Revert "wip: tests adapted for different SA cache"

This reverts commit 942c696a9214d3a4442ed5b7151f62485e6d1bce.

wip: tests adapted for different SA cache

wip: set inbound cpu ID

wip: testing: Add ikev2/per-cpu-sas-encap-transport scenario

wip: Interestingly, the responder always uses the same SA to respond (maybe
due to the cache on the policy?)

wip: testing: Add ikev2/per-cpu-sas-encap scenario

wip: child-sa: Configure UDP encapsulation for per-CPU SAs

wip: this is just a PoC. it needs some kind of notify to negotiate
the use (in theory it doesn't as IPsec stacks should be able to process
UDP encaped and plain ESPs for the same SA, the kernel doesn't so both
peers need to enable it - otherwise we could just enable it on the
outbound SA and send to port 4500)

To avoid lots of NAT mapping events from the kernel it needs a patch so it
doesn't produce any if the configured source port is 0

vici: Make UDP encapsulation for per-CPU SAs configurable

child-cfg: Add flag to enable UDP encapsulation for per-CPU SAs

testing: Add per-CPU SA test scenario

testing: Configure multiple virtual CPUs for moon and sun

This allows testing per-CPU SAs by e.g. pinging over a specific CPU
via taskset.

testing: Enable SMP support for latest kernels

swanctl: Report per-CPU information in --list-sas

vici: Report per-CPU SA information

wip: vici: Make per-CPU CHILD_SAs configurable

wip: also, maybe add a check to ensure that start_action=trap is set (or even
set it implicitly?), but could also just be the responsibility of the
user as it's documented

kernel-netlink: Forward CPU ID from acquires

wip: trap-manager: Add support to handle acquires for per-CPU SAs

wip: we could possibly install trap policies with num_sas set to install
per-CPU trap policies right from the start. then the first acquire would
already get us a CPU ID. however, since we don't now if the peer supports
the extension, the CPU ID might get reset and a regular SA negotiated,
rendering the match for CPU ID invalid (we could then perhaps just remove
the first acquire with has acquire->cpu != CPU_ID_MAX and stop enumerating).
the policy installed with the regular SA should hopefully prevent further
CPU-specific acquires (at least if there was no narrowing)

kernel-handler: Log CPU ID that's passed with an acquire

kernel-interface: Optionally pass CPU ID for which an acquire was triggered

ike-sa: Accept optional CPU ID when initiating CHILD_SAs

ike-sa: Sort CHILD_SAs by CPU ID

This might make debugging easier and also ensures that a possible
fallback SA without CPU ID is established first when reestablishing
an IKE_SA.  Because even if such an SA is established first, that might
change if per-CPU SAs are rekeyed first.

child-rekey: Maintain per-CPU values during rekeying

wip: child-create: Add support to negotiate per-CPU SAs

wip: several FIXMEs

wip: updown: Don't call the script for per-CPU SAs

This only works if a duplicate SA without CPU ID is negotiated.

wip: it might actually be necessary to install rules for individual SAs,
maybe we could pass the CPU ID via PLUTO_CPU_ID

ha: Ignore per-CPU CHILD_SAs

These only work on initiators (with trap policies), which is something
the plugin doesn't support.

forecast: Ignore per-CPU CHILD_SAs

Not sure if this combination does make sense as the plugin itself would
be a major bottleneck.

Similar to the connmark plugin, PREROUTING rules list SPIs or UDP ports,
which would be necessary for all SAs while the OUTPUT rules would only be
required once.

connmark: Ignore per-CPU CHILD_SAs

The combination probably doesn't make much sense.

The OUTPUT rules would definitely only be required once, while the INPUT
and PREROUTING rules list individual SPIs and/or UDP ports, which would
be necessary for all SAs.

By the way, the rules in PREROUTING might actually not be necessary
anymore if the set_mark_in option was used for such SAs.

wip: child-sa: Add support for per-CPU SAs

kernel-netlink: Add support to enable per-CPU acquires on policies

kernel-netlink: Add support to set CPU ID on SA

wip: ipsec-types: Add identifier for the maximum CPU ID

wip: The kernel should really use 0 for "n/a" etc. using such a specific
value makes fallbacks (e.g. in third-party kernel interfaces) tricky.

wip: Maybe move to kernel_interface.h or kernel_ipsec.h?

wip: include: Add XFRM identifiers for per-CPU SAs/acquires

wip: the API is still under development

wip: child-cfg: Add flag to enable per-CPU SAs

notify-payload: Add notify types for per-resource CHILD_SAs

Merge branch 'tun-device-ipv6'

Adds support for IPv6 addresses on TUN devices, in particular, to support
virtual IPv6 addresses on FreeBSD/macOS.

Closes strongswan/strongswan#2465

kernel-pfroute: Route via interface if we don't have a next hop

Compared to RTA_IFP, the format is different when passing an interface
as RTA_GATEWAY, it requires the interface's address and not its name.

tun-device: Fix handling of IPv6 addresses

struct ifreq can't be used for IPv6 as the ifr_addr member is not large
enough.  Actually, configuring an IPv6 address via an AF_INET socket won't
work anyway.  And unfortunately, it's not standardized how IPv6 addresses
are installed, so we have to do this quite differently on Linux and on BSD.
However, we already use SIOCAIFADDR for IPv4 on newer FreeBSD systems,
which wasn't the case when this patch was originally created in 2014.

Merge branch 'tkm-multi-ke'

Adds support for multiple key exchanges to charon-tkm.

testing: Add TKM scenarios with multiple key exchanges

charon-tkm: Add tests with multiple key exchanges

charon-tkm: Adapt to interface changes to support multiple key exchanges

Also includes ESA flags.

Co-authored-by: Tobias Brunner <tobias@strongswan.org>

Merge branch 'vici-reload-tasks'

Consider queued child-creating tasks when reloading configs that have
`start` as start action.  Besides some possible corner cases it fixes
handling IKE_SAs that are current getting established and have no
established CHILD_SAs yet.

Closes strongswan/strongswan#2418

vici-config: Consider queued tasks when terminating IKE/CHILD_SAs

This is particularly important for IKE_SAs that are not yet established,
which would get terminated as they have no established CHILD_SAs yet.

Fixes: 72f9a21b22e9 ("Merge branch 'vici-reload-actions'")

quick-mode: Allow "aborting" task if it's currently active

Basically the same as the previous commit.

child-create: Allow "aborting" task if it's currently active

We can't actually abort an active exchange, but we can delete the SA
immediately after its creation.

quick-mode: Add getter for child config

child-create: Add getter for child config

checksum: Avoid compiler warning/error when building monolithic

References strongswan/strongswan#2446

github: Update AWS-LC to 1.35.0 for tests

array: Don't use realloc() with zero size in array_compress()

The behavior of realloc(3) with zero size was apparently implementation
defined.  While glibc documents the behavior as equivalent to free(3),
that might not apply to other C libraries.  With C17, this behavior has
been deprecated, and with C23, the behavior is now undefined.  It's also
why valgrind warns about this use.

Hence, when array_compress() would call realloc() with a zero size, we
now call free() explicitly and set the pointer to NULL.

Signed-off-by: Thomas Egerer <thomas.egerer@secunet.com>

cert-enroll: Fixed typo

This typo prevented the cert-enroll script from successfully
signalling a detected change of the sub CA certificate.

github: Use more verbose output for apt-get calls

With -qq we don't see any detailed error messages.

ike-cfg: Only consider port information if the IP matches

Otherwise, all configs would be considered to even some degree as the
ports usually match.

Closes strongswan/strongswan#2441

Fixes: 9228a5109b8d ("ike-cfg: Consider port information in IKE config match")

key-exchange: Pass prefix array directly, not a pointer to it

child-create: Remove redundant variable assignment

Merge branch 'multi-ke'

This adds support for multiple key exchanges (no KEMs yet as none are
standardized so far).  Work on this started over five years ago and went
through multiple iterations (first our own protocol, then standardized
extensions in different variations).

IKE_INTERMEDIATE exchanges, defined RFC 9242, are used to transport
multiple KE payloads between the IKE_SA_INIT and IKE_AUTH exchanges.
To rekey IKE and CHILD_SAs with multiple key exchanges, IKE_FOLLOWUP_KE
exchanges are used, as defined in RFC 9370.

In proposals, additional key exchange methods are configured via `keX_`
prefix, where X is a number between 1 and 7.  For example, `ke1_ecp256`
adds ECP_256 as additional KE method.  As with regular key exchanges,
peers have to agree on a method for each round unless no algorithms are
defined by both or `keX_none` is configured to make that round explicitly
optional.

Also changed is how rekey collisions are handled, which makes CHILD_SAs
properly trackable via child_rekey() hook.

testing: Add ikev2/rw-cert-multi-ke scenario

unit-tests: Ensure listeners can track SAs via ike/child_updown/rekey()

Previously, it could happen that child_rekey() was triggered twice for
the same "old" SA.  For listeners that would mean they'd loose track as
they'd be tracking a new SA that wasn't relevant anymore and for which
no updown event would ever get triggered (it was the redundant SA in a
collision).  This new assert ensures that events are triggered in a
predictable way and listeners can track SAs properly.

ikev2: Make CHILD_SAs properly trackable during rekey collisions

As the winner of a rekey collision, we previously always triggered the
child_rekey() event once when creating the redundant SA on behalf of the
peer in the passive child-rekey task and then a second time when
creating the winning SA in the active task.  However, both calls passed
the replaced CHILD_SA as "old". This made tracking CHILD_SAs impossible
because there was no transition from the redundant, "new" SA of the
first event to the "new", winning SA of the second.  Of course, when the
second event was triggered, the redundant SA might not have existed
anymore because the peer is expected to delete it, which could happen
before the CREATE_CHILD_SA response arrives at the initiator.

This refactoring ensures that the child_rekey() event is triggered in
a way that makes the CHILD_SAs trackable in all reasonable (and even
some unreasonable) scenarios.  The event is generally only triggered
once after installing the outbound SA for the new/winning CHILD_SA.
This can be when processing the CREATE_CHILD_SA in the active child-rekey
task, or when processing the DELETE for the old SA in a passive
child-delete task.  There are some cases where the event is still
triggered twice, but it is now ensured that listeners can properly
transition to the winning SA.

Some corner cases are now also handled correctly, e.g. if a responder's
DELETE for the new CHILD_SA arrives before its CREATE_CHILD_SA response
that actually creates it on the initiator.  Also handled properly are
responders of rekeyings that incorrectly send a DELETE for the old
CHILD_SA (previously this caused both, the new and the old SA, to get
deleted).

ike-init: Indicate support for IKE_INTERMEDIATE

proposal: Prevent selection of duplicate key exchange methods

All additional (and the initial) key exchanges must use a different method.

proposal: Add helper to check if additional key exchanges are contained

proposal: Accept NONE for additional key exchanges also for IKE proposals

unit-tests: Add tests for CHILD_SA rekeying with multiple key exchanges

unit-tests: Add tests for CHILD_SA creation with multiple key exchanges

unit-tests: Add tests for IKE_SA rekeying with multiple key exchanges

unit-tests: Support multiple proposals in exchange tests

vici: Increase maximum proposal length

vici: List additional key exchanges

Co-authored-by: Tobias Brunner <tobias@strongswan.org>

proposal: Add prefix for additional key exchanges when logging proposals

key-exchange: Add dynamic parser for additional key exchange methods

child-rekey: Support CHILD_SA rekeying with multiple key exchanges

unit-tests: Fix CHILD_SA rekey tests after INVALID_KE_PAYLOAD handling changed

The responder doesn't create a CHILD_SA and allocate an SPI anymore
when responding with an INVALID_KE_PAYLOAD notify.

child-create: Add support for multiple key exchanges

It also changes that payloads are built before installing the CHILD_SA
on the responder, that is, the KE payload is generated before keys are
derived, so that key_exchange_t::get_public_key() is called before
get_shared_secret(), or its internal equivalent, which could be relevant
for KE implementations that want to ensure that the key can't be
accessed again after the key derivation.

ike-rekey: Support IKE_SA rekeying with multiple key exchanges

ike-init: Add support for multiple key exchanges

Initially, this is handled with a key derivation for each
IKE_INTERMEDIATE exchange.  When rekeying, the keys are derived only
once all IKE_FOLLOWUP_KE exchanges are done.

bus: Support multiple key exchanges in ike/child_keys() events

keymat_v2: Support key derivation with multiple key exchanges

key-exchange: Add helper to concatenate shared secrets of several key exchanges

keymat_v2: Proper cleanup if derive_ike_keys() is called multiple times

ike-auth: Calculate and collect IntAuth for IKE_INTERMEDIATE exchanges

The message ID of the first IKE_AUTH exchange is a safe-guard against
potential truncation attacks if IKE_INTERMEDIATE exchanges are not used
for multiple key exchanges but some other future use where the number of
exchanges might not depend on the selected proposal.

pubkey-authenticator: Handle IntAuth data

psk-authenticator: Handle IntAuth data

eap-authenticator: Handle IntAuth data

keymat_v2: Include optional IntAuth in signed octets

authenticator: Add optional method to set IntAuth data

message: Store original encrypted payload when generating fragments

If we don't do this, get_plain() will fail after generating the message
fragmented unless it was generated non-fragmented previously.

message: Add method to generate data to authenticate IKE_INTERMEDIATE exchanges

generator: Make pointer to length field optional

Only useful if we generate an IKE header.

keymat_v2: Add method to calculate IntAuth for IKE_INTERMEDIATE exchanges

message: Add rules for IKE_FOLLOWUP_KE exchanges

ike-header: Add IKE_FOLLOWUP_KE exchange type

notify-payload: Add notify types for multiple key exchanges

ikev2: Reject IKE_INTERMEDIATE requests after IKE_AUTH

We currently only support these exchanges for additional key exchanges,
so once we have the final keys derived and the ike-init task is removed,
we don't expect any more of them.

message: Add rules for IKE_INTERMEDIATE exchanges

ike-header: Add IKE_INTERMEDIATE exchange type

notify-payload: Add notify type for IKE_INTERMEDIATE exchange

proposal-substructure: Encode additional key exchange methods

proposal: Make all key exchange transforms optional in ESP/AH proposals

proposal: Skip all KE transforms if PROPOSAL_SKIP_KE given

transform: Add helper to check if transform type negotiates key exchange