Version bump to 6.0.0rc1

testing: Added ML-KEM test cases

testing: Fixed typos

github: Install pkgconf instead of pkg-config on macOS

The package was apparently renamed/transitioned, but that doesn't really
work properly (causes a symlink issue when installing via pkg-config).

ml: Fix compilation with some compilers

Some (older) compilers complain that "variable-sized object may not be
initialized".

fuzz: Fix build after changing default plugins

traffic-selector: Add workaround for possibly bogus warning with GCC 14

When compiling with -O3 with GCC 14, we get the following warning/error:

/usr/include/x86_64-linux-gnu/bits/string_fortified.h:29:10: error: '__builtin_memcpy' offset [0, 3] is out of the bounds [0, 0] [-Werror=array-bounds=]
   29 |   return __builtin___memcpy_chk (__dest, __src, __len,
      |          ^~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
   30 |                                  __glibc_objsize0 (__dest));
      |                                  ~~~~~~~~~~~~~~~~~~~~~~~~~~

Which seems completely bogus as that array has a fixed size of 16 and
some weird workarounds remove the warning (e.g. adding an assignment
to `subset->netbits` before the `memcpy()`).  This is also the only
place GCC complains about and we use `memcpy()` all over the place
in this file to set those addresses.

Closes strongswan/strongswan#2509

NEWS: Add some news for 6.0.0

libcharon: Enable make_before_break option by default

Merge commit 'default-plugins'

Changes the default crypto plugins from the built-in ones to openssl.

Define new default plugins

testing: Migrated wolfssl scenarios

testing: Migrated tnc scenarios to new default plugins

testing: Migrated tkm scenarios to new default plugins

testing: Migrated sql scenarios to new default plugins

testing: Migrated route-based scenarios to new default plugins

testing: Migrated pfkey scenarios to new default plugins

testing: Migrated p2pnat scenarios to new default plugins

testing: Migrated libipsec scenarios to new default plugins

testing: Migrated ha scenarios to new default plugins

testing: Migrated gcrypt-ikev2 scenarios

testing: Migrated botan scenarios

testing: Migrated af-alg scenarios

testing: Migrated ike scenarios to new default plugins

testing: Migrated ikev1-stroke to new default plugins

testing: Migrated ikev2-stroke scenarios to new default plugins

testing: Migrated ipv6-stroke scenarios to new default plugins

testing: Migrated ipv6 scenarios to new default plugins

testing: Distributed openssl-ikev1 scenarios

testing: Migrated ikev1-algs scenarios to new default plugins

testing: Migrated ikev1 scenarios to new default plugins

testing: Distributed openssl-ikev2 scenarios

testing: Migrated ikev2-algs scenarios to new default plugins

testing: Migrated ikev2 scenarios to new default plugins

ml: Store decoded public/private key and matrix A on initiator

While this does require quite a bit of memory, on initiators there are
usually fewer concurrent SAs getting created so this should be less of
an issue than on a gateway that handles lots of SAs as responder.

The speed up is about 30% on the initiator during the decapsulation,
while the key generation does take a bit more time (about 3%).

ml: Add software implementation of ML-KEM

This follows FIPS 203 relatively closely but takes some ideas from the
reference implementation.  In particular, how to avoid potential
side-channels via direct C division/modulo operations.  However, it just
uses Barrett reduction (no Montgomery reduction) and no negative
coefficients to avoid number format conversions and keep the
implementation clearer.

memory: Add helper function to conditionally copy data in constant time

mgf1: Support of RSA PSS with SHA3 hash

ntru: Remove legacy NTRU key exchange method

newhope: Remove legacy Newhope key exchange method

bliss: Remove legacy BLISS signatures

openssl: Add ML-KEM support with AWS-LC

This registers support for the ML_KEM_{512,768,1024} key exchange
algorithms in the `openssl` plugin when built using AWS-LC as the
libcrypto. To do this, we introduce the `openssl_kem` source files
which implement the key exchange algorithm using the Key Encapsulation
Mechanism (KEM) API. Future KEM algorithms can be implemented
generically using this interface by substituting the appropriate NIDs.

It also supports both seeded (via DRBG) and unseeded modes depending
on the user's requirements for KATs or entropy sources.

It should be noted that this does not add support for KEM algorithms
within upstream OpenSSL and is API incompatible. Future work will need
to condition out the incompatibilities as-appropriate. However, the
high-level logic should be the same for all KEMs and KEM APIs.

References strongswan/strongswan#2228
Closes strongswan/strongswan#2490

botan: Add support for ML-KEM

Use Botan 3.6.1 for tests

With 3.6.0 support for ML-KEM was added.

botan: Add support for AES in ECB mode to support DRBG_CTR_AES

This DRBG is used to test ML-KEM.

botan: Fix include issue that prevented parsing public keys

Botan stopped including build.h in ffi.h with 3.4.0, so we have to
add this here explicitly to check for the enabled key types.

wolfssl: Add support for ML-KEM

Use wolfSSL 5.7.4 for tests

This adds support for ML-KEM etc.

test-vectors: Add ML-KEM test vectors

The vectors are generated using the `kat_kem` utility of the liboqs
project and then converted using the `nist_kem_kat` script.

scripts: Add script formatting NIST KEM KAT records into ke_test vectors

dh-speed: Use method call order compatible with KEMs

Also prints the speed of the derivation (or decapsulation) for the
initiator.

key-exchange: Document how the interface is used with KEMs

key-exchange: Joint ke_test_vector format for DH and KEM

Both Diffie-Hellman (DH) and Key Encapsulation Mechanism (KEM) based
key exchange methods use a common ke_test_vector format. The
set_seed() function is used to provide deterministic private key
material for the crypto tests.

key-exchange: Add identifiers for ML-KEM algorithms

swanctl: Document soft lifetime defaults if hard lifetimes are configured

mem-pool: Fix issue with make-before-break reauth and multiple IKE_SAs

If uniqueness checks are disabled and multiple IKE_SAs with the same
identities are created, an offline lease could have gotten reassigned
during a make-before-break reauthentication if such an SA was closed
earlier.  Checking for an online lease for the same client (IP/port)
first ensures that the correct IP is reassigned during the
reauthentication.

References strongswan/strongswan#2472

file-logger: Take options as a struct and combine ms/us suffix options

References strongswan/strongswan#2475

file-logger: Add support to log timestamp in microseconds

Closes strongswan/strongswan#2475

file-logger: Add option to log messages as JSON objects

Closes strongswan/strongswan#2222

socket-default: Always open IPv4 sockets before IPv6 sockets

Since we now open sockets for each address family independently (via
IPV6_V6ONLY) and without SO_REUSEADDR, it could happen with the previous
order on Linux that opening the port that was allocated as ephemeral
port for IPv6 was already used by a different process for IPv4.

Most IPv6 sockets on ephemeral ports will not have IPV6_V6ONLY set, so
the same port is also reserved for IPv4.  Therefore, it's save to assume
that any ephemeral port we first get for IPv4 is free for IPv6.

References strongswan/strongswan#2494

openssl: Add support for new API to squeeze data from XOFs

This new API doesn't require a temporary buffer and generating a lot
of already consumed output.

leak-detective: Whitelist OpenSSL 3.2 function

certificate_printer: Fix spacing for additional CRL/OCSP URIs

Multiple occurences of CRL and OCSP URIs where not indented correctly.

nm: Update build files and switch from intltool to gettext

gnome-common has been deprecated, so has intltool.  This follows GNOME's
recommended migration paths.

Revert "conf: Add support for escaping dots in section/option names"

This reverts commit 84a3077e780e7b25bf536da42a583bdc18448362.

Support for dots in names of settings was removed quite a while ago and
now the \. sequence caused `SyntaxWarning: invalid escape sequence`.

wolfssl: Don't undef PARSE_ERROR as headers included later might refer to it

vici-config: Same order for default ESP proposals if unset or set to "default"

The order was different when not setting `esp_proposals` or explicitly
configuring `default`.

Fixes: 33412158f58c ("ike: Send AEAD ESP default proposal first")

generator: Make debug log for payload substructure rules more clear

Similar to the previous commit.  Instead of

  generating rule 10 (1258)

followed by (or not if the list is empty)

  generating payload of type PROPOSAL_SUBSTRUCTURE

we now get

  generating rule 10 LIST of PROPOSAL_SUBSTRUCTURE

in the debug log.

parser: Make debug log for payload substructure rules more clear

Instead of this

  parsing rule 10 (1258)

we now see this

  parsing rule 10 LIST of PROPOSAL_SUBSTRUCTURE

in the debug log. Particularly useful if the list is empty as there won't
be a message like this following it:

  x bytes left, parsing recursively PROPOSAL_SUBSTRUCTURE

Merge branch 'tun-device-ipv6'

Adds support for IPv6 addresses on TUN devices, in particular, to support
virtual IPv6 addresses on FreeBSD/macOS.

Closes strongswan/strongswan#2465

kernel-pfroute: Route via interface if we don't have a next hop

Compared to RTA_IFP, the format is different when passing an interface
as RTA_GATEWAY, it requires the interface's address and not its name.

tun-device: Fix handling of IPv6 addresses

struct ifreq can't be used for IPv6 as the ifr_addr member is not large
enough.  Actually, configuring an IPv6 address via an AF_INET socket won't
work anyway.  And unfortunately, it's not standardized how IPv6 addresses
are installed, so we have to do this quite differently on Linux and on BSD.
However, we already use SIOCAIFADDR for IPv4 on newer FreeBSD systems,
which wasn't the case when this patch was originally created in 2014.

Merge branch 'tkm-multi-ke'

Adds support for multiple key exchanges to charon-tkm.

testing: Add TKM scenarios with multiple key exchanges

charon-tkm: Add tests with multiple key exchanges

charon-tkm: Adapt to interface changes to support multiple key exchanges

Also includes ESA flags.

Co-authored-by: Tobias Brunner <tobias@strongswan.org>

Merge branch 'vici-reload-tasks'

Consider queued child-creating tasks when reloading configs that have
`start` as start action.  Besides some possible corner cases it fixes
handling IKE_SAs that are current getting established and have no
established CHILD_SAs yet.

Closes strongswan/strongswan#2418

vici-config: Consider queued tasks when terminating IKE/CHILD_SAs

This is particularly important for IKE_SAs that are not yet established,
which would get terminated as they have no established CHILD_SAs yet.

Fixes: 72f9a21b22e9 ("Merge branch 'vici-reload-actions'")

quick-mode: Allow "aborting" task if it's currently active

Basically the same as the previous commit.

child-create: Allow "aborting" task if it's currently active

We can't actually abort an active exchange, but we can delete the SA
immediately after its creation.

quick-mode: Add getter for child config

child-create: Add getter for child config

checksum: Avoid compiler warning/error when building monolithic

References strongswan/strongswan#2446

github: Update AWS-LC to 1.35.0 for tests

array: Don't use realloc() with zero size in array_compress()

The behavior of realloc(3) with zero size was apparently implementation
defined.  While glibc documents the behavior as equivalent to free(3),
that might not apply to other C libraries.  With C17, this behavior has
been deprecated, and with C23, the behavior is now undefined.  It's also
why valgrind warns about this use.

Hence, when array_compress() would call realloc() with a zero size, we
now call free() explicitly and set the pointer to NULL.

Signed-off-by: Thomas Egerer <thomas.egerer@secunet.com>

cert-enroll: Fixed typo

This typo prevented the cert-enroll script from successfully
signalling a detected change of the sub CA certificate.

github: Use more verbose output for apt-get calls

With -qq we don't see any detailed error messages.

ike-cfg: Only consider port information if the IP matches

Otherwise, all configs would be considered to even some degree as the
ports usually match.

Closes strongswan/strongswan#2441

Fixes: 9228a5109b8d ("ike-cfg: Consider port information in IKE config match")

key-exchange: Pass prefix array directly, not a pointer to it

child-create: Remove redundant variable assignment

Merge branch 'multi-ke'

This adds support for multiple key exchanges (no KEMs yet as none are
standardized so far).  Work on this started over five years ago and went
through multiple iterations (first our own protocol, then standardized
extensions in different variations).

IKE_INTERMEDIATE exchanges, defined RFC 9242, are used to transport
multiple KE payloads between the IKE_SA_INIT and IKE_AUTH exchanges.
To rekey IKE and CHILD_SAs with multiple key exchanges, IKE_FOLLOWUP_KE
exchanges are used, as defined in RFC 9370.

In proposals, additional key exchange methods are configured via `keX_`
prefix, where X is a number between 1 and 7.  For example, `ke1_ecp256`
adds ECP_256 as additional KE method.  As with regular key exchanges,
peers have to agree on a method for each round unless no algorithms are
defined by both or `keX_none` is configured to make that round explicitly
optional.

Also changed is how rekey collisions are handled, which makes CHILD_SAs
properly trackable via child_rekey() hook.

testing: Add ikev2/rw-cert-multi-ke scenario

unit-tests: Ensure listeners can track SAs via ike/child_updown/rekey()

Previously, it could happen that child_rekey() was triggered twice for
the same "old" SA.  For listeners that would mean they'd loose track as
they'd be tracking a new SA that wasn't relevant anymore and for which
no updown event would ever get triggered (it was the redundant SA in a
collision).  This new assert ensures that events are triggered in a
predictable way and listeners can track SAs properly.

ikev2: Make CHILD_SAs properly trackable during rekey collisions

As the winner of a rekey collision, we previously always triggered the
child_rekey() event once when creating the redundant SA on behalf of the
peer in the passive child-rekey task and then a second time when
creating the winning SA in the active task.  However, both calls passed
the replaced CHILD_SA as "old". This made tracking CHILD_SAs impossible
because there was no transition from the redundant, "new" SA of the
first event to the "new", winning SA of the second.  Of course, when the
second event was triggered, the redundant SA might not have existed
anymore because the peer is expected to delete it, which could happen
before the CREATE_CHILD_SA response arrives at the initiator.

This refactoring ensures that the child_rekey() event is triggered in
a way that makes the CHILD_SAs trackable in all reasonable (and even
some unreasonable) scenarios.  The event is generally only triggered
once after installing the outbound SA for the new/winning CHILD_SA.
This can be when processing the CREATE_CHILD_SA in the active child-rekey
task, or when processing the DELETE for the old SA in a passive
child-delete task.  There are some cases where the event is still
triggered twice, but it is now ensured that listeners can properly
transition to the winning SA.

Some corner cases are now also handled correctly, e.g. if a responder's
DELETE for the new CHILD_SA arrives before its CREATE_CHILD_SA response
that actually creates it on the initiator.  Also handled properly are
responders of rekeyings that incorrectly send a DELETE for the old
CHILD_SA (previously this caused both, the new and the old SA, to get
deleted).

ike-init: Indicate support for IKE_INTERMEDIATE

proposal: Prevent selection of duplicate key exchange methods

All additional (and the initial) key exchanges must use a different method.

proposal: Add helper to check if additional key exchanges are contained

proposal: Accept NONE for additional key exchanges also for IKE proposals

unit-tests: Add tests for CHILD_SA rekeying with multiple key exchanges

unit-tests: Add tests for CHILD_SA creation with multiple key exchanges