exported gnutls_fd_in_use

document gnutls_fd_in_use()

gnutls_fd_in_use: mention version

corrected FIND_OBJECT loop when the token func is used

added gnutls_fd_in_use() to check whether a file descriptor is in use

added prototype to avoid compiler warning

fips140-2: limit the FIPS code in fips mode

fips140-2: use the FIPS algorithms only when in FIPS140-2 mode

dtls-stress: reindented code

tests: dtls-stress: only replay when send succeeds

testsrn: do not assume that SSL 3.0 is enabled by default

gnutls-cli-debug: added test that checks the fallback from TLS 1.6

added _gnutls_hello_set_default_version() which allows to override the clienthello version

gnutls-cli: prevent the combination of the -p and --list options

As -p may be mistaken for --priority that would prevent wrong outputs.

avoid d from getting out of scope

gnutls-serv: avoid possible buffer overrun

avoid memory leak on gnutls_x509_privkey_generate() failure

doc update

gnutls-cli: added option --priority-list

added gnutls_priority_string_list(), a function to iterate all priority strings

put all priority strings into a table

updated documentation for SSL 3.0 removal

doc update

SSL 3.0 is no longer on the default priorities list

in FIPS140-2 mode only disable 1024-bit DSA parameters when generating

guile: Remove trailing zero in 'gnutls_server_name_set' call.

In GnuTLS 3.2.19 (and possibly 3.3.9 and 3.1.17),
'set-session-server-name!' would pass a trailing nul character on the
wire after the server name, which would thus be rejected by servers.

corrected libopt's Makefile.am

reported by Marius Schamschula.

use _gnutls_hash_fast() in DSA/ECDSA verification

FIPS140-2 RSA key generation changes to account for seed starting with null byte

corrected the SSSE3 optimized SHA224

simplified getrusage code; the failure check code wasn't needed

use lcm(p-1,q-1) instead of phi(n) for RSA key generation in FIPS-140-2 mode

tests: added check for import failure of v1 certificate with extensions

do not allow importing X.509 certificates with version < 3 and extensions present

update the guile manual along the C one

updated to libopts 5.18.4

place all rusage variables into HAVE_GETRUSAGE block

rnd: if RUSAGE_THREAD fails try RUSAGE_SELF

tests: removed last remnants of GNUTLS_VERIFY_KEY_PURPOSE_ON_INTERMEDIATE

tests: pkcs11-combo: use unique db file

forbid heartbeat messages during a handshake

added internal variable to track handshake status

ocsptool: avoid shadowing a global variable

removed flag GNUTLS_VERIFY_KEY_PURPOSE_ON_INTERMEDIATE

more files to ignore

tests: updated time in pkcs11-is-known

pkcs11: handle errors from override_cert_exts as fatal

tests: allow running specific chainverify tests on fixed dates

_gnutls_check_valid_key_id: corrected activation/expiration check

pkcs11: simplified and optimized loop

mention nettle as the recommended crypto backend

tests: Added check to ensure that trust list combination with extra certificates works

when both a trust module and additional CAs are present account the latter as well

That solves an issue in openconnect which used the system trust module,
plus additional certificates.

simplify the handling of trust_list_get_issuer() when GNUTLS_TL_GET_COPY is not given

doc update

doc update

tools: print the status of safe renegotiation and extended master secret

tests: check whether the extended master secret is negotiated by default

Added support for the extended master secret calculation

That is performed implicitly unless GNUTLS_NO_EXTENSIONS is specified.
The implementation follows draft-ietf-tls-session-hash-02.

corrected assignment

corrected the name of exported function

doc update

tests: added check for gnutls_record_discard_queued()

Added gnutls_record_discard_queued()

That function allows to discard queued data in DTLS.

tests: corrected test for v1 cert signing (removed bogus authorityIdentifier)

certtool: only set the authority key identifier, if there is a corresponding subject key identifier

pkcs11: do not shortcut checks when GNUTLS_PKCS11_OBJ_FLAG_COMPARE_KEY is specified

pkcs11: always check for a valid subjectKeyIdentifier match

That way, expired certificates can co-exist with their replacements.

Add a test for PKCS11 CA iteration

Signed-off-by: Armin Burgmeier <armin@arbur.net>

Also iterate over the CA certificates in a PKCS11 token

Signed-off-by: Armin Burgmeier <armin@arbur.net>

Return an error if multiple PKCS11 URLs are added to a trust list

Before, the new URL would overwrite the old URL, and the memory of theold URL
would be leaked. It is documented that only one URL can be used, so it should
be safe to reject any attempt to add another one.

Signed-off-by: Armin Burgmeier <armin@arbur.net>

pkcs11: when no CKA_ID can be relied on fallback on checking the SubjectKeyIdentifier

Patch by David Woodhouse.

added FIPS140-2 ECDH verification functions

removed unused definition

added FIPS140-2 DH verification functions

tests: corrected check with gnutls_x509_trust_list_get_issuer

corrected remove_pkcs11_url()

address memory leak in gnutls_pkcs11_crt_is_known()

tests: check gnutls_pkcs11_crt_is_known() when multiple same DNs are present

pkcs11: when checking for presence do not give up on the first mismatch

doc update: clarifications in gnutls_x509_trust_list_add_trust_file

corrected compilation for non-pkcs11; reported by David Woodhouse.

doc update

avoid calls in gnutls_init()

the handshake function has a timeout value by default

use wait and retransmit when receiving session tickets

tests: added -r option to dtls-stress

That allows it to replay messages in a kind of arbitrary way.

report the FIPS140-2 mode

tests: added check for GNUTLS_TL_GET_COPY

Added GNUTLS_TL_GET_COPY flag and documented the limitations of gnutls_x509_trust_list_get_issuer()

opencdk: changed filter_fnct_t to match the actual function prototypes

updated news entry

guile: doc: Remove erroneous @ifnottex.

Add NEWS entry for Guile changes.

guile: doc: Make it clear that the bindings are part of GnuTLS.

if receiving a ChangeCipherSpec fails, return GNUTLS_E_UNEXPECTED_PACKET

That is more precise than the current GNUTLS_E_UNEXPECTED_PACKET_LENGTH

use __hidden in solaris to provide the hidden visibility attribute

no need to define _gnutls_x86_cpuid_s

use MAX_CIPHER_BLOCK_SIZE more consistently

do not allow GNUTLS_E_LARGE_PACKET to be returned from non-DTLS sessions