add SECURITY.md, based on krill

- Tag for 1.16.1rc1 release.

Merge branch 'crrodriguez-IP_BIND_ADDRESS_NO_PORT'

- For #668: relocate and make code more portable.

Merge branch 'IP_BIND_ADDRESS_NO_PORT' of https://github.com/crrodriguez/unbound into crrodriguez-IP_BIND_ADDRESS_NO_PORT

- Fix bug introduced in 'improve val_sigcrypt.c::algo_needs_missing for
  one loop pass'.

- Reintroduce documentation and more EDE support for
  val_sigcrypt.c::dnskeyset_verify_rrset_sig.

- Improve val_sigcrypt.c::algo_needs_missing for one loop pass.

- Fix for correct openssl error when adding windows CA certificates to
  the openssl trust store.

For #660: formatting, less verbose logging, add EDE information.

Changelog entry for #660
- Merge PR #660 from Petr Menšík: Sha1 runtime insecure.

Merge pull request #660 from InfrastructureServices/sha1-runtime-insecure

Sha1 runtime insecure

- Add missing changelog entries from PR #706.

Changelog entry for #671:
- Merge PR #671 from Petr Menšík: Disable ED25519 and ED448 in FIPS
  mode on openssl3.

Merge branch 'InfrastructureServices-fips-mode-algo-ed25519'

Merge branch 'master' into InfrastructureServices-fips-mode-algo-ed25519

Merge pull request #706 from NLnetLabs/nxns-fallback

NXNS fallback

- Improved logging for NXNS fallback.

- Allow fallback to the parent side when MAX_TARGET_NX is reached.
  This will also allow MAX_TARGET_NX more NXDOMAINs.

- Fix to not count cached NXDOMAIN for MAX_TARGET_NX.

Remove debug output from windows compile workflow.

- Fix compile warning for windows compile.

- Fix detection of libz on windows compile with static option.

Debug output for windows compile workflow.

- Fix #704: [FR] Statistics counter for number of outgoing UDP queries
  sent; introduces 'num.query.udpout' to the 'unbound-control stats'
  command.

- Add debug option to the mini_tdir.sh test code.

Merge branch 'master' of github.com:NLnetLabs/unbound

- iana portlist update.

- Formatting.

- Fix for cached 0 TTL records to not trigger prefetching when
  serve-expired-client-timeout is set.

- Fix test program dohclient close to use portability routine.

- Show the output of the exact .rpl run that failed with 'make test'.

Update changelog with #705 change

clarify addition of verbosity level mentioned in #705

Fix use after free issue with edns options (https://github.com/NLnetLabs/unbound/issues/663)

Merge branch 'zone-parsers-blank-line-issue'

Change log entry for lines with blanks issue

- Remove unused LDNS function check for GOST Engine unloading.

- Note in the unbound.conf text that NOTIFY is allowed from the url:
  addresses for auth and rpz zones.

Changelog entry for #688
- Merge PR #688: Rpz url notify issue.

Merge pull request #688 from NLnetLabs/rpz-url-notify-issue

Rpz url notify issue

- Add testcase for allowing NOTIFY on URL addresses.

Test loading a zone with blank lines over https

Avoid network traffic during test, a bit of cleanup

Fix issue with lines that only consist of blanks with optional comment

Test loading a cached zone that has lines consisting of blanks

- Fix for edns client subnet to respect not looking in its cache when
  instructed to do so (e.g., prefetch).

- makedist.sh picks up 32bit libssp-0.dll when 32bit compile.

Continue with 1.16.1 under development.

Add url 'master' to allow notify list

allow-notify doesn't work for url on rpz zones (https://github.com/NLnetLabs/unbound/issues/679)

- Version is set to 1.16.0 for release. Release tag 1.16.0rc1.

- Fix #684: [FTBS] configure script error with libmnl on openSUSE 15.3 (and possibly other distributions)

- Fix some lint type warnings.

- Fix ede test to not use default pidfile, and use local interface.

- Fix to silence test for ede error output to the console from the
  test setup script.

Merge branch 'fips-mode-algo-ed25519' of https://github.com/InfrastructureServices/unbound into InfrastructureServices-fips-mode-algo-ed25519

- Fix typos in config_set_option for the 'num-threads' and
  'ede-serve-expired' options.

- Fix #678: [FR] modify behaviour of unbound-control rpz_enable zone,
  by updating unbound-control's documentation.

- For #677: Added tls-system-cert to config parser and documentation.
- Changelog note for #677.

Merge pull request #677 from InfrastructureServices/use-system-cas

Allow using system certificates not only on Windows

Allow using system certificates not only on Windows

OpenSSL has a way to load default file. That file might contain usable
certificates to verify common connections. Allow similar trust as on
windows and leave it on openssl package to provide sane defaults.

Also provide use-system-cert alias, because it is not windows specific
anymore.

Merge pull request #674 from NLnetLabs/prefetch_when_ecs_enabled

Fix #417: prefetch and ECS causing cache corruption when used

- Fix #417: prefetch and ECS causing cache corruption when used
  together.

- Fix #673: DNS over TLS: error: SSL_handshake syscall: No route to
  host.

Disable ED25519 and ED448 in FIPS mode on openssl3

Both crypto functions are not allowed by FIPS 140-3. Use openssl 3.0
function to check FIPS mode presence and use it to make those algorithms
unsupported.

- Fix Python build in non-source directory; based on patch by
  Michael Tokarev.

Changelog entry for #604: Add the basic EDE (RFC8914) cases

Add the basic EDE (RFC8914) cases (#604)

- Fix #670: SERVFAIL problems with unbound 1.15.0 running on
  OpenBSD 7.1.

Set IP_BIND_ADDRESS_NO_PORT on outbound tcp sockets

When bound to a local address the kernel does not know if the socket
will listen() or connect() and must reserve a port inmediately after
bind() effectively limiting the random port range to ~32k.
when IP_BIND_ADDRESS_NO_PORT is set, the kernel delays source port
allocation until the time the complete 4-tuple is known allowing
a much larger number of combinations

Log detailed openssl error also for digests failures

Make output still only shown in verbose detail. But provide openssl
error details to make a reason more obvious.

Forward indeterminate status higher

Create a path where it can result in insecure.

Make SHA-1 signed domains insecure if openssl refuses the digest

RHEL9/CentOS 9 would fail in default crypto policy. If call to openssl
returns invalid digest then report the name insecure. If all tested
signatures return the same issue, then make the reply insecure.

- Fix zonemd unsupported algo check to set reason to NULL before the
  check routine, but after malformed checks, to get the correct NULL
  output when the digest matches.

- Fix zonemd unsupported algo check to print unsupported reason before
  zeroing it.

- Fix zonemd unsupported algo check reason to not copy to next record,
  and check for success for debug printout.

- Fix zonemd unsupported algo check.

- Fix zonemd check to allow unsupported algorithms to load.
  If there are only unsupported algorithms, or unsupported schemes,
  and no failed or successful other ZONEMD records, or malformed
  or bad ZONEMD records, the unsupported records allow the zone load.

- Fix spelling error in comment in sldns_str2wire_svcparam_key_lookup.

- Fix #651: [FR] Better logging for refused queries.

- Minor formatting.

Merge PR #648 from eaglegai: fix -q doesn't work when use with
'unbound-control stats_shm'

fix -q doesn't work when use with 'unbound-control stats_shm'

Signed-off-by: eaglegai <eaglegai@163.com>

- Fix to describe auth-zone and other configuration at the local-zone
  configuration option, to allow for more broadly view of the options.

- Fix to ensure uniform handling of spaces and tabs when parsing RRs.

Changelog note for #644, move commands together for library binary.

Merge pull request #644 from FGasper/issue_643_pkgconfig_install_lib

Make `install-lib` make target install the pkg-config file.

Make `install-lib` make target install the pkg-config file.

Issue #643

- Fix configure for python to use sysutils, because distutils is
  deprecated. It uses sysutils when available, distutils otherwise.

- Fix for #637: fix integer overflow checks in sldns_str2period.

- Fix #637: Integer Overflow in sldns_str2period function.

- Fix compile warnings for printf ll format on mingw compile.

- Various fixes for #632: variable initialisation, convert the qinfo
  to str once, accept trailing dot in the local-zone ipset option.

Changelog entry for #632
- Merge PR #632 from scottrw93: Match cnames in ipset.

Merge pull request #632 from scottrw93/cnames-ipset

Match cnames in ipset

- Added tests for ipset.

- Fix pythonmod for change in iter_dp_is_useless function prototype.

- Fix for edns client subnet option add fix in removal code, from review.

- Fix edns client subnet to add the option based on the option list,
  so that it is not state dependent, after the state fix of #605 for
  double EDNS options.