doc: no longer list SHA1 as a safe choice in X.509 signing

certtool: prevent-null termination of buffers allocated with fread_file()

We do not know whether their allocated size allows for that additional
null, and we do not need the null termination.

gnutls_x509_crl_verify: always return zero on success

Also document that in previous versions a positive number could
be returned on success. Reported by Adrien Beraud.

tests: corrected space-tab issue

doc update

Improved messages and violation handling in signature key usage checks

This will now tolerate violations in server certificate, if
%DEBUG_ALLOW_KEY_USAGE_VIOLATIONS is set.

Removed redundant certificate key usage checks.

There were redundant checks when a certificate was obtained, as
well as prior to performing operations with certificates/pubkeys.
Kept the checks prior to operations.

_gnutls_map_pk_get_pk -> _gnutls_map_kx_get_pk

gnutls_kx_get: allow calling the function during handshake

Previous this function would return garbage during handshake, because
parameters were not considered established, however there are valid
uses of this function during it. For that reason this function is
modified to return a correct value even during handshake (after
a hello is being exchanged).

_gnutls_check_key_usage: check for invalid key exchange algorithm

Reported by Dmitry Eremin-Solenikov.

tests: added checks on signature key usage violations

.gitlab-ci.yml: added docker tag on mingw builds

That ensures that these builds are done on the gitlab.com runners
which run as privileged containers (and thus have access to mount).

privkey: set the key parameters algorithm prior to returning success

When decoding a public key ensure that algorithm is written in the params struct

Reported by Dmitry Eremin-Solenikov.

cfg.mk: disable checks for public submodule updates in CI

.gitlab-ci.yml: do not require update to /proc/sys/fs/binfmt_misc to succeed

In some CI systems, it is not possible to write to this filesystem, and
they already have the wine executable registered. In the case we cannot
write proceed to running the check and hope for the best.

tests: use datefudge in rsa-md5-collision check

This makes sure that any failure detected is not because of
expired certificates, but because of MD5 being disabled.

tools: use stamp files to allow parallel build of autogen files

Autogen seems to output on the creates files gradually, something that
makes 'make' believe that the command is complete prior to the output
file being fully populated. The current approach uses stamp files to
ensure that no incomplete files are used for compilation.

guile: do not use +COMP-DEFLATE in priorities test

This allows the test to work even in the cases where gnutls
is compiled without zlib support.

moved all syntax check exceptions in cfg.mk

.gitlab-ci.yml: added zlib dependency

.gitlab-ci.yml: fixed artifacts paths for Debian build

tests: str-unicode: check whether exceptions are tolerated on decryption

tests: added exception and join control characters in str-unicode

unistring: added property-join-control

unistring: added default_ignorable_code_point and not_a_character tests

unistring: added NFKC normalization

unistring: included all possible categories for simplicity and extensibility

tests: enhanced str-unicode with more char sets

gnutls_utf8_password_normalize: perform more strict check on input characters

That is, ensure that the input characters are in the valid class of characters
for the PRECIS FreeformClass.

tests: fixed str-unicode tests with control characters

gnutls_utf8_password_normalize: avoid use of strlen()

tests: added pkcs12 file with long password

renamed system/iconv.c -> str-iconv.c

We no longer use the system's functionality for converting between
charsets (we use libunistring), hence it is no longer suitable for
the wrappers to stay in system/.

x509: when printing ACE DNSnames ensure the actual name is also printed

tests: added unit tests of of _gnutls_idna_reverse_map

introduced _gnutls_idna_reverse_map()

This function allows mapping ACE formatted domains to UTF-8.

Combined checks for printable characters

doc update

tests: updated crt_apis to include setting UTF-8 SAN

tests: updated crq_apis to include setting UTF-8 SAN

gnutls_idna_map: check for printable data prior to mapping

gnutls_x509_aia_set: IDNA encode when needed

When writing alternative names to certificates ensure we write in ACE format

doc update

tests: added pkcs7 verification with struct generated from openssl (with keyid)

tests: added pkcs7 verification with struct generated from openssl

doc: added certificate for ECC with any purpose

pkcs7: return GNUTLS_E_PK_SIG_VERIFY_FAILED on hash mismatch

In addition introduce a new error code to warn about no embedded data.

pkcs7: only print signer's issuer DN when DN has contents

pkcs7: added recursive discovery of structure's signer

This uses the PKCS#7 certificate list as a pool of certificates
to generate a certificate chain that leads to our root CAs.

pkcs7: on data verification failure log the signer

tests: added complex verification example using PKCS#7

That uses multiple intermediate certificates from the PKCS#7 structure.

doc: updated gnutls_x509_trust_list_verify_crt2()

pkcs7: pass the verification flags down to gnutls_x509_trust_list_verify_crt2, in find_signer()

This allows for flags like GNUTLS_VERIFY_DISABLE_TIME_CHECKS to apply when
verifying PKCS#7 structures.

pkcs7: corrected iteration over stored certificates

This allows to use all possibly stored certificates on chain discovery,
not only the first.

pkcs7: added debug logging on verification discovery

errors.h: added _gnutls_reason_log

errors.h: added _gnutls_cert_log

This log function allows to easily log the name of a certificate.

certtool: One if check is enough

Signed-off-by: Andreas Schneider <asn@samba.org>

corrected log message [ci skip]

gnutls_idna_map was prefixed with underscore to avoid clashes with exported symbols

more files to ignore

avoid the use of c_isascii() and use c_isprint()

That latter detects correctly the printable characters we are
interested in.

tests: added unit tests for gnutls_idna_map()

IDNA code re-organization

That introduces the internal function gnutls_idna_map(), which
utilizes libidn and libunistring to convert hostnames to IDNA ACE
form.

tests: updated outputs to reflect new fingerprint/keyid formats

tests: made tmp files unique

doc update

Align the printing of a certificate's fingerprint with the key ID printing

Print a key's or certificate's key ID with SHA256 in addition to SHA1

certtool: address compiler warnings

doc: document the RFC7613 normalization of passwords [ci skip]

unistring: include only the required categories

In addition fix the license text of the included library.

server_name: log server name sent

x509/output: improve log message on embedded null

build-aux: added unused-parameter.h

.gitlab-ci.yml: explicitly specify --with-included-unistring when needed

hooks.m4: corrected typo

.gitlab-ci.yml: ignore syntax-check issues caused by included unistring

more files to ignore

unconditionally include unistring code

That simplifies internationalization support, at the cost of
including a version of libunistring, which is used on systems
which do not ship it.

lib: added unistring sub-library

updated auto-generated files for gnutls_utf8_password_normalize()

tests: enhanced str-unicode with GNUTLS_UTF8_IGNORE_ERRS flag

That is, enhanced to check the tolerable variant of gnutls_utf8_password_normalize()

.gitlab-ci.yml: added build without libunistring

doc: mention the RFC7613 normalization and the libunistring dependency

tolerate non-valid UTF8 passwords when decrypting

tests: addressed compiler warnings

_gnutls_utf8_to_ucs2: normalize to NFC UTF16 output

openssl_hash_password: normalize the password prior to use

TPM: normalize the password prior to use

_gnutls_calc_srp_sha: normalize the password prior to use

gnutls_x509_crq_set_challenge_password: normalize the password prior to use

PKCS#7/8: normalize the password according to rfc7613

gnutls.pc: use the LT version of the lib variables

Use libunistring when present instead of iconv()

That allows us to rely to a single provider for unicode
functionality.

tests: added unit tests for gnutls_utf8_password_normalize()

Added function for UTF-8 normalization based on RFC7613

This introduces gnutls_utf8_password_normalize() and a dependency on libunistring.

tests: added test suite with PKCS#8 files that have invalid encryption