charon-tkm: Register tkm nonce generator

tkm_nonceg: Return nonce generated by TKM

Initialize TKM client library in tkm.c

Introduce TKM specific charon daemon (charon-tkm)

Analogous to charon-nm the charon-tkm daemon is a specialized charon
instance used in combination with the trusted key manager (TKM) written
in Ada.

The charon-tkm is basically a copy of the charon-nm code which will
register it's own TKM specific plugins.

The daemon binary is built using the gprbuild utility. This is needed
because it uses the tkm-rpc Ada library and consequently the Ada
runtime. gprbuild takes care of the complete binding and linker steps
required to properly initialize the Ada runtime.

starter: Make daemon name configurable

A daemon can be specified using the '--daemon' command line parameter. This
tells starter to invoke a daemon other than 'charon'.

Additionally the ipsec script uses the environment variable DAEMON_NAME to tell
the starter which daemon to use.

Add configure option --enable-unit-tests

This configure option enables check-based unit testing. Check is a unit
test framework for C [1].

The unit tests can be executed by issuing the following command in the
toplevel build directory:

make check

[1] - http://check.sourceforge.net/

Load arbitrary (non-host) attributes from strongswan.conf

This allows to e.g. load Cisco-specific attributes that contain FQDNs.

Don't try to mmap() empty ipsec.secret files

Delete IKE_SAs if responder does not initiate XAuth exchange within a certain time frame

testing: Rename interfaces and bridges so they are easier to identify

This simplifies capturing traffic with Wireshark on the host as each of
the guest's interfaces is clearly identified.
The three bridges were previously numbered starting from 0, this scheme
is restored here.

testing: Don't use a specific version for the QEMU machine type

The previously used pc-1.1 is not yet available on e.g. Ubuntu 12.04.
With 'pc' the most current supported version of that type is used.

NEWS about xauth-noauth added

Make sure that xauth-noauth is not used accidentally

It has to be selected explicitly with rightauth2=xauth-noauth.

Added xauth-noauth plugin

This XAuth backend does not do any authentication of client credentials
but simply sends a successful XAuth status to the client, thereby
concluding the XAuth exchange.  This can be useful to fallback to basic
RSA authentication with clients that can not be configured without XAuth
authentication.

In stroke counters, check if we have an IKE_SA before getting the name from it

Fixes a segfault when receiving an invalid IKE SPI, where we don't have an
IKE_SA for the raised alert.

Add an "esp" load-tester option to configure custom CHILD_SA ESP proposal

Algorithms are not really specific to an IKE version

But not all of them can be used with IKEv1.

Fixes #314.

Add some 5.0.3 NEWS

Merge branch 'radius-ext'

Bring some extensions to eap-radius, namely a virtual IP address provider based
on received Framed-IPs, forwarding of Cisco Unity banners, Interim Accounting
updates and the reporting of sent/received packets.

Merge branch 'stroke-counters'

Extend stroke counters functionality by connection specific counters, and
a resetcounters command to reset the global or connection counters.

Merge branch 'stroke-timeout'

Add a strongswan.conf timeout option for stroke control commands.

Merge branch 'netlink-align'

Fixes some Netlink alignment issues, and then refactors Netlink XFRM message
attribute handling.

Use netlink_add_attribute() to copy over attributes during update_sa()

Use a helper function to add XFRM_MARK attribute

Use netlink_reserve() helper function in XFRM to simplify message construction

Add a Netlink utility function to add a RTA header and reserve space for data

Correctly check buffer length in netlink_add_attribute()

Avoid unneeded termination of netlink algorithm name arrays with END_OF_LIST

Add a "resetcounters" command to ipsec, clearing global or connection counters

Add connection name specific stroke counters

Add a chunk_from_str() initializer that does not include 0-terminator

Don't create interim update entries if RADIUS accounting is disabled

Add support for RADIUS Interim accounting updates

Add an option to delete any established IKE_SA if RADIUS server is not responding

Make check whether to use IKEv1 fragmentation more readable

Send Acct-Terminate-Cause based on some alerts catched on the bus

Currently supported are user disconnects, session timeouts and if the peer does
not respond on IKE packets or DPDs.

When IKEv1 DPD times out, raise missing SEND_RETRANSMIT_TIMOUT alert

Raise an alert if an IKE_SA could not have been reauthenticated and expires

Send NAS-Port, NAS-IP and Calling/Called-Station-ID in Accounting-Requests

Support RADIUS accounting of sent/received packets

Report the number of processed packets in "ipsec statusall"

child_sa_t.get_usestats() can additionally return the number of processed packets

Pass correclty sized pointer to lookup_algorithm() in PF_KEY

kernel_ipsec_t.query_sa() additionally returns the number of processed packets

Send NAS-Port, NAS-IP and Calling/Called-Station-ID in Access-Request

Forward Cisco Banner received from RADIUS to Unity capable clients

Add a radius message method to enumerate vendor specific attributes

Add Altiga Private Enterprise Numbers that Cisco uses in VPN 3000

In eap-radius, hand out received Framed-IP-Address attributes as virtual IP

Add missing XAuthRespPSK switch case to IKEv1 key derivation

strdup() iface passed to queue_route_reinstall(), fixing double-free

Support mutliple subnets and ranges as external load-tester addresses

Add a constructor to create in-memory pools from an address range

When adding Netlink attributes, increase header length with potential alignment

If the payload is unaligned, we must make sure the total netlink message
length includes the added alignment for the first attribute.

Clean up IKE_SA state if IKE_SA_INIT request does not have message ID 0

Ignore fourth Qick Mode message sent by Windows servers.

Initial patch by Paul Stewart, fixes #289.

added ITA Echo PA-TNC Subtype and ITA Echo Attribute type

version bump to 5.0.3dr4

moved ar_id from imv_agent to imv_state

esc() is only used if dladdr(3) is available

Fix maximum size of a mem_pool_t

New Android release after adding translations and Cert/EAP authentication

Also fixed a race condition during reauthentication and a freeze that
might happen while disconnecting.

android: Add support for combined certificate and EAP authentication

This uses RFC 4739 multiple authentication rounds to first
authenticate the client with a certificate followed by an
EAP authentication round with username and password.

Merge branch 'pt-tls'

If controller operations have a callback, don't succeed before hook gets called

Add a stroke command timeout option, and report status of completed command

As Quick Mode initiator, select a subset of the proposed and the returned TS

Cisco 5505 firewalls don't return the port if we send a specific one, letting
the is_contained_in() checks fail. Using get_subset() selection builds the
Quick Mode correctly with the common subset of selectors.

Based on an initial patch from Paul Stewart.

If TLS peer authentication not required, the client does nonetheless, allow it to fail

added some otherNames OIDs

Fix some apidoc in mem_pool.h

testing: Add screen package to base image

Makes working in a single SSH session easier.

testing: Enable ssh connection to second IP by name (e.g. moon1)

testing: ssh script accepts IP addresses instead of host names

testing: ssh script forwards arguments to ssh command

This allows to execute commands on a virtual host.

removed unneeded DS files

instead of cloning use extract_buf() method

Don't invoke addr2line if dladdr() did not yield a filename

When receiving critical signals, additionally log backtraces to syslog/files

backtrace_t.log() takes a NULL file pointer to log to registered dbg() hook

Don't use color escapes when printing backtraces to a non-TTY file

Add a utility function to resolve TTY color escape codes dynamically

make TNC Access Requestor ID available to IMVs

updated NEWS

upgraded KVM test suite to Linux 3.8 kernel

added openssl-ikev2/alg-aes-gcm scenario

use DNs in tnc/tnccs-20-tls scenario

added getpwuid_r and initgroups to whitelist

third parameter was not copied

Fixed Doxygen comments after scanning complete src directory

Include the whole src directory in apidoc and make source files browsable

But still only scan header files as Doxygen can't figure out how they
are related to source files (at least not for class methods).

Prevent Doxygen from processing __attribute__(...)

Doxygen produces additional members/classes from these attributes.

Updated Doxyfile.in with a recent version of Doxygen

Removed backend for old Android frontend patch

Moved the remaining DNS handler to a new plugin.

added ERX_SUPPORTED IKEv2 Notify

added some new TCG IF-M message subtypes and attributes

version bump to 5.0.3dr3

android: Mitigate race condition on reauthentication

If the TUN device gets recreated while another thread in handle_plain()
has not yet called select(2) but already stored the file descriptor of the
old TUN device in its FD set, select() will fail with EBADF.

Fixes #301.

openssl: The EVP GCM interface requires at least OpenSSL 1.0.1

Merge branch 'multi-eap'

Fixes the use of EAP methods in the non-first authentication round if the
initiator demands mutual EAP. Also mutual EAP can now be enforced when the
initiator sets rightauth=eap, not only with rightauth=any.

Merge branch 'multi-cert'

Allows the configuration of multiple certificates in leftcert, and select
the correct certificate to use based on the received certificate requests.