child-create: Add support for optimized rekeying

ikev2: Use REKEY_SA as sole trigger for CHILD_SA rekeying

There won't be any TS payloads when using optimized rekeying.

child-create: Disable optimized rekeying for CHILD_SA created during IKE_AUTH

ha: Enable optimized rekeying for CHILD_SAs with synced KE method

This avoids having to explicitly sync if optimized rekeying can be used
for a CHILD_SA i.e. whether it was created with IKE_AUTH or with a
separate CREATE_CHILD_SA exchange (from scratch or rekeyed).  If a key
exchange method was synced, we definitely know the latter is the case.

child-sa: Add flag to indicate if optimized rekeying can be used

The optimized rekeying can not be used for the CHILD_SA that's negotiated
with IKE_AUTH.  Because the key exchange methods are stripped from the
proposals exchanged there, we don't know what key exchange method (if
any) would get selected if the SA was rekeyed regularly or created with
a separate CREATE_CHILD_SA exchange.

wip: ike-init: Add support for optimized rekeying

wip: should we handle the case of a responder returning an SA payload
instead of an OPTIMIZED_REKEY notify as error (or just accept it if we
get a valid proposal from it)?

wip: ike-auth: Negotiate support for optimized rekeying

wip: draft/rfc ref, this technically breaks interop until we add support
in tasks, however, we require this so we can add test cases with
optimized rekeying with those commits

wip: ike-sa: Add extension that indicates support for optimized rekeying

wip: draft/rfc ref

message: Update rules for optimized rekeying

The SA payload is optional, the new notify should be at the beginning
for easy access.

wip: notify-payload: Add notify types for optimized rekeying

wip: identifiers are still TBD

notify-payload: Add methods to simplify encoding and retrieving IKE SPIs

The get_spi_data() method is currently not used, so that has been
simplified so it can be used for any protocol type and any SPI length.

wip

Version bump to 6.0.0beta3

testing: Removed dynamically generated credentials

testing: ECDH default group changed from CURVE_25519 to ECP_256

libcharon: Enable make_before_break option by default

wolfssl: RSA-PSS with SHA3 is not supported by wolfSSL

mgf1: Support of RSA PSS with SHA3 hash

rsa_signatures: Enable rsa_pss by default

testing: Moving certificates to correct test cases

wip: fuzz: Fix build after changing default plugins

Define new default plugins

testing: Migrated wolfssl scenarios

testing: Migrated tnc scenarios to new default plugins

testing: Migrated tkm scenarios to new default plugins

testing: Migrated sql scenarios to new default plugins

testing: Migrated route-based scenarios to new default plugins

testing: Migrated pfkey scenarios to new default plugins

testing: Migrated p2pnat scenarios to new default plugins

testing: Migrated libipsec scenarios to new default plugins

testing: Migrated ha scenarios to new default plugins

testing: Migrated gcrypt-ikev2 scenarios

testing: Migrated botan scenarios

testing: Migrated af-alg scenarios

testing: Migrated ike scenarios to new default plugins

testing: Migrated ikev1-stroke to new default plugins

testing: Migrated ikev2-stroke scenarios to new default plugins

testing: Migrated ipv6-stroke scenarios to new default plugins

testing: Migrated ipv6 scenarios to new default plugins

testing: Distributed openssl-ikev1 scenarios

testing: Migrated ikev1-algs scenarios to new default plugins

testing: Migrated ikev1 scenarios to new default plugins

testing: Distributed openssl-ikev2 scenarios

testing: Migrated ikev2-algs scenarios to new default plugins

testing: Migrated ikev2 scenarios to new default plugins

key_exchange_t: Removed broken SIKE KE algorithms

oqs: Included version 4.1 of BIKE Round 3 (L1 and L3)

Requirement: liboqs-0.7.0

oqs: Updated Falcon sig tests to liboqs-0.5.0

oqs: Upgraded Dilithium to NIST Round 3.1

test-vectors: No changes for Saber KE NIST Round 3 tests

oqs: Support for HQC key exchange algorithm

test-vectors: Upgraded Kyber KE tests to NIST Round 3

test-vectors: Upgraded NTRU KE tests to NIST Round 3

scripts: Fixed NIST KAT scripts

oqs: Support of Falcon signature algorithms

oqs: Complete post-quantum signature support

ntru: Removed legacy NTRU key exchange method

newhope: Removed legacy Newhope key exchange method

bliss: Removed legacy BLISS signatures

oqs: Added signature tests

scripts: Added nist_sig_kat script

oqs: Postponed freeing of kem object

oqs: Support of Dilithium signature algorithms

oqs: Update to NIST round 3 KEM candidates

oqs: Removed BIKE round 1 version including test vectors

testing: Added ikev2/rw-cert-qske scenario

frodo: FrodoKEM KE method

oqs: Added post-quantum KEM methods based on liboqs

nist_kem_kat: Added script formating NIST KEM KAT records into ke_test vectors

test-vectors: Added NIST KEM test vectors

key-exchange: Joint ke_test_vector format for DH and KEM

Both Diffie-Hellman (DH) and Key Encapsulation Mechanism (KEM) based
key exchange methods use a common ke_test_vector format. The
set_seed() function is used to provide deterministic private key
material for the crypto tests.

key-exchange: Added NIST round 2 submission KEM candidates

unit-tests: Ensure listeners can track SAs via ike/child_updown/rekey()

Previously, it could happen that child_rekey() was triggered twice for
the same "old" SA.  For listeners that would mean they'd loose track as
they'd be tracking a new SA that wasn't relevant anymore and for which
no updown event would ever get triggered (it was the redundant SA in a
collision).  This new assert ensures that events are triggered in a
predictable way and listeners can track SAs properly.

ikev2: Make CHILD_SAs properly trackable during rekey collisions

As the winner of a rekey collision, we previously always triggered the
child_rekey() event once when creating the redundant SA on behalf of the
peer in the passive child-rekey task and then a second time when
creating the winning SA in the active task.  However, both calls passed
the replaced CHILD_SA as "old". This made tracking CHILD_SAs impossible
because there was no transition from the redundant, "new" SA of the
first event to the "new", winning SA of the second.  Of course, when the
second event was triggered, the redundant SA might not have existed
anymore because the peer is expected to delete it, which could happen
before the CREATE_CHILD_SA response arrives at the initiator.

This refactoring ensures that the child_rekey() event is triggered in
a way that makes the CHILD_SAs trackable in all reasonable (and even
some unreasonable) scenarios.  The event is generally only triggered
once after installing the outbound SA for the new/winning CHILD_SA.
This can be when processing the CREATE_CHILD_SA in the active child-rekey
task, or when processing the DELETE for the old SA in a passive
child-delete task.  There are some cases where the event is still
triggered twice, but it is now ensured that listeners can properly
transition to the winning SA.

Some corner cases are now also handled correctly, e.g. if a responder's
DELETE for the new CHILD_SA arrives before its CREATE_CHILD_SA response
that actually creates it on the initiator.  Also handled properly are
responders of rekeyings that incorrectly send a DELETE for the old
CHILD_SA (previously this caused both, the new and the old SA, to get
deleted).

wip: ike-init: Indicate support for IKE_INTERMEDIATE

wip: We should also add some checks if the notify was not received.

proposal: Prevent selection of duplicate key exchange methods

All additional (and the initial) key exchanges must use a different method.

proposal: Add helper to check if additional key exchanges are contained

proposal: Accept NONE for additional key exchanges also for IKE proposals

unit-tests: Add tests for CHILD_SA rekeying with multiple key exchanges

unit-tests: Add tests for CHILD_SA creation with multiple key exchanges

unit-tests: Tests for additional key exchanges

unit-tests: Support multiple proposals in exchange tests

vici: Increase maximum proposal length

vici: List additional key exchanges

Co-authored-by: Tobias Brunner <tobias@strongswan.org>

proposal: Add prefix for additional key exchanges when logging proposals

key-exchange: Add dynamic parser for additional key exchange methods

child-rekey: Support CHILD_SA rekeying with multiple key exchanges

unit-tests: Fix CHILD_SA rekey tests after INVALID_KE_PAYLOAD handling changes

The responder doesn't create a CHILD_SA and allocate an SPI anymore
when responding with an INVALID_KE_PAYLOAD notify.

child-create: Add support for multiple key exchanges

It also changes that payloads are built before installing the CHILD_SA on
the responder, that is, the KE payload is generated before keys are derived,
so that key_exchange_t::get_public_key() is called before get_shared_secret(),
or it's internal equivalent, which could be relevant for KE implementations
that want to ensure that the key can't be used again after the key
derivation.

ike-rekey: Support IKE_SA rekeying with multiple key exchanges

ike-init: Add support for multiple key exchanges

Initially, this is handled with a key derivation for each
IKE_INTERMEDIATE exchange.  When rekeying the keys are derived only when
all IKE_FOLLOWUP_KE exchanges are done.

bus: Support multiple key exchanges in ike/child_keys() events

keymat_v2: Support key derivation with multiple key exchanges

key-exchange: Add helper to concatenate shared secrets of several key exchanges

keymat_v2: Proper cleanup if derive_ike_keys() is called multiple times

ike-auth: Calculate and collect IntAuth for IKE_INTERMEDIATE exchanges

The message ID of the first IKE_AUTH exchange is a safe-guard against
potential truncation attacks if IKE_INTERMEDIATE exchanges are not used
for multiple key exchanges but some other future use where the number of
exchanges might not depend on the selected proposal.

pubkey-authenticator: Handle IntAuth data

psk-authenticator: Handle IntAuth data

eap-authenticator: Handle IntAuth data

keymat_v2: Include optional IntAuth in signed octets