gnutls_x509_trust_list_add_system_trust() will not allow duplicate entries

more compiler warning fixes

configure: enabled more warnings

fixed compilation warnings

use _DIRENT_HAVE_D_TYPE to detect d->d_type

corrected type

configure: don't both with checks for padlock in non-x86

updated auto-generated files

run abi-compliance-checker prior to release

indented symbols

protect DTLS clients that don't handle GNUTLS_E_LARGE_PACKET from an infinite loop on handshake

removed unused error values

restrict the number of non-fatal errors gnutls_handshake() can return

optimized gnutls_error_is_fatal() by splitting the errors to two tables

doc update

use unsigned types in prototypes

enable gcc warnings by default

Check the credentials getter functions as part of the unit tests

Add an interface to iterate the trusted CA certificates in a trust list

Signed-off-by: Armin Burgmeier <armin@arbur.net>

Add getter functions for openpgp keys and certificates

Signed-off-by: Armin Burgmeier <armin@arbur.net>

Add functions to obtain X.509 keys and certificates from certificate credentials

Signed-off-by: Armin Burgmeier <armin@arbur.net>

enabled gnutls_privkey_export_pkcs11

Add functions to export X.509 and OpenPGP private keys from the abstract type

Signed-off-by: Armin Burgmeier <armin@arbur.net>

Add a function to obtain the trust list of a gnutls_certificate_credentials_t

Signed-off-by: Armin Burgmeier <armin@arbur.net>

doc update

more files to ignore

removed gnutls_pcert_get_type()

only enable crywrap if libidn is present

guile: Restore cross-reference in 'set-session-priorities!' docstring.

This had been destroyed in 32d90395.

guile: Add bindings for 'gnutls_server_name_set'.

This adds the 'set-session-server-name!' procedure and the
'server-name-type' enum type.

doc update

tests: Added checks for key purpose verification

Verify key purpose on intermediate certificate if GNUTLS_VERIFY_KEY_PURPOSE_ON_INTERMEDIATE is specified

That introduces the verification flag GNUTLS_VERIFY_KEY_PURPOSE_ON_INTERMEDIATE,
and the verification result GNUTLS_CERT_PURPOSE_MISMATCH. The reason that this
verification test must be explicitly enabled is because it is only defined in CA
Forum's Baseline requirements 1.1.9 but not any IETF document.

certtool: updated the extended key usage documentation

added missing prototype

doc update

introduced gnutls_privkey_import_ext3()

That function allows copying an external specified private
key, as well as allow variability on the capabilities of an
external key.

updated cross.mk

doc update

when printing a certificate request also print its signature algorithm

added gnutls_x509_crq_get_signature_algorithm()

doc update

Added missing prototype

Added gnutls_pkcs11_privkey_cpy()

Add gnutls_certificate_get_verify_flags

Signed-off-by: Armin Burgmeier <armin@arbur.net>

Add API to retrieve a X.509 or OpenPGP certificate from a gnutls_pcert_t

Signed-off-by: Armin Burgmeier <armin@arbur.net>

Memory leak fix on certificate copy failure

Signed-off-by: Armin Burgmeier <armin@arbur.net>

Fix a documentation typo

Signed-off-by: Armin Burgmeier <armin@arbur.net>

regenerated files.mk

libdane: do not require the CA to be a direct CA

tests: enhanced test suite to pass more of the PKCS #11 API under valgrind

gnutls-serv: added the --provider option

tools: corrected pin entry

cleaned up memory deallocation in read_cert_url()

That caused unexpected results when loading PKCS #11 URLs.
Reported by Joseph Peruski.

updated certtool.cfg

tests: added checks with modified certificate

This tests whether a modified of a DER certificate, that is cancelled
out while we parse it, would result to a good signature.

require explicit disabling of PKCS #11 in configure

Added Armin's DCO

updated details on certificate verification

depend on p11-kit 0.20.7

Check for all error conditions when verifying a certificate

This allows to check for all possible flaws with a certificate chain with a
single call to gnutls_x509_crt_list_verify and friends.

Signed-off-by: Armin Burgmeier <armin@arbur.net>

depend on p11-kit 0.20.6

removed unneeded set of status

pkcs11: when a signer isn't found in PKCS #11 force the verification of the chain

That allows obtaining any additional flags from the chain such as insecure
algorithms or expirations.

psktool: corrected resource leak on failure

added sanity check on cleanup

removed unused variable

certtool: corrected typo in printing error

pkcs11: correctly reallocate the read buffer

Report and patch by David Woodhouse.

updated documentation on PKCS #11 trust module verification

unified the key purpose checks functions

check for CAs with the same key in gnutls_x509_trust_list_add_cas

That way when GNUTLS_TL_NO_DUPLICATE_KEY is specified the added CA will
overwrite any previous one with the same name and key.

hostname and key purpose checks were moved above CRL checks

doc update

corrected gnutls_x509_crl_get_raw_issuer_dn()

tests: use the PID number in RPORT

The shell's RANDOM isn't that random.

updated libtasn1

documented the environment variables

simulate pkcs11x.h when it doesn't exist

tests: Added crlverify to check gnutls_x509_crl_verify and gnutls_x509_trust_list_add_crls

create-chain.sh: generate CRL

gnutls_x509_crl_verify: do not always set the invalid status

Reported by Armin Burgmeier.

Revert "gnutls_x509_crl_verify: do not always set the invalid status"

This reverts commit a922ee10c5f3902988e5730a1e6fbf77b033058c.

gnutls_x509_crl_verify: do not always set the invalid status

Reported by Armin Burgmeier.

doc update

added missing file

p11tool: print Attached Extensions, instead of extensions

when adding a duplicate certificate, keep the last entry

added gnutls_pkcs11_copy_attached_extension()

pkcs11-get-issuer: do not hardcode the chain number, use its name

Revert "corrected planned version number"

This reverts commit 5e44f432580f8b9533223acc3060db26446f0e96.

fixes in the extension handling

p11tool: will print trust module extensions if present

check the key purpose of the CA certificate when in pkcs11 cert validation

allow retrieving extensions in a trust module using GNUTLS_PKCS11_OBJ_FLAG_OVERWRITE_TRUSTMOD_EXT

export x509_crt_to_raw_pubkey() in x509/common.h and prefixed s/get_extension with _gnutls

doc update

corrected planned version number

gnutls_x509_trust_list_verify_crt2 is in par with gnutls_certificate_verify_peers

That is, it accepts a list of gnutls_typed_vdata_st and allows for flexibility.

doc update