auth tests tkey.py: explicitly use python3

Merge pull request #12453 from Habbie/lockhh-stdexcept

lock.hh: include <stdexcept>

lock.hh: include <stdexcept>

Merge pull request #12451 from rgacogne/ci-init-pattern

CI: Initialize automatic variables to a pattern in our CI

Merge pull request #12395 from zjs604381586/fixed-negcache

When the stale function is triggered, wrong data can be returned from negcache and record cache

Merge pull request #12304 from PowerDNS/dependabot/pip/pdns/keyroller/certifi-2022.12.7

build(deps): bump certifi from 2021.10.8 to 2022.12.7 in /pdns/keyroller

rec: Initialize automatic variables to a pattern in our CI

auth: Initialize automatic variables to a pattern in our CI

dnsdist: Initialize automatic variables to a pattern in our CI

Merge pull request #12427 from rgacogne/init-auto-vars

Add a new configure option to initialize automatic variables

Merge pull request #12433 from rgacogne/ci-fortify-3

Enable the highest supported level of `FORTIFY_SOURCE` in our CI tests

typoe in comment

Co-authored-by: Remi Gacogne <github@coredump.fr>

Merge pull request #12444 from omoerbeek/rec-qm-ds-fallback

rec:  Do *not* use QName Minimization for DS retrievals in QM fallback mode.

Add two test for the CNAME case and use proper named TTLs in various places

Merge pull request #11600 from rgacogne/auth-speedup-rsa-ecdsa-signatures-cleaner

auth: Speed up ECDSA and RSA signatures

Merge pull request #12447 from rgacogne/ddist-clang-warnings

dnsdist: Fix a couple warnings reported by clang++

Merge pull request #12446 from omoerbeek/rec-stack-protector

Rec: stack protector for mthread stacks

1024 is not enough with ASN + UBSAN, so go for 1536

dnsdist: Fix a couple warnings reported by clang++

Allow for some headroom, needed with TSAN

Merge pull request #12445 from omoerbeek/rec-2023-01-followup

rec: Add a bit more explanation to advisory

Test case for a record becoming available from an auth while being served stale (negatively) by rec.

Merge pull request #12421 from rgacogne/ddist-skip-invalid-ocsp

dnsdist: Skip invalid OCSP files after issuing a warning

missing word in comment

Co-authored-by: Remi Gacogne <github@coredump.fr>

typo in comment

Co-authored-by: Remi Gacogne <github@coredump.fr>

typo

Co-authored-by: Matt Nordhoff <mnordhoff@mattnordhoff.com>

Add a bit more explanation to advisory.

Also, attribution line was lost.

Be a bit more conservative, only clean specific (neg)cache entries if needed
*and* server-stale is active

ASAN is greedy, give it bigger stacks

Do *not* use QName Minimization for DS retrievals in QM fallback mode.

Merge pull request #12431 from fredmorcos/gh-actions-docs

Migration of CircleCI documentation generation and upload to Github Actions

Merge pull request #12443 from omoerbeek/rec-prep-4.8.1

rec: Prep for rec-4.8.1

Prep for rec-4.8.1

Merge pull request #12439 from rgacogne/fix-dnsreplay-man

dnsreplay: Fix formatting in the man page

libssl: Use decltype(&SSL_CTX_free) as suggested by Fred

dnsdist: Skip invalid OCSP files after issuing a warning

Contrary to certificates and keys, OCSP files are never required to
provide a working DoT or DoH service, so it's better to start even
if would not load all, or any, OCSP files.

Merge pull request #12435 from rgacogne/ddist-failure-server-ctx

dnsdist: Gracefully handle a failure to create a TLS server context

dnsreplay: Fix formatting in the man page

Remove unused CircleCI documentation generator and upload workflows

Github Actions workflow to generate and upload documentation

Fix heading of Documentation section under Compiling the Recursor

docs/Makefiles: Whitespace cleanup

tasks.py: Missing commas

Gitignore: Add .venv

dnsdist: Use pdns::OpenSSL::error and decltype()

As suggested by Fred (thanks!).

Add a test to check that we can use the specified stack size

Actual test of the guard pages can be done, but is hard to fit in the test framework.
To test manually decrease the headroom const to 0

dnsdist: Gracefully handle a failure to create a TLS server context

Merge pull request #12425 from omoerbeek/rec-forward-nord

rec: Change the way RD=0 forwarded queries are handled.

Merge pull request #12428 from rgacogne/moved-credentials

credentials: Explicitly clear credentials once they have been moved

Enable the highest supported level of FORTIFY_SOURCE in our CI tests

credentials: Explicitly clear credentials once they have been moved

Add a new configure option to initialize automatic variables

The new option, `--enable-auto-var-init`, when enabled, sets the
`-ftrivial-auto-var-init` flag when supported by the compiler
(GCC 12+, clang 16+) to either:
- `zero`: zero-initializes all automatic variables, and is enabled
  with `--enable-auto-var-init=yes` or `--enable-auto-var-init=zero`.
  This can be used as a hardening measure in production, reducing
  information leakage issues.
- `pattern`: initialize all automatic variables to a pattern that
  is likely to be detected, like 0xAA, and is enabled via
  `--enable-auto-var-init=pattern`. This is useful in tests,
  especially when the cost of sanitizers is too high.

I have not done any performance testing, but the zero option is
generally considered to have a less than 5% performance cost.

Merge pull request #12415 from rgacogne/ddist-improv

dnsdist: Small improvements

Change the way RD=0 forwarded queries are handled.

Since forever, there has been special case code for forwarded queries
in the RD=0 case.  This special case code does a hardcoded RD=0
query to the specified forwarder.  This code has two consequences:

1. Even if the forwarder is marked recursive it gets a RD=0 query
2. The cache is not consulted at all

The corresponding unit tests actually test this behaviour, but after
historic digging with help from @rgacogne it turns out the the unit
test do not reflect the desired functionality, but the current state
of affairs to help with a refactoring PR.  That is good, since
refactoring should not change functionality.

But now the time has come to change the code to do the desired thing:

1. If an RD=0 query is received, do a cache only-lookup in all cases.
2. Never send a RD=0 query to a recursive forwarder

I already did a similar thing when I wrote the QName Minimization
code, introducing a conditional that only gets set for that case,
to avoid changing unrelated (to QM) functionality.

Merge pull request #12381 from rgacogne/fortify-3

Enable FORTIFY_SOURCE=3 when supported by the compiler

Merge pull request #12420 from omoerbeek/rec-README

rec: README tweaks, .md does not know :program:`...`

Merge pull request #12407 from omoerbeek/rec-ecs-chaining

rec: do not chain ecs enabled queries

Merge pull request #12419 from omoerbeek/rec-close-fd-on-fdopen-fail

rec: negcache dump code: close fd on fdopen fail

rec: README tweaks, .md does not know :program:`...`

Merge pull request #12364 from rgacogne/rec-doc-compiling

rec: In compiling docs, warn about the GH tarballs, add deps from README

Merge pull request #12396 from omoerbeek/stringerror-thread-safe

Introduce a thread-safe version of stringerror()

Close fd on fdopen fail.

Originally suggested by @rgacogne, but not included in the merge of #12374
somehow.

Merge pull request #12412 from fredmorcos/openssl3-tls-mac

OpenSSL 3.0: TLS MAC handling

Merge pull request #12416 from Habbie/variable-mirror

build-and-test-all: add functionality to quickly switch ubuntu mirrors

build-and-test-all: add functionality to quickly switch ubuntu mirrors

Merge pull request #12405 from rgacogne/ddist-frontend-responses

dnsdist: Proper accounting of response and cache hits

Merge pull request #12386 from rgacogne/single-doh-acceptor

dnsdist: Merge the 'main' and 'client' DoH threads in single acceptor mode

Merge pull request #12384 from rgacogne/ddist-cap-ttl

dnsdist: Add the ability to cap the TTL of records after insertion into the cache

dnsdist: Add more unit tests for the packet overlay

m4: Fix interleaved output during `FORTIFY_SOURCE` detection

Merge pull request #12411 from fredmorcos/openssl3-ipcipher-ca6-crypto

Support OpenSSL 3.0 for ipcipher CA6 encryption/decryption

OpenSSL 3.0: TLS MAC handling

libssl: Cleanup TLS-related code

libssl: Formatting TLS-related code

dnsdist: Appease the formatting gods

Merge pull request #12403 from rgacogne/spell-allow-eaca

spell-checker: Allow EACA (from the PGP public keys in the docs)

dnsdist: Use smaller event buffers in our socket multiplexers

dnsdist: Silence a warning about an unused variable in discovery.cc

dnsdist: Remove a duplicated ';' in dnsdist-lua-actions.cc

credentials: Add more unit tests

auth: Even better interface for setKey()

auth: Better interface for setKey() by requiring the flags

auth: Compute the public key only once, when creating the private one

Note that one big drawback is that setKey() should NO LONGER be used
before the algo and flags have been set.

auth: Rename the function computing the hash of public keys

As suggested by Fred Morcos (thanks!).

auth: Speed up ECDSA and RSA signatures

For ECDSA, and likely for RSA, computing the public key is not a cheap
operation. So instead of computing it twice to get the lookup key for
our signatures cache, reuse the computed public key and only compute its
digest.
In addition, since ed* algorithms were already using the whole key instead
of a digest, place the cut off at public keys larger than 64 bytes, meaning
that only RSA ones (128+ bytes) will be hashed.
This provides an additional speedup for ECDSA keys (32 or 48 bytes) since
they no longer need to be hashed, and simplifies the signers code as the
hashing can be moved to the key cache now that it only depends on they key
size.
For reference the size of a SHA-1 digest is 20 bytes.

In my tests this reduces by 30% the cost of calling addRRSigs() for ECDSA
signatures when the signature is already present in the cache.

OpenSSL 3.0: decryptCA6

OpenSSL 3.0: encryptCA6

spell-checker: Allow prometheus values

dnsdist: Fix a typo in the prometheus type

dnsdist: Update the prometheus sample in the documentation

It was very old and not up-to-date.

dnsdist: Only record one hit or miss per query in the cache metrics

The scope-zero feature and the DoH paths can actually do more than
one lookup per query, and until now this led to an increase of the
per-cache metric for every lookup, while the global `cache-hits`
and `cache-misses` metrics were only updated once per query.
This has led to several questions and misunderstandings, so we now
only update the per-cache metrics once per query as well.

dnsdist: Properly record cache-hits as responses

For a very long time we have not been adding cache-hits to the
responses counter, which is wrong. Let's fix it now.

Cleanup ipcipher.hh

dnsdist: Merge the 'main' and 'client' DoH threads

When we are in "single acceptor thread" mode, merge the 'main' and
'client' DoH threads into a single one. We use separate threads to
reduce the separate the handling of the HTTP/2 traffic from the DNS
handling, to reduce latency, but that does not really make sense on
small devices with a single, limited CPU core. On these we prefer
using as few threads as possible to reduce the context switches and
the memory usage.

dnsdist: Remove ttlCapTypes from the internal state

dnsdist: Use unordered sets to speed things up a bit

dnsdist: Implement the ability to cap TTLs for some record types only

dnsdist: Add MaxReturnedTTLResponseAction to cap the TTL after packet cache

Merge pull request #12383 from rgacogne/ddist-stronger-udp-path

dnsdist: Stronger guarantees against data race in the UDP path

Merge pull request #12401 from fredmorcos/openssl-3-prep

Openssl 3 prep work