swanctl: Clear config from memory

The 'secrets' section in the config file may contain passwords/PINs.

settings: Add destructor that wipes contents

stroke: Clear ipsec.secrets file from memory

swanctl: Clear possibly unencrypted key/container files from memory

pem: Clear possibly unencrypted key file from memory

chunk: Optionally clear mmap'd chunk before unmapping

This is mostly for the non-mmap case as with mmap available, access to the
unmapped memory isn't easily possible (e.g. opening the same area with
MAP_ANONYMOUS | MAP_UNINITIALIZED is usually prevented by the missing
CONFIG_MMAP_ALLOW_UNINITIALIZED option in most kernels).

vici: Clear all request messages in case they contain secrets

vici: Clear cached strings in case the message contained shared secrets

pem: Clear chunks after decrypting files

shared-key: Clear shared secret when destroyed

Merge branch 'testing-bullseye'

Use Debian bullseye as base image for the testing environment.

testing: Use Debian bullseye as base image

testing: Determine Debian version in TNC scenarios automatically again

Was statically set to 10 since f3d96b7bc9e2 ("Version bump to 5.9.1dr1").

libimcv: Add Debian 11 (bullseye) to IMV database

testing: Replace `arp` with `ip neigh`

The net-tools package, which provides arp and other older utilities like
ifconfig, is not installed anymore on Debian bullseye.

testing: Allow DNS via TCP in net2net-dnscert scenario

New versions of Bind limit the maximum UDP message size to 1232 bytes,
which is the same that newer versions of libunbound propose as maximum via
EDNS in requests, so increasing the limit on the server wouldn't help.

Instead we allow DNS via TCP so the client can switch after receiving the
truncated UDP response.

testing: Remove support for Debian jessie and FreeRADIUS 2

testing: Support build with Debian bullseye base image

openssl: Use correct key types when adopting Ed25519/448 keys

Fixes: cbf07ab5b0b6 ("openssl: Add support for Ed25519/Ed448")

openssl: Remove workaround for Brainpool ECDH curves for older OpenSSL versions

Using the workaround with the EVP interface, which we use to derive shared
keys since 74e02ff5e624 ("openssl: Mainly use EVP interface for ECDH"),
would actually require us to register the OIDs of these curves as NID.
Otherwise, the two EC_GROUPs used by private and public key objects
are not considered the same and the key derivation fails.

Since the curves are supported by OpenSSL since 1.0.2 it's probably rare to
find a version without them nowadays.  One exception is the old BoringSSL
version we still use on Android, which defines the NIDs but not the curve
data.  However, that version also lacks support to register OIDs as NIDs,
so the only option to support these groups there would be to got back to not
using the EVP interface, which isn't in anyone's interest.  If there really
is a need for them there, we could probably patch BoringSSL or use OpenSSL.

github: Fix build on macOS due to moved OpenSSL location

crl: Fix compilation with OpenSSL 3.0

Closes strongswan/strongswan#635

github: Use OpenSSL 1.1 on macOS

The "openssl" alias now defaults to OpenSSL 3.0, which produces a lot of
deprecation warnings.  To avoid build failures due to `-Werror`, stay with
OpenSSL 1.1 until we can get rid of these issues.

kernel-pfkey: Wipe request/response messages when managing SAs

Version bump to 5.9.4dr2

Change shebang for Python scripts to use python3

testing: Fix updown script in route-based/net2net-xfrmi-ike scenario

With the update to Python 3 the encoding of the values in vici messages
changed to bytestrings (the keys are properly decoded).  And getting the
first CHILD_SA also needs a change.

The logger is now also initialized after daemonizing to avoid that opened
sockets are closed etc.

testing: Switch to Python 3

Both swidGenerator and strongTNC were migrated to Python 3.
This allows to migrate all testing scripts to Python 3, too.

keymat_v2: Properly wipe DH secret during IKE_SA rekeying

While `secret` is wiped explicitly, it wasn't when concatenating with
the nonces.

sec-updater: Use latest versions

os_info: Parse /etc/os-release first

github: Remove build on Ubuntu Xenial (16.04)

Support for it will be removed later this month.

vici: Update supported Python versions

vici: Add DBG4 messages that print loaded shared keys and PINs

Closes strongswan/strongswan#217

ike: Initiate new IKE_SA not until all children are queued

If there are many CHILD_SAs, the time between initiating the new IKE_SA
and checking it in might be longer (depending on what else is going on
in the daemon) than the retransmission timeout and no retransmits might
be sent afterwards for this SA (it will just linger around dead).
Calling initiate() last should avoid that (we do this similarly for MBB
reauthentication).

ikev2: Only request reauth during IKE_AUTH if active reauth is not possible

If we can initiate the reauthentication ourselves, there is no reason to
explicitly request the peer to do so (at basically the same time).

ike-rekey: Respond with TEMPORARY_FAILURE while reauthenticating

This could lead to duplicates as the new IKE_SA can't delete the old one
once reauthentication is complete if it was replaced by a rekeying.

ike: Don't rekey IKE_SA while reauthenticating

If we are using make-before-break reauthentication, this could lead to
duplicates as the new IKE_SA wouldn't be able to delete the previous
one if it was replaced by a rekeying.

ike-delete: Don't call reestablish() when reauthenticating

If we initiated a make-before-break reauthentication and the peer
concurrently deletes the IKE_SA (e.g. because it uses break-before-make
reauthentication), we would create a duplicate IKE_SA (the condition forces
a recreation of all existing CHILD_SAs because reestablish() is also called
to complete a break-before-make reauthentication).

openssl: Improve compatibility to newer BoringSSL releases

Closes strongswan/strongswan#352

Merge branch 'swanctl-ssh-public-keys'

Minor changes that allow loading SSH public keys via `pubkeys` in
swanctl.conf.

References strongswan/strongswan#467

pubkey: Ignore X.509 flags passed to the parser

pubkey: Don't assume blobs are only ASN.1 DER

Also forward the blob's type when parsing pubkeys.

vici: Use the more generic BUILD_BLOB to parse certificates/public keys

github: Remove github.ref from cache keys

According to the documentation for actions/cache, the lookup is already
scoped to the current branch (with fallback to any base branch including
the default branch).

tpm_extendpcr: Support platforms not having syslog()

tpm_extendpcr: Build does not depend on tpm plugin but libtpmtss

The utility basically requires a TSS, the tpm plugin is not used at all.

Version bump to 5.9.4dr1

libtpmtss: Initialize library from all users

Previously, only the tpm plugin initialized the library, so in order
to use a TPM 2.0 (a required TCTI library is loaded via init), it was
necessary to load it even if none of its actual features were used.

configure: Enforce tss-tss2 if tpm plugin is enabled

The plugin is useless without a TSS 2.0 and this is currently the only one.

openssl: Use a longer key to test/initialize HMAC instances

OpenSSL enforces a minimum of 14 bytes (112 bits) on the key size when
used in FIPS-mode (as required by SP 800-131A).  So by using an empty
string, instantiation always failed.  32 bytes (256 bits) should be safe
for now.

Closes strongswan/strongswan#557

testing: Fix build of tkm and tkm-rpc

github: Use latest version of SonarScanner

kernel-netlink: Initialize ifreq structs when detecting offload capability

gitignore: Add nbproject/

As used by the NetBeans IDE.

Closes strongswan/strongswan#505.

Ignore android-* tags when using `git describe`

Merge branch 'android-updates'

Adds a button to install user certificates and updates the target SDK
version for Android 11 (and the related deprecation fixes), which will
be mandatory later this year.

The release also includes an older commit that changed how DNS servers
are applied to TUN devices (cd10ae2ff050 ("android: Explicitly apply DNS
servers to the TUN device")).

Also added are metadata for F-Droid.

android: New release after adding button to install PKCS#12 and SDK update

It also includes an unreleased change that affects when/how DNS servers
are applied to the TUN device.

android: Request QUERY_ALL_PACKAGES permission

This is required when targeting Android 11 (API 30) in order to see all
packages, which we use to allow selecting apps ex-/included from VPN
profiles and for the EAP-TNC use case.

android: Add Triple-T metadata for F-Droid

We currently don't use Triple-T but the metadata is also parsed by F-Droid
to provide information for included apps.

android: Add a button to install user certificates

Newer Android versions don't provide this option anymore on the
selection dialog.

android: Replace deprecated Switch with SwitchCompat

android: Replace deprecated AsyncTask instances

As suggested by the Android docs, we use a global thread pool and handler
to avoid recreating them repeatedly.  Four threads should be more than
enough as we only use this to load CA certificates when the app starts
initially and to load user certs when editing a profile.

android: Migrate from deprecated ViewPager to ViewPager2 for CA cert lists

android: Replace deprecated FileObserver() constructor with newer SDKs

android: Replace usage of deprecated Handler() constructor

android: Replace deprecated onActivityCreated() with onViewCreated()

android: Replace deprecated startActivityForResult/onActivityResult usage

android: Set compile-/targetSdkVersion to 30

This will be mandatory for new apps in August and for existing apps
in November.  However, several classes like AsyncTask are now deprecated
so this needs some work to avoid warnings and problems in the future.

android: Replace jcenter with mavenCentral repository

android: Update dependencies

android: Update Gradle plugin

Use wolfSSL 4.8.0 for tests

Version bump to 5.9.3

vici: Suppress trailing nul character

testing: Use specific versions of swidGenerator and strongTNC

This way we get updated versions automatically (referencing "master"
required manually deleting the downloaded archives and the unpacked
directories).  It also allows switching versions when working in different
branches (note that REV can also be set to a commit ID, e.g. to test
changes before tagging them later and merging the branch).

kernel-netlink: Fix theoretical memory leak when parsing routes

This currently can't happen as the kernel always puts RTA_TABLE as first
attribute in RTM_NEWROUTE messages.

Fixed some typos, courtesy of codespell

Main change is the conversion from the British cancelling/-ed to the
American canceling/-ed.

Version bump to 5.9.3rc1

testing: Build wolfSSL from the Git repository

Use the same configure options etc. for both builds (no need for the cert
options as we don't use TLS or X.509 parsing) and switch to a Git commit
that includes the SHA-3 OID fix (it's actually the fix itself).

testing: Fixed ikev2/farp scenario

Version bump to 5.9.3dr4

testing: Migrate ikev2-stroke-bye scenarios to vici

testing: Fixed pretest script of ikev1/rw-psk-aggressive scenario

testing: Migrate ikev2/host2host-transport-nat scenario to vici

This also restores the test as it was before the referenced commit so it
again, as written in the description, demonstrates that venus is unable
to ping sun without IPsec tunnel.

Fixes: f27fb58ae0ec ("testing: Update description and test evaluation of host2host-transport-nat")

testing: Migrate MOBIKE tests to vici

Note that the mobike-nat test has been removed as it basically did the same
as the mobike-virtual-ip-nat test.  Instead, the mobike-nat-mapping scenario
is added, which simulates a NAT router restart.

ike-mobike: Force MOBIKE update after NAT mappings changed

The addresses observed by the client behind the NAT are exactly the same if
the NAT router gets restarted.

Fixes: 2b255f01afbc ("ike-mobike: Use ike_sa_t::update_hosts() to trigger events")

ike-sa: Log IKE endpoint changes

ha: Register the correct IKE_SA with the manager after a rekeying

Fixes: 20dfbcad0875 ("ha: Register new IKE_SAs before calling inherit_post()")
Closes strongswan/strongswan#456.

Merge branch 'vici-stuck'

Closes strongswan/strongswan#268.

vici: Signal waiting threads when skipping disconnected connections

If two threads are waiting in find_entry() and remove_entry(),
respectively, and the former is woken first, the latter remains stuck
as it won't get signaled.

vici: Signal waiting threads when removing a connection entry

If there are threads waiting in find_entry() and one in remove_entry()
and the latter is woken first by a thread calling put_entry(), the
former threads would remain stuck as they get never signaled.

kernel-netlink: Don't wait for VIPs to disappear during de-initialization

This can happen if an IKE_SA is terminated forcefully shortly before
terminating the daemon.  The thread that handles the terminate command
will call checkin_and_destroy(), which unregisters the IKE_SA from the
manager before destroying it.  The main thread that calls flush() on the
IKE_SA manager won't wait for this SA (its entry is already gone), so
the processor and in turn the watcher job/thread might get canceled
before the first thread started deleting the VIP.  It would then wait
indefinitely for a signal that can never be sent.

There is still a small chance the thread hangs in wait() if the state check
happens right before the watcher is canceled and it wasn't yet able to
deliver the event from the kernel, we counter that by rechecking the state
after a while.

NEWS: Add news for 5.9.3

testing: Update Anet to version 0.4.2

charon-tkm: Remove useless checks when deriving IKE keys

charon-tkm: Delegate encryption/decryption of IKE traffic to TKM

Co-authored-by: Tobias Brunner <tobias@strongswan.org>

pkcs11: Change how unavailable attributes like CKA_TRUSTED are handled

If a PKCS#11 library/token doesn't provide one or more attributes via
C_GetAttributeValue(), we get back CKR_ATTRIBUTE_TYPE_INVALID (similar
for protected attributes where CKR_ATTRIBUTE_SENSITIVE is returned).
This is not an error as the spec demands that all attributes have been
processed with the unavailable attributes having set their length
field to CK_UNAVAILABLE_INFORMATION.

We use this to handle the CKA_TRUSTED attribute, which some tokens
apparently don't support.  We previously used a version check to remove
the attribute from the call but even the latest spec doesn't make the
attribute mandatory (it's just in a list of "common" attributes for
CKO_CERTIFICATE objects, without a default value), so there are current
tokens that don't support it and prevent us from enumerating certificates.

receiver: Avoid division by 0 after system start if CLOCK_MONOTONIC is used

Depending on how CLOCK_MONOTONIC is implemented, time_monotonic() might
return 0 within 1 second after the system is started.  If that's the
case, we just default to 0 for now to avoid a crash (doesn't "hide" the
system time, but it's only the uptime anyway in this case).

Closes strongswan/strongswan#435.

charon-nm: Simplify certificate enumeration and allow IDs other than DNs

This allows using SANs as identity instead of having to use the subject DN.

References strongswan/strongswan#437.