Merge branch 'testing-bookworm'

Use Debian bookworm as base image for testing.

testing: Format total time in a more readable way

testing: Change memory allocation for alice and winnetou and switch to MiB

The services running on alice seem to require a bit more memory with
Debian bookworm, so increase the memory allocation.  But at the same
time reduce winnetou's allocation by the same amount as it really doesn't
require that much memory.

The unit change makes it easier to read.

testing: Hardcode /testresults mount point in winnetou's fstab

Because do-tests runs the restore-defaults script, fstab would get reset
to the default version and the mount point wouldn't be available anymore
after stopping and restarting the guests (unless the guest images were
rebuilt in between).

testing: Copy guest-specific files after default files

This allows overriding some files per guest.

testing: Use Debian 12 (bookworm)

testing: Use Debian bookworm to test TKM

testing: Update TKM dependencies to fix compilation with newer GNAT versions

testing: Add support for Debian bookworm base images

By default, rsyslog is not installed anymore to avoid storing everything
twice (since journald is the default).  If this becomes an issue, we
could delete /var/log/journal to only log via rsyslog.

testing: Use venv for strongTNC

Also updated to a newer version to fix dependency issues.

testing: Install python-daemon via Debian package

System-wide installation via pip isn't easily possible anymore on Debian
bookworm, so just use the Debian package for this (is available in old
releases as well).

libimcv: Add Debian 12 (bookworm) to database

Because libcrypto and libssl are measured, we need a new group for Debian
versions with OpenSSL 3 (I've rather added a suffix to the old group as
that could eventually get removed, although we might need a 3.1 variant
in the future - maybe we should measure some other files?).

testing: Fix vici updown script on Debian bookworm

OOM-killer is now already triggered with `import daemon`, so set the
limit before that.  Also some PEP8 fixes (including an exclusion for
the above fix as that causes imports to not be at the beginning of the
file).

testing: Whitelist all Git repositories in the root image

Without this, Git refuses to operate on the build dirs that are mounted
with weird ownership.  When running as root in the chroot, Git checks
SUDO_UID, which won't match.

testing: Create traditional RSA keys with OpenSSL 3

This is necessary because TKM can't read PKCS#8 files and in some
scenarios we don't have the pkcs8 plugin loaded that would be required
to read/decrypt the non-traditional files.

testing: Fix systemctl wrapper and adapt enabling services on winnetou

The wrapper called the command twice for any unit but "strongswan" and
it didn't return the correct exit code.  This was noticed when an
if-updown script tried to check if systemd-resolved is active and always
succeeded, which caused failing attempts to configure it.

But now that the return code is correct, trying to enable bind9 won't
fail silently anymore if the unit doesn't exist (similar on older systems
for named), so this is adapted.

testing: Remove support for Debian stretch

leak-detective: Whitelist C++'s __cxa_get_globals()

testing: Switch to MDB backend for OpenLDAP (slapd)

The BDB and HDB backends were long deprecated and have finally been
removed with OpenLDAP 2.5 that's shipped with Debian bookworm.

testing: Configure curve25519-sha256 as key exchange for SSH

With Debian bookworm, the PQC KE sntrup761x25519-sha512 is negotiated, by
default.  This increases the overhead significantly, in particular, the
size of the KE message, which wouldn't get through IPsec tunnels without
MSS clamping.

sonarcloud: Update filter rules as recommended

testing: Fix example configure options for charon-tkm Docker build

Fixes: b1ce8772367f ("charon-tkm: Use built-in plugins instead of OpenSSL")

Use wolfSSL 5.6.3 for tests

dhcp: Fix warning with newer compilers

resolve: Maintain order of DNS servers also when installing in resolv.conf

This always writes the complete set of DNS servers to make modifications
simpler.

resolve: Try to maintain the order of DNS servers if using resolvconf

Since 17fd304e60df ("resolve: Don't install individual servers via
resolvconf"), DNS servers were sorted if getting installed via resolvconf.
In some setups the order might be important (even though relying on it
isn't a good idea in general as stub resolvers are free to use all of
the servers as they please).

charon-svc: Add missing closing parenthesis in version output

Use wolfSSL 5.6.2 for tests

ECC keys can now be smaller so we can't access the private key directly
anymore.

Version bump to 5.9.11

Version bump to 5.9.11rc1

NEWS: Add news for 5.9.11

pki: Add --label options to --est* command synopsis

Also fixes some formatting in the man pages.

github: Use new cache storage properties for sonarcloud

openssl: Fix memory leak if FIPS provider isn't available

Fixed some typos, courtesy of codespell

credential-manager: Improve selection of local certificate and trust chain

The previous code was problematic if a certificate request for a known
but unrelated CA was received and the local trust chain was incomplete.
Due to the received anchor, the incomplete trust chain was dismissed and
any intermediate CA certificates were, therefore, not sent to the peer.

This new approach doesn't dismiss an incomplete trust chain, but prefers
one that can be resolved to a received anchor.  If no such chain is found,
the first one is used.

github: Use OpenSSL 3.1.1 for tests

Merge branch 'libipsec-raw-esp'

This adds support for sending/receiving ESP packets without UDP
encapsulation to libipsec and kernel-libipsec.  Only Linux is currently
supported and the feature is disabled by default.

testing: Add libipsec scenarios that exchange raw ESP packets

kernel-libipsec: Add support to send/receive raw ESP packets

This is currently only supported on Linux and with the appropriate
permissions.

Since it's experimental, it's disabled by default.

The log messages for each sent and received ESP message are logged in NET
like the ones in the socket-default plugin for UDP-encapsulated messages.

libipsec: Move restrictions regarding UDP encapsulation to users

libipsec: Instruct ESP sender whether to use UDP encapsulation

android: Use CALLBACK for libipsec-related callbacks

kernel-libipsec: Use CALLBACK for libipsec callbacks

ipsec-sa: Store whether to use UDP encapsulation on the SA

Merge branch 'libipsec-trap'

This adds support for trap policies to libipsec.

testing: Add libipsec/net2net-trap scenario

kernel-libipsec: Forward acquires from libipsec to the daemon

ipsec-processor: Trigger acquire if no matching outbound SA is found

ipsec-sa-mgr: Optionally keep track of acquires for outbound SAs

Currently just based on the reqid.  An acquire for the same reqid is
triggered at most every 10 seconds (gets ignored in trap_manager_t if
the SA is still getting established).

Entries are only cleaned up if an SA is eventually installed (similar to
the allocated SPIs).  Should that ever be a problem, we could probably
schedule a job that regularly flushes old entries.

libipsec: Add possibility to relay acquire events

Keeping it simple and just forwarding the reqid.

ike: Use a struct to store retransmission settings

The calculation of the timeout is also shared now and the total
timeout in seconds is corrected in case retransmit_base is <= 1.

This could make it easier in the future to apply different retransmission
settings to messages/exchanges.

pki: Make --dn optional for certificate renewals via --scep command

When using OpenXPKI, the subject DN in the renewal request has to match
the previous DN exactly.  However, because OpenXPKI may add a bunch of
DC/O RDNs to subjects of issued certificates, running --scep with the
same --dn that was used for the original request won't work (results in
a "Client error / malformed request badRequest" error even after enabling
`renewal_via_pkcs_req`).  This simplifies renewals as --dn can just be
omitted and extracted from the original certificate to avoid this issue.

References strongswan/strongswan#1689

Merge branch 'debug-level-build'

This fixes the build with DEBUG_LEVEL < 4, which was broken when building
from the repository since --enable-warnings was made the default.

Although, most issues only occurred with the level reduced to 0/-1.  And
while removing debug statements at compile time completely is probably
not useful in production, there might be use cases in certain benchmarking
scenarios.  Also, with the recent changes to the controller there should
only rarely be a listener registered at a higher log level so the overhead
for those higher-level DBG statements is minimal.

Anyway, reducing the log level at compile time is a documented feature and
at least DEBUG_LEVEL=3 could be useful to prevent leaking sensitive
information via logs from the outset.  So we should make sure compilation
doesn't fail.

github: Add build with DBG completely disabled

sec-updater: Fix build with DEBUG_LEVEL < 1

sw-collector: Fix build with DEBUG_LEVEL < 1

conftest: Fix build with DEBUG_LEVEL < 1

pki: Fix build with DEBUG_LEVEL < 1

selinux: Fix build with DEBUG_LEVEL < 1

radattr: Fix build with DEBUG_LEVEL < 1

systime-fix: Fix build with DEBUG_LEVEL < 1

kernel-netlink: Fix build with DEBUG_LEVEL < 2

ha: Fix build with DEBUG_LEVEL < 1

dhcp: Fix build with DEBUG_LEVEL < 1

tnc-ifmap: Fix build with DEBUG_LEVEL < 2

eap-peap: Fix build with DEBUG_LEVEL < 1

eap-ttls: Fix build with DEBUG_LEVEL < 1

eap-radius: Fix build with DEBUG_LEVEL < 1

eap-dynamic: Fix build with DEBUG_LEVEL < 2

eap-mschapv2: Fix build with DEBUG_LEVEL < 1

vici: Fix build with DEBUG_LEVEL < 2

forecast: Fix build with DEBUG_LEVEL < 2

save-keys: Fix build with DEBUG_LEVEL < 0

mode-config: Fix build with DEBUG_LEVEL < 1

keymat_v1: Fix build with DEBUG_LEVEL < 3

ike-init: Fix build with DEBUG_LEVEL < 1

ike-config: Fix build with DEBUG_LEVEL < 1

child-create: Fix build with DEBUG_LEVEL < 1

pubkey-authenticator: Fix build with DEBUG_LEVEL < 1

eap-authenticator: Fix build with DEBUG_LEVEL < 1

ike-sa: Fix build with DEBUG_LEVEL < 1

message: Fix build with DEBUG__LEVEL < 1

generator: Fix build with DEBUG_LEVEL < 2

backend-manager: Fix build with DEBUG_LEVEL < 3

libimcv: Fix build with DEBUG_LEVEL < 3

libtpmtss: Fix build with DEBUG_LEVEL < 2

tnccs-20: Fix build with DEBUG_LEVEL < 2

tnccs-11: Fix build with DEBUG_LEVEL < 2

radius-client: Fix build with DEBUG_LEVEL < 3

libtls: Fix build with DEBUG_LEVEL < 3

simaka-manager: Fix counter in log message when getting quintuplets

Also fixes the build with DEBUG_LEVEL < 1.

esp-packet: Fix build with DEBUG_LEVEL < 3

drbg: Fix build with DEBUG_LEVEL < 4

bliss: Fix build with DEBUG_LEVEL < 2

sqlite: Fix build with DEBUG_LEVEL < 2

pkcs7: Fix build with DEBUG_LEVEL < 2

constraints: Fix build with DEBUG_LEVEL < 1

revocation: Fix build with DEBUG_LEVEL < 1

x509: Fix build with DEBUG_LEVEL < 2 for structures that ignore unknown critical extensions