, we can make sure, a `child_sa_t::destroy()` only
deletes states it has added.

Also removed the redundant checks for `my_spi` and `other_spi` being set
along with the check for the above flags. It seems that when the flags
are set, the SPIs *must* be set.

Signed-off-by: Thomas Egerer <thomas.egerer@secunet.com>

NEWS: Add news for 6.0.0

swanctl: Update note about reauth approaches for reauth_time

github: Use AWS-LC 1.40.0 for tests

scripts: Use correct type for length when printing `count` for KEM KATs

Version bump to 6.0.0rc2

cert-enroll: Support three generations of CA certificates

If the lifetime of an issuing or sub CA is twice the lifetime of
the end entity certificates issued by it and the renewal cycle of
the issuing CAs is a little shorter than the validity of the end
entity certificates then three generations of CA certificates have
to be handled by the cert-enroll scripts.

x509: Use SHA-256 as default hash/signature algorithm for attribute certificates

References strongswan/strongswan#2523

unit-tests: Remove RSA/ECDSA schemes with weak hash algorithms (MD5/SHA-1)

These have been discouraged for a long time and there are now more and
more crypto libraries that have them disabled by default.  However, for
some we only can detect this at runtime, in particular in FIPS mode, so
tests would fail as the plugins would still announce them.  So instead
we just remove the schemes from these tests for now (at least for RSA,
removing signatures with SHA-1 completely isn't an option yet as that's
still the default with some clients).

Closes strongswan/strongswan#2523

github: Run apidoc test on Ubuntu 24.04 image

The Doxygen version on 22.04 doesn't understand some of the new directives.

apidoc: Update Doxyfile.in

The only actual change is disabling timestamps (makes it easier to
compare).

Fixed some typos, courtesy of codespell

testing: Make timing for TKM rekey scenarios a bit more stable

In particular for the first one randomization could trigger an additional
rekeying, which let the "Adding ESA ..." check fail.  But even without
randomization (could be seen in the second scenario that already uses
`rand_time=0`) 4 seconds can apparently be too low some time.

Version bump to 6.0.0rc1

testing: Added ML-KEM test cases

testing: Fixed typos

github: Install pkgconf instead of pkg-config on macOS

The package was apparently renamed/transitioned, but that doesn't really
work properly (causes a symlink issue when installing via pkg-config).

ml: Fix compilation with some compilers

Some (older) compilers complain that "variable-sized object may not be
initialized".

fuzz: Fix build after changing default plugins

traffic-selector: Add workaround for possibly bogus warning with GCC 14

When compiling with -O3 with GCC 14, we get the following warning/error:

/usr/include/x86_64-linux-gnu/bits/string_fortified.h:29:10: error: '__builtin_memcpy' offset [0, 3] is out of the bounds [0, 0] [-Werror=array-bounds=]
   29 |   return __builtin___memcpy_chk (__dest, __src, __len,
      |          ^~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
   30 |                                  __glibc_objsize0 (__dest));
      |                                  ~~~~~~~~~~~~~~~~~~~~~~~~~~

Which seems completely bogus as that array has a fixed size of 16 and
some weird workarounds remove the warning (e.g. adding an assignment
to `subset->netbits` before the `memcpy()`).  This is also the only
place GCC complains about and we use `memcpy()` all over the place
in this file to set those addresses.

Closes strongswan/strongswan#2509

NEWS: Add some news for 6.0.0

libcharon: Enable make_before_break option by default

Merge commit 'default-plugins'

Changes the default crypto plugins from the built-in ones to openssl.

Define new default plugins

testing: Migrated wolfssl scenarios

testing: Migrated tnc scenarios to new default plugins

testing: Migrated tkm scenarios to new default plugins

testing: Migrated sql scenarios to new default plugins

testing: Migrated route-based scenarios to new default plugins

testing: Migrated pfkey scenarios to new default plugins

testing: Migrated p2pnat scenarios to new default plugins

testing: Migrated libipsec scenarios to new default plugins

testing: Migrated ha scenarios to new default plugins

testing: Migrated gcrypt-ikev2 scenarios

testing: Migrated botan scenarios

testing: Migrated af-alg scenarios

testing: Migrated ike scenarios to new default plugins

testing: Migrated ikev1-stroke to new default plugins

testing: Migrated ikev2-stroke scenarios to new default plugins

testing: Migrated ipv6-stroke scenarios to new default plugins

testing: Migrated ipv6 scenarios to new default plugins

testing: Distributed openssl-ikev1 scenarios

testing: Migrated ikev1-algs scenarios to new default plugins

testing: Migrated ikev1 scenarios to new default plugins

testing: Distributed openssl-ikev2 scenarios

testing: Migrated ikev2-algs scenarios to new default plugins

testing: Migrated ikev2 scenarios to new default plugins

ml: Store decoded public/private key and matrix A on initiator

While this does require quite a bit of memory, on initiators there are
usually fewer concurrent SAs getting created so this should be less of
an issue than on a gateway that handles lots of SAs as responder.

The speed up is about 30% on the initiator during the decapsulation,
while the key generation does take a bit more time (about 3%).

ml: Add software implementation of ML-KEM

This follows FIPS 203 relatively closely but takes some ideas from the
reference implementation.  In particular, how to avoid potential
side-channels via direct C division/modulo operations.  However, it just
uses Barrett reduction (no Montgomery reduction) and no negative
coefficients to avoid number format conversions and keep the
implementation clearer.

memory: Add helper function to conditionally copy data in constant time

mgf1: Support of RSA PSS with SHA3 hash

ntru: Remove legacy NTRU key exchange method

newhope: Remove legacy Newhope key exchange method

bliss: Remove legacy BLISS signatures

openssl: Add ML-KEM support with AWS-LC

This registers support for the ML_KEM_{512,768,1024} key exchange
algorithms in the `openssl` plugin when built using AWS-LC as the
libcrypto. To do this, we introduce the `openssl_kem` source files
which implement the key exchange algorithm using the Key Encapsulation
Mechanism (KEM) API. Future KEM algorithms can be implemented
generically using this interface by substituting the appropriate NIDs.

It also supports both seeded (via DRBG) and unseeded modes depending
on the user's requirements for KATs or entropy sources.

It should be noted that this does not add support for KEM algorithms
within upstream OpenSSL and is API incompatible. Future work will need
to condition out the incompatibilities as-appropriate. However, the
high-level logic should be the same for all KEMs and KEM APIs.

References strongswan/strongswan#2228
Closes strongswan/strongswan#2490

botan: Add support for ML-KEM

Use Botan 3.6.1 for tests

With 3.6.0 support for ML-KEM was added.

botan: Add support for AES in ECB mode to support DRBG_CTR_AES

This DRBG is used to test ML-KEM.

botan: Fix include issue that prevented parsing public keys

Botan stopped including build.h in ffi.h with 3.4.0, so we have to
add this here explicitly to check for the enabled key types.

wolfssl: Add support for ML-KEM

Use wolfSSL 5.7.4 for tests

This adds support for ML-KEM etc.

test-vectors: Add ML-KEM test vectors

The vectors are generated using the `kat_kem` utility of the liboqs
project and then converted using the `nist_kem_kat` script.

scripts: Add script formatting NIST KEM KAT records into ke_test vectors

dh-speed: Use method call order compatible with KEMs

Also prints the speed of the derivation (or decapsulation) for the
initiator.

key-exchange: Document how the interface is used with KEMs

key-exchange: Joint ke_test_vector format for DH and KEM

Both Diffie-Hellman (DH) and Key Encapsulation Mechanism (KEM) based
key exchange methods use a common ke_test_vector format. The
set_seed() function is used to provide deterministic private key
material for the crypto tests.

key-exchange: Add identifiers for ML-KEM algorithms

swanctl: Document soft lifetime defaults if hard lifetimes are configured

mem-pool: Fix issue with make-before-break reauth and multiple IKE_SAs

If uniqueness checks are disabled and multiple IKE_SAs with the same
identities are created, an offline lease could have gotten reassigned
during a make-before-break reauthentication if such an SA was closed
earlier.  Checking for an online lease for the same client (IP/port)
first ensures that the correct IP is reassigned during the
reauthentication.

References strongswan/strongswan#2472

file-logger: Take options as a struct and combine ms/us suffix options

References strongswan/strongswan#2475

file-logger: Add support to log timestamp in microseconds

Closes strongswan/strongswan#2475

file-logger: Add option to log messages as JSON objects

Closes strongswan/strongswan#2222

socket-default: Always open IPv4 sockets before IPv6 sockets

Since we now open sockets for each address family independently (via
IPV6_V6ONLY) and without SO_REUSEADDR, it could happen with the previous
order on Linux that opening the port that was allocated as ephemeral
port for IPv6 was already used by a different process for IPv4.

Most IPv6 sockets on ephemeral ports will not have IPV6_V6ONLY set, so
the same port is also reserved for IPv4.  Therefore, it's save to assume
that any ephemeral port we first get for IPv4 is free for IPv6.

References strongswan/strongswan#2494

openssl: Add support for new API to squeeze data from XOFs

This new API doesn't require a temporary buffer and generating a lot
of already consumed output.

leak-detective: Whitelist OpenSSL 3.2 function

certificate_printer: Fix spacing for additional CRL/OCSP URIs

Multiple occurences of CRL and OCSP URIs where not indented correctly.

nm: Update build files and switch from intltool to gettext

gnome-common has been deprecated, so has intltool.  This follows GNOME's
recommended migration paths.

Revert "conf: Add support for escaping dots in section/option names"

This reverts commit 84a3077e780e7b25bf536da42a583bdc18448362.

Support for dots in names of settings was removed quite a while ago and
now the \. sequence caused `SyntaxWarning: invalid escape sequence`.

wolfssl: Don't undef PARSE_ERROR as headers included later might refer to it